Sicherheit für die Router

Ein Router ist ein Netzwerkgerät, das für die Weiterleitung des Paket-Traffics zwischen zwei Geräten zuständig ist, die in der Regel zu unterschiedlichen Netzwerken gehören.

Die Hauptaufgabe eines Routers, der auf Schicht 3 (Netzwerkschicht) des OSI-Modells funktioniert, besteht darin, die Quell- und Zieldaten der von ihm gesteuerten Datenpakete zu verarbeiten und sie auf der Grundlage dieser Daten an den nächsten Router oder ggf. direkt an das Endgerät zu senden.

Jeder Router ist für die Entscheidung über den nächsten Schritt des Datenpakets verantwortlich, wobei Algorithmen eingesetzt werden, die den besten Weg vom Sender zum Empfänger bestimmen können.

Ein sehr allgemeiner klassischer Vergleich zwischen den am häufigsten verwendeten Netzverbindungsgeräten - Hub, Switch und Router - könnte so zusammengefasst werden, dass erstere Datenpakete an alle angeschlossenen Geräte senden, zweitere nur an das Zielgerät, während letztere das Senden von Datenpaketen außerhalb des lokalen Netzwerks ermöglichen.

Obwohl die Funktionsweise von Routern und Switches der Schicht 3 sehr ähnlich ist, da beide das Routing von Paketen ermöglichen, besteht der grundlegende Unterschied darin, dass die Switches der Schicht 3 im Allgemeinen als Verbindung zwischen mehreren lokalen Netzwerken (LAN) dienen, während die Router LAN mit WAN (Internet) verbinden.

Andererseits enthält ein typischer Router heute neben den Funktionen eines Switches u. a. einen Netzwerkadressenübersetzer (NAT), einen dynamischen Netzwerkadressenserver (DHCP) und einen hardwarebasierten Sicherheitsmechanismus (Firewall), um das interne LAN vor böswilligen Eingriffen aus dem Internet zu schützen.

Komponenten eines Routers

Ein Router besteht im Allgemeinen aus internen und externen Komponenten. Zu den grundlegenden internen Komponenten gehören:

• CPU: der zentrale Prozessor, der die Befehle für den Betrieb des Geräts ausführt.
• Stromversorgung: der Anschluss an die elektrische Stromversorgung, die für den Betrieb notwendig ist.
• ROM-Speicher: speichert permanent die Diagnosecodes und die Befehle zum Starten des Routers.
• RAM-Speicher: das Austauschzentrum für die Daten, die während des Betriebs verarbeitet werden.
• FLASH-Speicher: Speicherort des Betriebssystems des Routers.

Zu den wichtigsten externen Komponenten gehören:

• WAN-Anschluss: der Zugang zum Weitverkehrsnetzwerk, d. h. zum Internet. Dabei handelt es sich in der Regel um den Zugang zum Telefonnetz oder um einen Glasfaseranschluss usw.
• LAN-Anschluss: die Anschlüsse für die physischen Netzwerkverbindungen, in der Regel handelt es sich um zwei oder mehr.
• WLAN-Antenne: Antennen ermöglichen die drahtlose Verbindung verschiedener Geräte.
• LED-Anzeigen: dienen zum Anzeigen des Status des Routers (ein, aus, aktive Verbindung, u.a.).

Routing und Routing-Tabellen

Das Routing ist die wichtigste Funktion von Routern, denn es ermöglicht die Weiterleitung von Datenpaketen von einem Gerät zum anderen, bis sie ihr Ziel erreichen. Jedes Zwischengerät führt das Routing durch, indem es das Paket an das nächste weiterleitet, und ermittelt dabei jeweils die beste Route.

Die Entscheidung eines Routers, Datenpakete weiterzuleiten, basiert auf der Analyse seiner Routing-Tabelle, d. h. er berücksichtigt dabei den Empfänger der Pakete: an sich selbst, an ein lokales Gerät (im eigenen Netzwerk) oder an ein entferntes Gerät (außerhalb des eigenen Netzwerks).

Eine Routing-Tabelle ist eine Datei, in der Routing-Informationen über entfernte und/oder direkt verbundene Netzwerke gespeichert werden, d.h. sie enthält Zuordnungen von Netzwerken oder von nächsten Schritten.

Router stellen zusätzliche Routeninformationen zur Verfügung, z. B. wie die Route entdeckt wurde, wie lange sie bereits in der Tabelle steht und welchen bestimmten Netzwerkadapter verwendet werden soll, um ein vordefiniertes Ziel zu erreichen.

Um die beste Route zu ermitteln, sucht der Router in seiner Routing-Tabelle nach einer Netzwerkadresse, die mit der Ziel-IP des Datenpakets übereinstimmt. In diesem Sinne lässt sich Folgendes feststellen:

• Direkt verbundenes Netzwerk: Wenn die Ziel-IP-Adresse des Pakets zu einem Gerät in einem Netzwerk gehört, das direkt mit einer der physischen Netzwerkadaptern des Routers verbunden ist, wird das Paket direkt an das Zielgerät weitergeleitet.
• Entferntes Netzwerk: Wenn die Ziel-IP-Adresse des Pakets zu einem entfernten Netzwerk gehört, wird das Paket an einen anderen Router weitergeleitet. Entfernte Netzwerke können nur durch Weiterleitung von Paketen an ein anderes Netzwerk erreicht werden.
• Keine Route ermittelt: Wenn die Ziel-IP-Adresse des Pakets nicht zu einem verbundenen oder entfernten Netzwerk gehört, ermittelt der Router, ob ein Gateway der letzten Instanz (auch als Standard-Gateway bezeichnet) erreichbar ist. Wenn eine Standardroute existiert, wird das Paket weitergeleitet, andernfalls wird es verworfen.

Beste Route

Die Ermittlung der besten Route für den Versand von Datenpaketen ist eine Entscheidung, die der Router auf der Grundlage der Bewertung mehrerer identifizierter Routen zum Zielnetzwerk trifft. Es sollte hinzugefügt werden, dass in diesem Fall jede Route einen anderen physischen Ausgangsnetzwerkadapter auf dem Router verwendet, um das Zielgerät zu erreichen.

Die beste Route wird auf der Grundlage des Wertes bzw. der Metrik ausgewählt, die zur Bestimmung der Entfernung zum Zielnetzwerk verwendet werden. Eine Metrik ist ein quantitativer Wert, mit dem die Entfernung zwischen dem Router und dem Zielnetzwerk gemessen wird, daher ist die beste Route diejenige mit der niedrigsten Metrik.

Andere Metruken, die bei der Auswahl der besten Route berücksichtigt werden, sind u.a. die Gesamtzahl der Schritte zum Zielnetzwerk, die verbrauchte Bandbreite, die Verzögerung bei der Zustellung der Datenpakete oder die Zuverlässigkeit.

Routing: statisch und dynamisch

Um die Routing-Tabelle eines Routers zu erstellen, können Routen statisch oder dynamisch implementiert werden.

Statische Routen werden manuell vom Netzwerkadministrator konfiguriert und definieren einen eindeutigen Pfad zwischen zwei Geräten. Sie sind in kleinen Netzwerken leicht zu implementieren und bleiben im Allgemeinen unverändert. Sie verbrauchen weniger Bandbreite, da der Router keine Verarbeitungszyklen für die Berechnung und Übermittlung von Routen benötigt, was die Effizienz der Netzwerkressourcen erhöht.

Sie werden jedoch nicht automatisch aktualisiert und müssen manuell neu konfiguriert werden, wenn sich die Netzwerktopologie ändert oder das Netzwerk vergrößert wird, was ihr größter Nachteil ist.

Andererseits können Router auch dynamisches Routing einsetzen, um Informationen über den Status und die Konnektivität entfernter Netzwerke auszutauschen und so ihre Routing-Tabelle automatisch aufzubauen.

Dynamisches Routing eignet sich für alle Netzwerktypen, die aus mehreren Routern bestehen. Sie sind skalierbar und ermitteln automatisch die besten Routen, wenn sich die Topologie ändert. Es eignet sich eher für große Netzwerke und erfordert einen höheren Ressourcenverbrauch für seinen Betrieb.

Anstatt sich auf manuell konfigurierte statische Routen zu entfernten Netzwerken auf jedem Router zu verlassen, ermöglicht dynamisches Routing die automatische Erkennung neuer Netzwerke durch andere Router. Diese Netzwerke und die besten Routen zu diesen werden in die Routing-Tabelle aufgenommen und als dynamisch entdeckte Netzwerke bezeichnet.

Sicherheit für die Router

In einem Netzwerk sind die Router im Allgemeinen ein Verbindungspunkt zwischen den verschiedenen internen Geräten (LAN) und dem Rest der digitalen Welt (Internet). Daher müssen sie richtig konfiguriert sein, um die Sicherheit zu maximieren und in der Lage zu sein, jeden Angriff zu stoppen oder zu verhindern, der über das Netzwerk ausgeführt werden könnte.

Hier sind einige grundlegende Maßnahmen zur Verbesserung der Sicherheit eines Routers:

• Firmware aktualisieren: Der Router verfügt über einen Satz von Betriebs- und Konfigurationsbefehlen, die in seinem internen Speicher (Firmware) gespeichert sind. Firmware-Updates sind stabil und daher selten, aber es ist ratsam, sie zu installieren (falls vom Hersteller des Modells verfügbar), um Sicherheitslücken zu vermeiden, die im Laufe der Zeit entdeckt werden.
• Standardanmeldung ändern: Der einfachste Weg, auf den Router zuzugreifen, ist über eine Webschnittstelle mit der IP-Adresse (normalerweise 192.168.0.1, 192.168.1.1 oder ähnlich). Im Allgemeinen haben fast alle Router des gleichen Herstellers oder Modells einen Standard-Benutzernamen und ein Standard-Passwort, um den ersten Zugang zu erleichtern. Diese Informationen sind öffentlich zugänglich und oft so einfach wie: „admin/admin“. Es ist daher notwendig, zumindest das Passwort so schnell wie möglich zu ändern, um unbefugten Zugriff auf den Router und damit die Kontrolle über das gesamte Netzwerk zu verhindern.
• Sicheres Wi-Fi-Passwort festlegen: Wie beim Router-Zugangspasswort ist es auch bei den meisten heutigen Heimroutern wichtig, das Standardpasswort für den Zugriff auf das drahtlose Wi-Fi-Netzwerk festzulegen oder zu ändern. Für die drahtlose Verbindung ist eine WPA2-Verschlüsselung mit möglichst starken Passwörtern erforderlich.
• SSID ändern oder verbergen: SSID (Service Set Identifier, Dienstgruppenname) ist ein Name, der in allen Paketen eines drahtlosen Netzwerks enthalten ist. Der aus alphanumerischen Zeichen bestehende Standardname verrät in der Regel das Modell und den Hersteller des Routers, was man nicht preisgeben sollte, insbesondere wenn der Standardzugang nicht geändert wurde. Neben dem Ändern des Namens besteht eine weitere Möglichkeit darin, ihn zu verbergen, um zu verhindern, dass er auf anderen Geräten als drahtloses Netzwerk angezeigt wird.
• Fernzugriff auf den Router deaktivieren: In den meisten Fällen ist es nicht notwendig, auf den Router entfernt (z.B. aus dem Internet) zuzugreifen. Dies kann zu einem großen Sicherheitsproblem werden, das von böswilligen Dritten ausgenutzt wird. Es wird empfohlen, diese Funktion zu deaktivieren.
• MAC-Adressen verwalten: Jedem Gerät, das eine Verbindung zu einem Netzwerk herstellen kann, wird eine eigene eindeutige ID in Form einer MAC-Adresse zugewiesen. Diese Hersteller-ID kann nicht geändert werden und ermöglicht so eine genaue Kontrolle darüber, welche Geräte auf ein Netzwerk zugreifen können (oder nicht). Die meisten Router bieten eine Funktion zur Filterung von MAC-Adressen, und es ist möglich, bestimmte Geräte zu sperren oder eine Liste von Geräten zu erstellen, mit denen eine Verbindung hergestellt werden darf.

Insgesamt ist es mit einfachen, gut konfigurierten Einstellungen möglich, die Sicherheit von Routern erheblich zu verbessern und die Barriere für den Datenaustausch zwischen den internen Geräten eines LAN und der Außenwelt des Internets zu verstärken.