Umstellung fastd -> L2TP

Hallo,

bei der Umstellung von fastd auf L2TP würde es IMHO Sinn machen, wenn man den gleichen UDP Port 10000 nehmen würde. Sonst muss man erst bei einigen Knotenaufstellern die Firewall umkonfigurieren lassen

Gruß Jörg

1 Like

Ein durchaus valider Punkt, denn „neue FQDN“ wird man dem System vermutlich sowieso ausgeben.

Hallöchen,
wann wird das Ganze eigentlich vollzogen, ich bin mehr oder weger genötigt worden von ffruhr auf ffe zu switchen, muss aber Performanceeinbrüche verzeichnen :frowning:
Gruß

Marcel

1 Like

Ich habe die Anregung (hatten wir schon öfters besprechen) noch mal an Ort und Stelle platziert.

In der nächsten Version werden wir definitiv den Tunneldigger mit aufnehmen.
Einer der Gründe warum wir auch gewartet haben waren die letzten Versionen von Gluon/OpenWRT welche doch einige stabilitäts Probleme hatten.

2 Likes

Gibts da einen neuen Status?
Ich verspreche mir einen besseren Durchsatz mit L2TP

Mhh, Thema scheint tot zu sein.

Hat keiner eine Meinung/Idee/Information?

Für die immer noch vorhandenen DSL Anschlüsse mit < 16 MBit/sec - ja die gibt es noch in Essen, ohne das eine Upgrademöglichkeit besteht - wäre L2TP interessant, weil weniger Overhead über die Leitung geht.

2 Likes

Weniger Rechenleistung -> mehr Bandbreite ist mir klar, aber wie kommst du auf weniger overhead?

Der overhead wird primär durch die Größe der Domäne getrieben.

Das Thema ist nicht tot, siehe Github und die Pullrequests.
Vermutlich in 14 Tage wird es die neue Firmware geben.

3 Likes

Für schlechte Anschlüsse (im Sinne von „Packet-Loss“) ist Fastd besser als L2TP, da ersteres damit besser zurecht kommt.

1 Like

Habe bewusst von schmalbandigen Internetanschluessen gesprochen. Ich habe einen Knoten in Duisburg in der RG-West stehen, der ueber eine 8 MBit Leitung im Netz ist, und habe da ca. ~ 20- 30% mehr Durchsatz bekommen, als dort auf L2TP umgetellt worden ist.

Spannend, das war mir nicht bekannt, dann sollten wir das für Eifel & Co vielleicht auch anbieten.

Stimmt, an ein breiteren Internetanschluss wäre die Steigerung natürlich deutlich größer gewesen.
Der Flashenhals lag bei den CPU-mäßig überbuchten RRL-VMs (die ESXI-Hosts) bei ca 1 bis 2 MBit/s pro VPN-Tunnel.
Mit Umstellung auf L2TP war dann die Netzwerkbandbreite der Hosts der Flaschenhals.

Von daher: Wenn man als Community Supernodes hat, die CPU-technsich „underpowered“ sind, dann ist ein Wechsel zu L2TP ratsam.

Davon abgesehen, dass unverschlüsseltes VPN sowieso keine gute Idee ist… Den Nutzern wurde gesagt, dass der VPN-Tunnel verschlüsselt ist. Man kann daher nicht einfach auf ein unverschlüsseltes Protokoll wechseln. Ich hatte angefangen eine Layer 2-Version von WireGuard zu schreiben. Das macht mit einem WR841 40 MBit/s verschlüsselt. Mit einer Fritz!Box 4040 sind es fast 400 MBit/s. GitHub - CodeFetch/TunnelBridge: Encrypted layer 2 VPN kernel module
Da ich dafür eigentlich keine Zeit habe, da ich jetzt selbstständig bin, warte ich auf finanzielle Unterstützung durch die Niedersachsenförderung.

2 Likes

Hm, ich kann mich nicht daran erinnern, dass wir jemals eine Zusage gemacht haben, ein verschlüsseltes VPN anzubieten. Wenn ja, dann halte ich diese Zusage für überholt.

Man kann Internet über das Freifunknetz teilen

Nun kann man an einer Stelle das Netzwerk an eine Internetverbindung anschließen und es so den Nachbarknoten zur Verfügung stellen. Um die Aufsteller der Knoten, die ihren Internetzugang teilen, vor der Störerhaftung zu schützen, bündeln wir den Internetverkehr und schicken ihn verschlüsselt über die Server des Freifunk Rheinland e.V. ins Internet.

Naja, das ist eigentlich technisch auch nicht ganz richtig.

@jbacksch Freifunk hat eine Vorbildfunktion. Wenn wir das nicht hätten, würde keiner der involvierten Softwareentwickler, die ich kenne, das unterstützen und dann gäbe es Freifunk garnicht. Während es den Knotenaufstellern nur darum geht, überall freies WLAN zu haben, möchten die Softwareentwickler ein zukunftsweisendes, zensurresistentes Konzept realisieren. Auch wenn der Großteil des Internettraffics heutzutage Ende-zu-Ende-verschlüsselt ist, kann und wird eine Freifunk-Supernode abgehört und die Nutzer getrackt. Das ist umso leichter, wenn die VPNs unverschlüsselt sind. Eigentlich ist L2TP überhaupt kein VPN, sondern ein Tunnel. Dein Firmennetzwerk würdest du ja auch nicht über L2TP betreiben wollen. Und wenn wir mal gucken, was Big Brother so kann, dann können sie auch SSL-Zertifikate fälschen und den Inhalt abhören. Wenn Initiativen wie Freifunk nicht wären, dann würden wir jetzt schon in George Orwells 1984 leben und man müsste sich mit Personalausweis bei WLAN-Hotspots registrieren. Jeder Schritt den wir den Überwachern aus Bequemlichkeit entgegenkommen ist ein Schritt in die Digitaldiktatur.

1 Like

Dann lies es nochmal. es wird nichts von den Knoten verschlüsselt nach dem Text.

Um die Aufsteller der Knoten, die ihren Internetzugang teilen, vor der Störerhaftung zu schützen, bündeln wir den Internetverkehr und schicken ihn verschlüsselt über die Server des Freifunk Rheinland e.V. ins Internet.

Die Daten gehen von den Knoten zu den Gateways und gehen von dort dann über verschlüsselte Tunnel zum Rheinland Backbone.

Von daher passt da alles:

Hm, ich kann mich nicht daran erinnern, dass wir jemals eine Zusage gemacht haben, ein verschlüsseltes VPN anzubieten. Wenn ja, dann halte ich diese Zusage für überholt.

Komm’ mal wieder runter von Deiner Palme und geh’ ins Kühlhaus — und lies’ mal wieder, wofür Freifunk steht:

Freie Netze werden von immer mehr Menschen in Eigenregie aufgebaut und gewartet. Jeder Teilnehmer im freifunk-Netz stellt seinen WLAN-Router für den Datentransfer der Allgemeinheit zur Verfügung. Das erweitert das Netz und eröffnet die Möglichkeit Daten, wie zum Beispiel Text, Musik und Filme über das freifunk-Netz zu übertragen oder über von Teilnehmern eingerichtete Dienste im Netz zu chatten, zu telefonieren und gemeinsam Onlinegames zu spielen. Dafür nutzen wir Mesh Netzwerke.
[…]
Unsere Vision ist die Demokratisierung der Kommunikationsmedien durch freie Netzwerke. Die praktische Umsetzung dieser Idee nehmen freifunk-Communities in der ganzen Welt in Angriff.

Da steht mal genau gar nichts von Verschlüsselung des unverschlüsselten WLAN-Datenverkehrs im Transport (der eh’ zwingend unverschlüsselt an die Upstream geschickt wird). Vielleicht ist ja auch Deine Aluhut-Mentialtät mitursächlich für Vergangenes?

Ja, ein verschlüsselter Tunnel Knoten<>Gateway würde DPI vorbeugen; aber wenn das den Knotenaufstellern nicht versprochen wurde, warum daran so krampfhaft festhalten?

2 Likes

Wer hier meint, dass ich nicht lesen könne und wieder zur Schule gehen solle, obwohl er meinen Kommentar anscheinend nicht versteht, der braucht sich nicht wundern, wenn ich sauer werde. Es wurde den Leuten in Essen immer mitgeteilt, dass der Verkehr verschlüsselt werden würde.

Der Text hier:

sollte genau das ausdrücken, aber er war unglücklich formuliert. Denn wenn man ihn wörtlich nimmt, nimmt man an, dass der Traffic nachdem er auf den Supernodes gebündelt wurde, verschlüsselt ans Rheinland Backbone gesendet wird. Davon abgesehen, dass der Verkehr unverschlüsselt von den Supernodes zum Backbone übertragen wird, war die Formulierung nicht falsch, als sie geschrieben wurde. Die Supernodes wurden früher nämlich vom Freifunk Rheinland betrieben. Der Text sollte ausdrücken:

„Um die Aufsteller der Knoten, die ihren Internetzugang teilen, vor der Störerhaftung zu schützen, bündeln und verschlüsseln wir den Internetverkehr und schicken ihn über die Server des Freifunk Rheinland e.V. ins Internet.“

Ob die Formulierung jetzt gelungen oder nicht war, ist egal. Die Leute, die sich einen Freifunkknoten in Essen aufgestellt haben, nehmen an, dass der Traffic in irgendeiner Weise verschlüsselt wird, um den Ursprungsknoten zu schützen.

Ganz sicher nicht. Davon abgesehen, dass ich von Leuten, die IT-Sicherheitsleute als Aluhüte bezeichnen, auch nicht viel halte.

Edit: Ich finde es übrigens nicht nett, dass du einen Beitrag, den ich geschrieben habe, weil ich sauer war und 5 Minuten später zurückgezogen habe, zitierst.

1 Like

der Thread geht um Essen.

Manche Communities, so Essen und z.b. auch wir, haben die Verschlüsselung immer zugesagt.

2 Likes

Das ist ja einer der Diskussionspunkte; der auch derzeit noch auf der vom Freifunk Essen e. V. (der »Ortsgruppe des gemeinnützigen Freifunk Rheinland e.V.«) verantworteten Seite befindliche Text sagt genau nichts über eine Verschlüsselung zwischen Knoten und Gateway/»Superknoten« aus. »Um die Aufsteller der Knoten, die ihren Internetzugang teilen, vor der Störerhaftung zu schützen« reicht es rechtlich aus, daß der Traffic nicht über deren Internetzugang rausfließt, sondern, »NATs are good«, über $wenanders, also z. B. den Freifunk Rheinland e. V. Selbst wenn der transportierende Anbieter DPI machen würde: soweit ich weiß dürfte er es nicht und hätte mithin keine Handhabe gegen seinen Kunden.

Kurz und prägnant: ersichtlich verspricht Freifunk Essen gerade nicht, daß der Weg zwischen Knoten und der Freifunk-Essen-Infrastruktur »verschlüsselt« würde, Punkt. Somit fehlt es auch an Argumenten gegen L2TP.
Ob das anders gemeint war? Wenn dem so wäre, warum schrieb man man das nicht auch so, wie es angeblich gemeint war? Letztlich ist Freifunk Essen ja ein Verein, insofern könnte man ein Meinungsbild oder gar einen Beschluß herbeiführen …

1 Like