© Rin Boonprasan, 123RF.com

Gegen Überwachung können Mesh-Netzwerke entgegen einer verbreiteten Annahme zwar nur wenig ausrichten, dennoch sterben die Ad-hoc-Netzwerke trotz kommerzieller Konkurrenz nicht aus. Im Gegenteil: Sie haben Zulauf, und auf Protokollebene gibt es ständig neue Entwicklungen.

Seit etwa einem Jahr greift in der Gesellschaft die Erkenntnis Raum, dass die Geheimdienste, allen voran die NSA und das britische GCHQ, das Internet systematisch ausspähen. Wer sich die Reaktionen der Regierungen und der ertappten Geheimdienste anschaut, dem wird schnell klar, dass hier weder Einsicht noch Mäßigung zu erwarten sind.

Also bleibt es der diffus als Internet-Community bezeichneten Nutzer- und Entwicklerbasis überlassen, ihre Privatsphäre selbst zurückzuerobern. “Wir müssen das Netz wieder dezentralisieren”, forderte nicht nur Sir Tim Berners-Lee, der Begründer des WWW.

In welche Richtung das gehen kann, zeigen einige der Softwareprojekte, die Redecentralize.org [1] auf der Webseite vorstellt, darunter etwa Ark OS [2], Telehash [3], Mailpile [4] oder Media Goblin [5]. Etablierte Projekte wie Tor [6] oder Bitcoin [7] nutzen längst P2P-Technologie, Verschlüsselung und dezentrale Ansätze, um der Privatsphäre trotz allem eine Chance zu geben.

Dezentrale Hardware

Doch wie sieht es mit der Hardware aus? Die von Eben Moglen initiierte Freedom Box Foundation [8] arbeitet schon recht lange an Debian-basierten Plug-Servern, die mit Hilfe von Onion Routing, VPNs und Verschlüsselung die Privatsphäre der Nutzer schützen sollen. Nach einem erfolgreichen Crowdfunding 2011 ist die Firmware aber erst bei Version 0.2 angekommen.

Blätter wie die “New York Times” [9], “Die Zeit” [10] und “Wired” [11] suchen den Stein der Weisen in mobilen Ad-hoc-Netzwerken, auf Englisch Manet abgekürzt. Häufig werden solche Netzwerke auch als vermaschte Netze oder Mesh-Netzwerke bezeichnet, eine eindeutige Abgrenzung beider Begriffe fällt schwer [12]. Gemeint sind drahtlose Verbindungen mobiler Geräte im Ad-hoc-Modus, wobei die Geräte Daten von Knoten zu Knoten weiterleiten und spezielle Netzwerkprotokolle die Routen dynamisch anpassen (Abbildung 1). In Europa gibt es solche Mesh-Netzwerke zum Beispiel in und um Barcelona, Athen, Wien und Bern, aber auch in deutschen Städten wie Hamburg, Berlin oder Leipzig.

Abbildung 1: Ausschnitt eines Mesh-Netzwerks mit fünf Knoten, von denen zwei zugleich als Backbones und zwei als Internet-Gateways fungieren.

Glaubt man den Medienberichten, sprechen im Wesentlichen zwei Argumente für den Einsatz dieser Netzwerke: Ausfallsicherheit und Privatsphäre. “Verglichen mit zentralisierten Netzwerkarchitekturen”, schreibt die Wired-Autorin unter [11], “besteht der einzige Weg, um ein Mesh-Netzwerk abzuschalten, darin, jeden einzelnen Knoten abzuschalten.” Vor allem in Ländern mit autoritären Regimen ist es nicht unwahrscheinlich, dass Regierungen im Krisenfall auf den großen Ausschalter drücken, um den politischen Gegner zu schwächen.

Im Falle von Naturkatastrophen haben sich Mesh-Netzwerke bereits mehrfach als robuster erwiesen als kommerzielle Infrastrukturen. Das gewagtere zweite Argument lautet, dass solche Netzwerke es Geheimdiensten schwerer machen, die Nutzer abzuhören (siehe Kasten “Interview mit Elektra Wagenrad”), aber dazu später mehr.

Freifunker

Einige der Leute, die ein solches Mesh-Netzwerk betreiben, die Berliner Freifunker [13], sitzen an einem kühlen Mai-Abend im Berliner Hackerspace “C-Base” und beantworten die Fragen von Neulingen zum Thema. So möchte etwa der angehende Betreiber eines Hostels seine Gäste per Mesh mit Internet versorgen. Tatsächlich scheint diese Art der Mesh-Nutzung populär zu sein: Verschiedene WLAN-Router verteilen über mehrere Etagen den Zugang zum Internet-Gateway. Laut Mario Behling [14], einem Freifunker, der in Vietnam lebt, verwenden dort auch Fünf-Sterne-Hotels mitunter Mesh-Netzwerke, um den Gästen einen Internetzugang zu ermöglichen, ohne Kabel verlegen zu müssen.

Die Berliner Freifunker gehören zu den Pionieren beim Aufbau solcher Netzwerke, von ihnen stammten auch die ersten für Mesh-Router angepassten Firmwareversionen auf Open-WRT-Basis. Mittlerweile gibt es Freifunker in vielen deutschen Städten. Sie arbeiten mal lose organisiert, mal im Verein. Auf ihren Routern läuft meist Open WRT, in der Regel mit stadteigenen Anpassungen.

Bei den Berliner Freifunkern kann sich jeder Interessierte beteiligen, das Netz deckt einen großen Teil der Stadt ab und verfügt zurzeit offiziell über 188 Knoten. Das größte Netz befindet sich aber in Hamburg mit rund 450 Knoten. Mitunter laufen noch Dienste auf Servern im Netzwerk selbst, zum Beispiel Chatserver oder Blogs, aber auch News- und Timeserver.

Während einige Leute das Berliner Netzwerk über Dritte mitnutzen, können sich Engagierte in drei Stufen direkt beteiligen [15], die Starter-Kit, Level 2 und Backbone heißen. Wer sich einen Router aufs Fensterbrett stellen möchte, greift zum Starter-Kit und kann seine Internetverbindung auch für andere freigeben.

Ist der Stadtteil noch nicht im Netz, bringt ein Level-2-Unterstützer ihn über einen Outdoor-Router auf die Karte. Dazu muss der Router auf einem Balkon oder Dach stehen und Sichtkontakt mit einem anderen Freifunk-Router in einem 5-Kilometer-Radius halten. Das Rückgrat des Freifunk-Netzes aber sind die Backbones: Sie bilden ein Netz über den Dächern der Stadt und funken etwa per Richtfunkverbindung von Kirchtürmen zu Rathausdächern.

In der Regel, erklärt Bastian von den Berliner Freifunkern, befinden sich auf den einzelnen Türmen oder strategisch wichtigen Dächern zwölf Router. Vier bauen im 5-GHz-Band Richtfunkstrecken zu anderen Backbones auf, vier weitere funken im 2,4-GHz-Frequenzband auf die umliegenden Straßen und noch einmal vier tun das Gleiche im 5-GHz-Band.

Interview mit Elektra Wagenrad

Elektra Wagenrad ist Autorin eines Mesh-Buches und im Freifunk-Projekt aktiv.

Linux-Magazin: Wie haben sich Mesh-Netzwerke und die Freifunk-Bewegung in den vergangenen zehn Jahren entwickelt?

Elektra Wagenrad: Wir hatten eine Vision, die darauf gewartet hat, dass wir sie realisieren. Wir haben mit Routingprotokollen gekämpft, die nichts taugen, und Treibern, die immer abgeschmiert sind und die Rechner zum Stillstand gebracht haben. Davon sind wir jetzt weg. Wir haben eine ganze Auswahl funktionierender Routingprotokolle. Auch bessere Treiber haben wir. Aber es gibt neue Probleme, wo wieder irgendwas instabil wird. Was die Bedeutung von Freifunk angeht: Es hat viele Leute inspiriert. Hier in Deutschland haben wir gerade einen ordentlichen Zulauf.

Linux-Magazin: Was ist es, das die Bewegung gerade wieder aufleben lässt?

Elektra Wagenrad: Es gibt eine neue Generation von jungen Leuten, die eingestiegen sind und die großen Spaß dran haben. Die machen aus verschiedenen Gründen mit, also etwa aus sozialem Engagement oder technischem Interesse. Die Motivation hat sich geändert. Früher waren wir die Pioniere, die Technik entwickeln wollten. Außerdem versorgten wir die weißen Flecken. Heute wollen zwar immer noch Leute gern die Netze nutzen, aber die Gründe sind andere, denn die Breitbandversorgung ist ja relativ gut. Viele Leute mögen die Idee der Freifunk-Netze. Außerdem sind einige eher besorgt: Sie wollen mit diesen Netzen ihre Freiheit verteidigen.

Linux-Magazin: Wie haben sich Freifunk-OLSR und Batman seit dem Erscheinen deines Buches weiterentwickelt?

Elektra Wagenrad: Batman Advanced, also das Layer-2-Protokoll, ist dazugekommen. Technisch ist das aber ein ziemlicher Spagat. Es geht darum, dass die Mesh-Router ein Layer-2-Netz aufbauen, das für die Clients so aussieht, als wäre alles lokal und alle [Knoten; d. Red.] über einen physikalischen Switch miteinander verbunden. Das hat viele technische Implikationen. Zum Beispiel muss man speziell Sorge dafür tragen, dass das ARP-Protokoll funktioniert. Man muss einem solchen Batman-Advanced-Knoten zudem beibringen, dass, wenn er in seinem LAN-Segment 100 Geräte hat, er diese 100 MAC-Adressen auch mit dem Rest des Netzes teilt. Das wirft Skalierungsprobleme auf.

Linux-Magazin: Neben der Skalierbarkeit gab es ja auch Sorgen bezüglich der Sicherheit. Habt ihr dafür bereits eine Lösung?

Elektra Wagenrad: Das Protokoll basiert auf MAC-Adressen. Vor allem mobile Geräte haben aber eine feste MAC-Adresse, die auch nicht zufällig neu randomisiert wird. Auf einem Linux-Gerät kannst du die MAC-Adresse ändern, aber mit einem normalen Telefon ist das nicht drin, es sei denn, man hackt sich da rein. Ich sehe das persönlich nicht so sehr als Problem, aber natürlich gibt es Leute, die dafür jetzt ein Problembewusstsein entwickeln. Ich komme von der technischen Seite und möchte, dass das Netz funktioniert, und bin nicht in erster Linie um Privatheit besorgt.

Bedenken gegen die Netzwerke hat es immer gegeben. Ich warne davor, den Heilsversprechungen zu glauben, die manche Journalisten sensationsheischend aufbauschen: Die freien Netze bringen die Freiheit, verteidigen die Freiheit – da sollte man keine übertriebenen Erwartungen wecken. (Jan Rähm)

Mehr Privatsphäre? Na ja

Ob Mesh-Netzwerke allerdings mehr Schutz vor Geheimdiensten bieten, bezweifeln selbst die Betreiber. Die darunterliegenden Layer-2-und-3-Protokolle (OLSR, Batman und weitere) bieten keine eigenen Sicherheitsmechanismen an. Relativ anonym kann bleiben, wer sich als einfacher Nutzer bei einem vorhandenen Mesh-Knoten anmeldet und zum Beispiel über HTTPS im Internet surft.

Wer sich jedoch mit seinen persönlichen Daten bei einem Dienst anmeldet, muss sich darauf verlassen, dass die Betreiber des Dienstes eine sichere SSL-Implementierung anbieten. Zudem können andere Nutzer – und im Zweifel auch ein Geheimdienst – den gleichen Knoten nutzen, um den Rechner einfacher anzugreifen.

Ein rechtliches Problem: Wer bei den Berliner Freifunkern per Starter-Kit netterweise seinen Internetzugang mit anderen teilt, würde dank der Störerhaftung für illegale Downloads der Mitnutzer haften. Um dieses Problem zu umgehen, bieten die Berliner Freifunker an, den Router per VPN mit ihrem Internet-Gateway zu verbinden [16]. Abmahnungen landen dann bei den Freifunkern, für die aufgrund ihrer Rolle als ISP in Sachen Störerhaftung andere Reglungen gelten.

Letztlich kann ein Anwender den über Mesh-Netzwerke erreichten Grad an Privatsphäre jedoch auch über konventionelle Netzwerke erreichen, etwa über Tor oder eine anonyme VPN-Nutzung. Daher dürfte dieses Kriterium für die meisten Mesh-Nutzer nur eine untergeordnete Rolle spielen.

Mesh in Groß

Noch populärer als in Deutschland sind Mesh-Netzwerke in anderen Teilen Europas und der Welt, weil sie häufig den besseren Internetzugang bieten. Zum Teil handelt es sich um Community-Netzwerke, zum Teil rollen kommerzielle Anbieter Mesh-Netzwerke aus.

In einem Vortrag auf der Internetmesse Re:publica stellte Mario Behling unter anderem Guifi.net vor ([17], Abbildung 2). Der katalanische Anbieter betreibt erstaunliche 25000 aktive Knoten in einem riesigen Netzwerk, insgesamt sind es sogar rund 38000. Grund für die Popularität sei die schlechte vorhandene Infrastruktur gewesen. Allerdings hat die Initiative auch selbst Glasfaserleitungen sogar in ländlichen Gegenden verlegt, daher ist das Netz kein reines Community- und auch kein vollständiges Mesh-Netzwerk.

Abbildung 2: Sehr beliebt: Im Guifi.net rund um Barcelona gibt es etwa 25000 aktive Knoten, wobei es sich nicht um ein reines Mesh-Netzwerk handelt.

In Athen sollen immerhin rund 2500 Nutzer am Athens Wireless Metropolitan Network hängen ([18], Abbildung 3), das aus Frust über den langsamen Ausbau der Breitbandinfrastruktur in der Region entstand. Weitere Mesh-Netze finden sich etwa in Afrika, Südamerika und Australien – das Phänomen ist global.

Abbildung 3: Auch in Athens Wireless Metropolitan Network ballen sich zahlreiche Knoten.

Hard- und Software

Wer sich mit Mesh-Netzwerken beschäftigt, stößt schnell auf ein Buch [19], das Corinna Eichele, die sich Elektra Wagenrad nennt, 2007 verfasst hat. Es bietet interessante Einblicke in die Protokolle und technischen Hintergründen von Mesh-Netzwerken, allerdings hat sich seit 2007 einiges getan (siehe “Interview”).

Zum Beispiel in puncto Hardware: So empfehlen die Berliner Freifunker in ihrem Wiki [20] eine Reihe von Indoor- und Outdoor-Routern, meist von TP-Link mit Atheros-Chipsätzen, die inzwischen recht zuverlässig arbeiten.

Das war nicht immer so: Im Buch widmen sich zahlreiche Seiten den endlosen Problemen mit der Hardware und den Unzulänglichkeiten der Treiber. Einige Routerhersteller behandeln den Ad-hoc-Modus noch immer recht stiefmütterlich, sodass benötigte Features nicht korrekt funktionieren und es zum Beispiel Probleme beim Einsatz mit mehreren Ad-hoc-Partnern gibt, weil die Hersteller einzelne Szenarios schlicht nicht testen. Grundsätzlich lassen sich jedoch alle Router einsetzen, auf denen das Linux-basierte Open WRT läuft.

Die Fähigkeiten eines Mesh-Netzwerks stehen und fallen jedoch mit den eingesetzten Protokollen. Klassiker, die noch häufig zum Einsatz kommen, sind OLSR und Batman. Die beschreibt Elektra in ihrem Buch recht ausführlich. Die Spezifikation für das OLSR-Protokoll (Optimized Link State Routing) stammt ursprünglich von der französischen Forschungseinrichtung INRIA und ist als RFC 3626 [21] spezifiziert.

Hierbei verschicken die Knoten im Mesh-Netzwerk permanent Hello-Nachrichten an die anderen Knoten und geben so die Informationen zur Netzwerktopologie weiter. Das ist wichtig, weil sich die Topologie eines Mesh-Netzwerks theoretisch permanent ändert: Neue Knoten und Internet-Gateways tauchen auf, vorhandene wechseln ihren Standort, dadurch ändern sich Routen.

Eine freie Implementierung des RFC unter BSD-Lizenz haben die Betreiber von Olsr.org veröffentlicht. Als die Freifunker diese 2004 in der Praxis mit 25 Knoten testeten, stellten sie schnell fest, dass einige der implementierten Features nicht wirklich gut funktionierten, namentlich der Hysterese-Algorithmus und die Multipoint-Relays [22]. Daher entstand eine Freifunk-Implementierung von OLSR, die nicht mehr kompatibel zur der von Olsr.org war. Während letztere ungeachtet der Qualität stets nach der kürzesten Route sucht, haben die Freifunker einen anderen Ansatz verfolgt.

Danach errechnen die Knoten aus der Qualität der Verbindungen zu sich selbst (LQ) und der zu den Nachbarn (NLQ) die Wahrscheinlichkeit, mit der ein Paket einen bestimmten Nachbarn erreicht: ETX = 1/(LQ * NLQ). Liegt der ETX-Wert (Expected Transmission Count) bei 1.0, geht kein Paket verloren, liegt er bei 4.0, kommt nur jedes vierte abgeschickte Paket durch.

Das Freifunk-OLSR errechnet nicht nur ständig ETX-Werte, sondern feilt darüber hinaus auch mit Hilfe von Topology Control Messages (TCM) ständig an topologischen Karten des Mesh-Netzwerks, die an alle Knoten gehen.

Dank des Fisheye-Algorithmus flutet Freifunk-OLSR nicht ständig alle Nodes mit TCMs, sondern versieht nur jedes 13. Paket mit einer langen TTL (Time to Live), während alle anderen Pakete nur ein bis drei Schritte weit kommen. Das schärft den Blick auf die direkten Nachbarn, lässt aber weit entfernte Knoten eher trübe erscheinen (Abbildung 4).

Abbildung 4: Über TCMs mit variabler TTL behält das Freifunk-OLSR-Protokoll das Netzwerk im Fischauge, ohne zu viel Overhead zu erzeugen.

Über Host Network Announcements (HNA) kündigt ein Knoten an, dass er zugleich als Gateway für ein Subnetz dient, dessen Adressen im Mesh-Netzwerk einmalig sein müssen. Das OLSR-Plugin Httpinfo listet alle HNA-Ankündigungen unter »http://localhost:8080« auf.

IP-Adresse, Netzmaske sowie die Domain-Name-Server-Adresse muss der User aber selbst im Router eintragen, Elektras Buch schlüsselt zudem die zahlreichen Parameter in der Datei »/etc/olsrd.conf« auf.

Der Einsatz von OLSR birgt auch Probleme in sich: Besonders in großen Netzen mit Hunderten Knoten dauert die Kalkulation des Topologie-Graphen mitunter einige Sekunden, was zu Verzögerungen und anderen Problemen führt, weil die Routingtabellen nicht überall auf dem gleichen Stand sind. Zudem verursacht das Umschalten zwischen Internet-Gateways aufgrund der Network Address Translation (NAT) Probleme.

Der 2013 implementierte Multismart-Gateway-Mode routet den Traffic der verschiedenen Internet-Gateways ohne NAT an einen zentralen Proxy, der dann die Antworten an die Gateways zurückschickt. Neben dem höheren Konfigurationsaufwand entstehen dadurch allerdings auch ein Single Point of Failure, unter Umständen mehr Kosten sowie ein Minus an Sicherheit, denn der Traffic lässt sich an einem einzigen Punkt mitschneiden.

Batman

Die Entwickler des Batman-Protokolls (Better Approach To Mobile Ad-hoc Networking, [23]), zu denen auch Elektra gehört, lösen das letztgenannte Problem, indem sie automatisch UDP-Tunnel zu einem Internet-Gateway aushandeln. Aber nicht nur das: Batman senkt auch den Overhead. Nicht alle Knoten müssen die komplette Topologie kennen und diese Daten permanent erneuern. Bei Bedarf visualisiert ein externer Server diese Topologie.

Das Protokoll überflutet das Netzwerk per UDP-Broadcast mit so genannten Originator Messages (OMs), die die Ursprungs-IP, eine Sequenznummer, eine TTL sowie die IP des letzten Absenders enthalten – jedoch keine Zieladresse (Abbildung 5). Die Pakete sind typischerweise 52 Byte groß und suchen sich automatisch den schnellsten Weg durchs Netz.

Abbildung 5: Die Originator Messages (OM) des Batman-Protokolls enthalten die Ursprungs-IP, die IP des letzten Absenders, einen TTL-Wert sowie eine Sequenznummer.

Angenommen es gibt drei Routen 1, 2 und 3 von Punkt A nach Punkt Z. Gelangen zum Beispiel die OMs mit der Ursprungs-IP von Punkt A am schnellsten über Route 2 zum Punkt Z, weiß der Mesh-Knoten Z jetzt nicht nur die IP-Adresse von Punkt A, sondern auch die des Nachbarn, über den eine Route dorthin führt. Auch wenn er kurze Zeit später alle drei Routen kennt, würde er seine Daten über den schnellsten Nachbarn auf Route 2 in die Richtung von Punkt A schicken.

Batman gibt dabei nur bidirektionale Nachrichten weiter, stellt also sicher, dass ein Knoten nicht nur sendet, sondern auch empfängt. Knoten, die auf das Internet zugreifen, können dies zudem ankündigen.

Batman Advanced

Wer sich die Karte der deutschen Freifunk-Communities [20] anschaut, entdeckt, dass einige Netze auch bereits Batman Advanced (»batman-adv« ) einsetzen. Im Gegensatz zu OLSR und Batman verursacht die neue Version [24] weniger Datenverkehr im Mesh-Netz und macht auch sonst einiges anders als der Vorläufer.

Das Protokoll beruht zwar auf Batman, operiert aber dank eines Kernelmoduls auf dem OSI-Layer 2 (Abbildung 6). Es tauscht also Routing-Informationen nicht über UDP-Pakete aus und ändert auch keine Routingtabellen. Vielmehr verfügen alle Knoten im Netz über einen virtuellen Switch-Port, den eine virtuelle Ethernet-Schnittstelle (»tap« ) emuliert.

Abbildung 6: In Batman Advanced operieren die Knoten auf OSI-Layer 2, nutzen virtuelle Switches und identifizieren sich über ARP und Tabellen, welche die MAC-Adressen enthalten.

So agiert das komplette Mesh-Netz wie ein riesiger verteilter Switch. Die Daten und Routing-Informationen tauschen die Knoten dabei über nackte Ethernet-Frames aus, während der Übertragung verlassen die Pakete Layer 2 nicht. Die Teilnehmer brauchen auch keine IP-Adressen, denn Batman Advanced verwendet ARP und Tabellen mit MAC-Adressen.

Damit lassen sich auf dem übergeordneten OSI-Layer-3 alle möglichen Protokolle betreiben und aus der Sicht von Ebene 3 sind alle Nodes im Mesh-Netzwerk nur einen Hop voneinander entfernt. Über Bridges kann der Admin nicht vermaschte Clients (etwa Mobilgeräte) einbinden: HNA-Nachrichten schicken Listen mit MAC-Adressen der Geräte aus dem Subnetz ins Netzwerk, was sogar Roaming ermöglicht. Da das Routing im Kernelspace und nicht im Userspace erfolgt, verursacht Batman Advanced kaum Rechenlast beim Prozessieren der Pakete.

Battlemesh

Auch wenn die hier vorgestellten Protokolle in Deutschland, Österreich und der Schweiz durchaus populär sind, gibt es noch einige weitere, zu denen unter anderen BMX, Babel oder Open 802.11s zählen. Das letztere Protokoll ist eine Teilspezifikation des IEEE-Standards 802.11, ebenfalls auf Layer 2 verankert und soll eine offene Implementierung von 802.11s werden.

In einer löblichen Tradition treffen sich viele der Betreiber weltweiter Mesh-Netzwerke einmal im Jahr zum Battlemesh [25], Version 7 fand Mitte Mai in Leipzig statt. Der Name ist Programm, denn die Teilnehmer lassen dabei die verschiedenen Protokolle in Feldtests gegeneinander antreten und diskutieren in Talks und Workshops aktuelle Probleme, etwa den Umgang mit Störungen im Frequenzband. Sie besprechen neue Entwicklungen in Protokollen oder tauschen sich über ihre Erfahrungen als Freizeit-ISPs aus. Es sieht so aus, als würde die Evolution der selbst organisierten Netze weitergehen.