11.11 die Anbindung von fli4l als Router für Arktur

Diese Bedienungsanleitung soll zeigen, wie man Arktur und seine Clients über einen fli4l-Linuxrouter ins Internet bringt. Außer den benötigten Dateien findet man bei http://www.fli4l.de eine sehr ausführliche Dokumentation, FAQs, Informationen, zusätzliche Packages und vieles mehr. Auch auf die fli4l-Newsgroups bei news://news.spline.de/ (Bitte usenet-Etikette beachten!) und ihr recherchierbares Archiv unter http://lists.spline.inf.fu-berlin.de/pipermail/fli4l/ sei an dieser Stelle hingewiesen. Es gibt auch ein gut verständliches fli4l Kapitel im Buch "PC-Netzwerke" von Axel Schemberg, erschienen bei Galileo Press. Auszüge (fli4l-Kapitel!) unter http://www.galileocomputing.de/openbook/fli4l/.
 

Zielsetzung

Arktur soll nicht mehr die Internetanbindung übernehmen  (Alle anderen Bereiche Arkturs bleiben unberührt), diese Aufgabe übernimmt der fli4l. Dies ist aus verschiedenen Gründen sinnvoll (Zitat: "Ein Server servt, ein Router routet" - aus der fli4l-Newsgroup): "Firewall" auf separatem Gerät, Rootkit-Abwehr,...

Was ist ein fli4l-Router?

Ein Selbstbau-Router aus einem älteren x86-PC auf dem die fli4l-Software läuft. Diese Software (Linux) hat auf EINER Diskette Platz, eine Festplatte ist nicht notwendig.
Diese Bedienungsanleitung gilt für die aktuelle fli4l-Version 2.0.8, die Developer-Version 2.1.x unterscheidet sich in den config-Dateien etwas. Die finale 2.2 erscheint Weihnachten. Welches Jahr ist noch nicht bekannt ;-).

Disclaimer:

Ich habe diese Bedienungsanleitung nach bestem Wissen und Gewissen erstellt, basierend auf Informationen aus den Dokus zu fli4l und Arktur, aus Postings in den fli4l-Newsgroups und auf eigenen Erfahrungen. Konfiguration und Betrieb eines Routers dieser Art geschieht auf eigene Verantwortung, auf die Sicherheitsrisiken bei einer Öffnung des Netzwerkes nach außen sei besonders hingewiesen, ebenso auf die Gefahr nicht unerheblicher Telefongebühren durch das nicht-Auflegen des Routers. Die automatische Einwahl sollte wohlüberlegt verwendet weden!

Voraussetzungen:

Man benötigt:

Einen fertig eingerichteten Arktur (mit eigener Netzwerkkarte für die Anbindung an den Router)
Einen älteren PC (im Grunde reicht ein 486er mit 16 MB RAM, bewährt haben sich vor allem ältere Markengeräte mit (möglichst passiv gekühlten) Pentium I Prozessoren zwischen 90 und 200MMX. Festplatte ist eigentlich nicht notwendig, aber ein Floppylaufwerk, eine Netzwerkkarte (in diesem Beispiel Realtek rtl8139-Karten, machen am wenigsten Arbeit bei der Konfiguration) und noch eine (für DSL-Betrieb) und/oder eine ISDN-Karte, am einfachsten eine AVM Fritz! PCI (für ISDN-Betrieb, fli4l kann auch beides in einem Gerät). Mit 32 MB RAM ist man auf jeden Fall auf der sicheren Seite. Während der Installation ist ein Monitor von Vorteil, im Betrieb braucht man ihn nicht mehr (BIOS-Einstellungen anpassen: "No Halt on any Errors" o. ä.)

Ein typischer fli4l-Router, wie er an meiner Schule im Einsatz ist: Siemens Scenic Pro C6 mit 333MHz-Celeron, rtl8139-NIC (PCI), 3com 3c509-NIC (ISA), AVM Fritz! PCI, Floppy, keine Festplatte, leises Netzteil, 32 MB RAM, abschließbarer Schieber an der Front, gebraucht für 25 Euro:

Abbildung 11.11-1: Siemens Scenic Pro C6 - fli4l

Die Software (Download unter http://www.fli4l.de). Fli4l ist modular aufgebaut: Man benötigt auf jeden Fall das base-Package, das dsl- und/oder das isdn-Package. Wichtig ist auch das httpd-Package zur Administration via Webbrowser. Einen kleinen Switch (zur Not auch ein Crossover-Kabel, siehe Topologien unten) und Netzwerkkabel zur Verbindung Arktur <-> fli4l.

Die anschlussseitig nötige DSL- oder ISDN-Hardware. DSL-Modem unbedingt mit RJ45-Anschluss (Ethernet), mit USB-Modems kann fli4l nicht zusammenarbeiten.

Einen Windows- oder Linux-PC zur Erstellung der fli4l-Diskette.
 

b) Netzwerktopologie

Man sollte sich vorher Gedanken über die Struktur der Vernetzung machen. Ich empfehle folgende Konfiguration:

Abbildung 11.11-2: Netzwerk fli4l<->Arktur mit Switch

Vorteil: Es lassen sich am Switch besondere Rechner (Surfstation im Lehrerzimmer, Lehrer-PCs, ...) anschließen, die zur Wartung/Konfiguration des fli4l verwendet werden können, wichtig bei manuellem Verbindungsaufbau wegen Nicht-T-School-Anschluss. Außerdem haben diese Rechner ungefilterten Zugang zum Internet, unabhängig vom Arktur - können aber auch nicht seine Dienste nutzen.

Alternativ lässt sich aber auch eine einfachere Konfiguration verwenden:

Abbildung 11.11-3: fli4l<->Arktur mit Crossoverkabel

Das Netzwerk für die fli4l-Anbindung bekommt Adressen aus dem 192.168.6.X-Bereich, das ist in der fli4l-Konfiguration bereits voreingestellt. Bei Bedarf kann man das natürlich anpassen.

Noch ein Wort zum Einwahlverhalten: Bei T-School-Anschlüssen, Flatrate oder kostenunempfindlichen Sachaufwandsträgern ;-) lässt man den flil4 automatisch bei Bedarf einwählen. Ansonsten wählt man besser manuelle Betriebsart und erledigt Einwahl und Auflegen von Hand - Wie bei Hardwareroutern gibt es beim automatischen Auflegen Probleme durch P2P-Traffic.

c) Konfiguration des fli4l

Die Software herunterladen (base, dsl/isdn, httpd) und ALS ERSTES das base-Package entpacken.
WICHTIG: Beim Entpacken aller Packages mit WinZip MUSS muss die Option "Smart-Tar-CRLF-Conversion" / "Umwandlung von LF zu CR/LF bei TAR-Archiv" ABGESCHALTET werden:

Abbildung 11.11-4: Winzip-Konfiguration

Dann die anderen Packages entpacken, und zwar in das Verzeichnis ("fli4l-2.X.X"), das beim Entpacken von base erstellt wurde. Das Überschreiben der Dateien gestatten. Eine genauere Anleitung dazu gibt es hier.

In dem neu angelegten Verzeichnis befindet sich ein Ordner "config".

Abbildung 11.11-5: Inhalt des config-Ordners

Darin befinden sich jetzt die (mindestens) drei config-Dateien, die mit einem Texteditor (z. B. dem "Editor" von Windows) bearbeitet werden. (Es gibt auf der fli4l-Homepage auch ein Windows-GUI-config-Tool, den fliwiz als Download. Die Arbeit mit den Originaldateien ist aber übersichtlicher, nachvollziehbarer und für einen Arktur-Admin nicht schwerer). Im Ordner "doc" befinden sich übrigens genauere Anleitungen zu den einzelnen Einstellungen.

Die base.txt

Ich nenne hier nur die wichtigsten Änderungen, um den fli4l in Betrieb zu nehmen. Es gibt viele weitere Möglichkeiten und Optionen, dies würde den Rahmen dieser Kurzanleitung mehr als sprengen. Bei jedem "XXX" sind die eigenen spezifischen Daten einzutragen (Passwörter, Einwahlnummer, Login-IDs,...)

base.txt - DSL-Version

Als erstes sollte man das voreingestellte Passwort "fli4l" ändern, man möchte ja schließlich die Einwahl nicht plötzlich von vorwitzigen Schülern auf eine 0900-Nummer umgestellt haben.

Bei den Ethernet card drivers müssen Anzahl und Treiber für die verwendeten Netzwerkkarten  angegeben werden.

Aus

ETH_DRV_N='1'                  # number of ethernet drivers to load

wird also

Die Treiber wählt man durch Löschen des vorangestellten #, in unserem Beispiel also

nicht vergessen die in der Voreinstellung markierte NE2000 wieder mit einem # zu versehen:

Normalerweise müsste es reichen, den Treiber einmal für zwei identische Netzwerkkarten zu laden. Ansonsten lädt man ihn zweimal:

Alternativ verwendet man eben zwei verschiedene Netzwerkkarten (auch hilfreich bei der Unterscheidung LAN/DSL):

Unterhalb der ganzen Treiber gibt man jetzt noch die Optionen an. Bei rtl8139-Karten können diese Variablen leerbleiben:

Da zwei Karten eingebaut sind, muss die zweite Zeile angefügt werden - sonst meckert mkfloppy. (Bei einigen Karten müssen hier entsprechende Angaben gemacht werden, z. B. zum IRQ, zur io-Adresse, etc. - hängt aber von der jeweiligen Karte ab. Siehe auch Doku, FAQ, etc. bei http://www.fli4l.de)

Die weiteren Einstellungen zu Netzwerk/Masquerading können so bleiben, wie sie sind - wir haben uns ja auf das voreingestellte 192.168.6.X-Netz geeinigt. Portforwarding (OPT_PORTFW) wird zum Weiterleiten der Ports 22 (SSH) und 80 (Web) auf den Arktur benötigt. Dazu mehr unten bei f)

Auch die Einstellungen zur Firewall können so bleiben, wie sie sind; außer man richtet ein Portforwarding ein - siehe f).

Geändert wird die Domain configuration:
Der voreingestellte DNS-Server bei DNS_FORWARDERS ist mittlerweile abgeschaltet. Hier sollte man einen oder mehrere andere eintragen (Den 194.25.2.129 vor allem für T-Online-Nutzer)

Die meisten Provider bieten die Möglichkeit, sich bei der Einwahl einen DNS-Server übermitteln zu lassen. Dies wäre eigentlich sinnvoll, macht aber anscheinend ab und zu Probleme. Bitte ausprobieren (_USEPEERDNS bei dsl.txt/isdn.txt) und/oder hier trotzdem entsprechende Einträge vornehmen.
Da Arktur der Host_2 wird, ändern wir die entsprechende Zeile:

Die Namen und die Anzahl anderer Clients kann man nach Bedarf ändern/ergänzen

Der IMOND muss eingeschalten werden, man setzt also:

und hat die Möglichkeit, auf einer Surfstation am fli4l (siehe Grafik oben) einen Administration-/Konfigurations-Client (z. B. imonc) zu starten. Passwörter kann man - bei Bedarf - setzen.

Bei einem T-School-Anschluss oder einer Flatrate stellt man die Einwählart auf "auto", der fli4l wählt sich dann bei einem eingehenden TCP/IP-Request selbst ein. Ansonsten besser "manual" und selbst einwählen/auflegen:

base.txt - ISDN-Version

Die Einstellungen in der base.txt sind für ISDN fast identisch. Man benötigt aber nur einen Netzwerkkartentreiber, also:

ebenso nur einmal die Optionen.

Nutzt man die Möglichkeit der DNS-Server-Zuweisung durch den Provider (siehe isdn.txt) nicht, sollte man selbige in der Domain configuration eintragen. Vorsicht: Der bereits eingetragene Server (192.76.144.66) ist nicht mehr online!

Nur bei Flatrate oder T-School!
 

Die anderen config-Dateien

httpd.txt

Nochmal zur Erinnerung: das httpd-Package muss IN den fli4l-Ordner auf dem Rechner, der die Diskette erstellt entpackt werden. nur dann landet im Unterordner "config" die datei httpd.txt. Liegt sie woanders, ist etwas beim Entpacken schiefgegangen.
Die Einstellungen beschränken sich auf

Username/Passwort nach Bedarf, bei

entsprechend einsetzen. Voreinstellungen bei Passwörtern nicht zu ändern bedeutet immer ein Sicherheitsrisiko!

dsl.txt

Nochmal zur Erinnerung: das dsl-Package muss IN den fli4l-Ordner auf dem Rechner, der die Diskette erstellt entpackt werden. nur dann landet im Unterordner "config" die datei dsl.txt. Liegt sie woanders, ist etwas beim Entpacken schiefgegangen.

Man setzt

und kann mit

den vom Provider zugewiesenen DNS-Server verwenden. Macht im Falle von T-DSL manchmal Probleme!

Der Username AAAAAAAAAAAATTTTTT#MMMM setzt sich aus der zwölfstelligen Anschlusskennung, der T-Online-Nummer und der Mitbenutzernummer zusammen. Hinter der T-Online-Nummer muss ein '#' angegeben werden, wenn die Länge der T-Online-Nummer kürzer als 12 Zeichen ist. Am Ende muss bei T-Online IMMER ein "@t-online.de" stehen. Beispiel: Anschlusskennung ist 111111111111, T-Online-Nummer ist 222222 und die Mitbenutzernummer ist (im Regelfall) 0001. Dann lautet der Eintrag so:

Aber bitte hier die tatsächlichen Einwahldaten eintragen!

Das Passwort ist das vom Provider mitgeteilte (und hoffentlich inzwischen geänderte!).

isdn.txt

Nochmal zur Erinnerung: das isdn-Package muss IN den fli4l-Ordner auf dem Rechner, der die Diskette erstellt entpackt werden. nur dann landet im Unterordner "config" die datei isdn.txt. Liegt sie woanders, ist etwas beim Entpacken schiefgegangen.

ISDN einschalten mittels

Die AVM Fritz! PCI hat die Einstellung

und benötigt keine weiteren Parameter:

Der ISDN-Circuit wird hier benannt:

Den DNS-Server des Providers bekommt man durch

Vorsicht: Macht oft Probleme!
 

Benutzername und Passwort für die Einwahl beim Provider trägt man hier ein:

Die Einwahlnummer (bei T-Online z. B. 0191011) trägt man hier ein:

Die eigene Telefonnummer des Anschlusses, über den man sich einwählt, gibt man ohne Vorwahl hier an:

Die Zeitdauer, die verstreichen soll, bis der Router wegen Mangels an übertragenen Daten auflegt, stellt man hier ein:

Aber - wie oben erwähnt - Vorsicht: Vor allem in Netzen, in denen viel eDonkey- oder Kazaa-Verkehr herrscht (T-Online), verhindert der von den anderen P2P-Teilnehmern verursachte Traffic auf die IP-Nummer ein Auflegen des fli4l. Bei Nicht-T-School-Anschlüssen DIALMODE dann besser auf "manual" stellen.

Diskette bauen

Jetzt geht es ans Diskette erstellen: In den PC, auf dem sich die fli4l-Dateien befinden und man die config-Dateien bearbeitet hat, steckt man eine idealerweise frisch formatierte HD-Diskette von guter Markenqualität und ruft die im fli4l-Ordner befindliche mkfloppy.bat-Batchdatei auf:

Abbildung 11.11-6: Inhalt des fli4l-Ordners

Das Skript generiert erst alle notwendigen Daten, gibt wenn nötig auch Fehlermeldungen aus und fordert bei fehlerfrei erstellten config-Dateien zum Erstellen der Diskette auf. Return drücken und die Diskette wird erstellt. Ist sie fertig, herausnehmen und ins Floppylaufwerk des fli4l stecken. Der kann in der Zwischenzeit dann ruhig schon mal booten.

d) Änderungen an Arktur

Arktur muss wie in Punkt 3.5 auf den Betrieb an einem Router vorbereitet werden. Außer in der dokumentation findet sich eine Anleitung dazu auch noch Arktur selbst im Verzeichnis /etc/ppp/.
Die Netzwerkkarte, die zum fli4l führt, darf NICHT als normale Netzwerkkarte eingebunden werden sondern MUSS über "Verwalten" -> "Internet" -> "Neu" eingerichtet werden. Diese Einstellungen benennt man im folgenden Menü sinnvollerweise  "router" oder "fli4l".

Von den folgenden Punkten:

Abbildung 11.11-7: adsl-Einstellungen

muss nur bei der Zugangsart ADSL angegeben werden, bei Verbindungen nicht den T-Online Zugang sondern "anderer Anbieter" wählen, Nutzerkennung und Passwort können *irgendetwas* sein und bei der Frage nach dem Nameserver (DNS-Server) tragen wir die IP-Adresse vom fli4l ein, in unserem Beispiel also 192.168.6.1.

Im Ordner /etc/ppp/

Abbildung 11.11-8: Inhalt von /etc/ppp/

befinden sich drei Dateien inet-on, ppp-on und ppp-off. Diese müssen umbenannt werden (sehr einfach mit dem Midnight Commander - siehe Bild oben), etwa in inet-on.backup, ppp-on.backup und ppp-off.backup. Löschen wäre auch möglich, aber vielleicht möchte man Arktur ja irgendwann "zurückrüsten".
Zwei weitere Dateien in diesem Ordner werden nun umbenannt: Aus ppp-on.router wird ppp-on und aus ppp-off.router wird ppp-off. Auf der Konsole wird jetzt noch inet-on als Link erzeugt:

eingeben.

Als letztes muss die Datei ppp-on (vormals ppp-on.router) bearbeitet werden. Man öffnet sie z. B. mit dem mc (F4) und passt drei Parameter ganz am Anfang an. Die Netzwerkkarte wird bei DEVICE=eth2 eingetragen. Hat man nur eine Karte ins Schul-LAN, ist die die Karte nicht die eth2 sondern die eth1 - siehe das Beispiel unten.
Als IP-Adresse des Routers gibt man die in der fli4l-Konfiguration vergebene Nummer ein: IP_ROUTER=192.168.6.1. Die IP des Servers ist die Arktur zugewiesene IP für die Netzwerkkarte zum Router (und die in der base.txt angegebene): IP_SERVER=192.168.6.2. Das sieht in unserem Beispiel dann so aus:

Abbildung 11.11-9: ppp.on bearbeitet

e) Testbetrieb

Jetzt kann man sich ans Testen wagen: Der fli4l verlangt nach dem Booten das in der base.txt ganz am Anfang vergebene Passwort. Danach gibt er auf dem angeschlossenen Bildschirm die Konsole frei, wo man bei Auto-Dialmode jetzt per Ping (z. B. ping -c 3 141.1.1.1) testen kann, ob der Verbindungsaufbau funktioniert. DNS-Namensauflösung testet man durch z. B. ping -c 3 www.heise.de oder ping -c 3 www.fli4l.de (Wer lieber einen anderen Server belästigt, kann ja bild.de oder 9live.de nehmen ;-) ), in allen Fällen sollte eine Antwort vom Host (hoffentlich) kommen, ansonsten eine Fehlermeldung.
Wählt sich der fli4l brav ein, testet man das ganze am Arktur, natürlich nachdem man auf ihm die Internet-Verbindung aufgebaut hat (per Online-Interface oder sysadm-Menü): Die gleichen Pings auf einer Konsole absetzen, bei richtiger Konfiguration und störungsfreiem Betrieb sollten Antworten eintreffen.

f) Zugriff auf Arktur per SSH (Port 22) und/oder auf Arktur als Webserver (Port 80)

Um auf Arktur von außen vom WAN aus zugreifen zu können (Vorsicht: Sicherheitsrisiko!!), muss die bei der Einwahl zugewiesene IP-Adresse bekannt sein. Da Arktur jetzt nicht mehr direkt an der Einwahl beteiligt ist, muss dies vom fli4l übernommen werden (Oder man schickt einen Kollegen im Schulhaus per Telefon zum Nachschauen ;-) ). Realisiert werden kann das z. B. über einen dynamischen Hostnamen (etwa bei www.dyndns.org) mit dem Package OPT_DYNDNS oder über die Anzeige der aktuellen IP-Adresse auf einer versteckten Seite der Schulhomepage mit dem Package OPT_DynIP, oder...
Je nach verwendeter Lösung muss man das entsprechende Package (übrigens externe OPT-Pakete) downloaden und konfigurieren. Genauere Anleitungen dazu findet man auf der fli4l-Homepage
( OPT_DYNDNS: http://www.fli4l.de/german/extern/opt/search.pl?cat_id=15&sort_by=name
OPT_DynIP: http://www.fli4l.de/german/extern/opt/search.pl?cat_id=12&sort_by=name), dies würde aber den Rahmen dieser Bedienungsanleitung sprengen.

Portforwarding

Um per SSH auf Port 22 und über das Web auf Port 80 auf Arktur zugreifen zu können, müssen diese Ports auf Arkturs IP "geforwardet" und in der fli4l-"Firewall" freigegeben werden. Man ändert also zuerst den Bereich PORTFW:

folgendermaßen

Um die Ports auf der "Firewall" freizugeben, ändert man den Bereich FIREWALL_DENY_PORT:

folgendermaßen:

Für den Zugang per SSH bitte auch das Kapitel 11.13 (Fernwartung) beachten!
Der Zugang auf Arktur über Webbrowser erfolgt dann über den Standard-Port 80. Möchte man den Zugang etwas verstecken, könnte man das Portforwarding so einstellen dass z. B. der externe Port 8088 auf den Port 80 von Arktur "geforwardet" wird. Die Zeile sähe dann so aus:    PORTFW_1='8088 192.168.6.2:80 tcp' ,
im Browser müsste man dann für den Zugriff die Einwahl-IP mit der hinter einem Doppelpunkt nachgestellten Portnummer eingeben (z.B.: 123.123.123.XX:8088). Ports über 1023 müssen mit Ausnahme der aufgeführten in der Firewall nicht explizit freigegeben werden - sie werden gar nicht geblockt. Port 80 muss in diesem Fall auch nicht von der Firewall ausgenommen werden.
Weitere Einstellungen auf Arktur für den Betrieb als Webserver findet man auch in Kapitel 11.14 (Zugriff auf Arktur als Webserver - 5. Apache-Einstellungen)

g) Sonstiges

Hier wurde nur die einfachste Ausbaustufe des fli4l gezeigt. Viele andere Arten der Konfiguration sind möglich: Installation auf Festplatte, auf CompactFlash (lautlos), Sperren einzelner Clients (im fli4l-Netzwerk!) über Web-GUI, Betrieb als Faxempfänger, als Telefonanlage, als Fileserver, als Printserver, als Webserver usw. usw. - aber bitte: eigentlich ist es ein Router.
Die neuere 2.2er-Version wird außer einem aktuelleren Kernel wahrscheinlich auch die Möglichkeit mitbringen, eine Webcam an den Router anzuschließen und sie über ein OPT-Package zu betreiben.
Vom fli4l-Team gibt es auch einen einfach zu bedienenden/administrierenden Webserver, den EIS (Easy Internet Server - http://www.eisfair.org), interessant z. B. wenn man Arktur nicht als Webserver für Zugriffe aus dem WAN verwenden möchte.