Dezentrale Hoods planen

[Tim Niemeyer]

Hi Sebastian
Oh je.. Eine HTML Mail.
Leider kann man deine Mail ohne HTML nicht ordentlich quoten. Wäre
super, wenn du beim nächsten mal eine "rein Text" Mail schreibst, Dots
kann man z.B. mit einem "*" machen.
On Thu, 2019-01-31 at 16:44 +0100, freifunk at beibecks.de wrote:
> Hallo zusammen,
> 
> da ich selbst dran bin, wollte ich einmal möglichst allgemein für
> alle diskutieren, mit welcher Hardware ich eine dezentrale Hood
> optimal realisieren kann.
> Das ist natürlich für jeden Fall unterschiedlich.
> 
> Hier das Konzept dazu: https://wiki.freifunk-franken.de/w/Dezentrale_
> Hood.
> Im Monitoring findet ihr bestehende dezentrale Hoods hier in gelb (ht
> tps://monitoring.freifunk-franken.de/statistics) oder hier auf der
> Karte (https://monitoring.freifunk-
> franken.de/map?mapcenter=49.57911,11.07422,11&source=1&layers=0,0,1,0
> ,0,0,0).
> 
> Bitte korrigiert meine Fehler und ergänzt meine Auflistung wo nötig
> =)
> Dann bekommen wir einmal eine schöne Übersicht für alle Mitleser!
> 
> Um das Thema noch einmal kurz zusammenzufassen:
> Ziel ist, einen "kleinen" geographischen Bereich (ein Haus, eine
> Straße, ein kleines Dorf) abzudecken
Eines der Primärziele war und ist (da kommt das System ursprünglich
her) Richtfunk über Hood-Grenzen hinweg zu ermöglichen.
Heut zu Tage hat sich das alles ein wenig gewandelt, das Ziel ist zwar
geblieben aber es sind noch viel mehr dazu gekommen.
> Man stellt das Gateway lokal auf, anstatt die Router über das
> Internet mit den regulären v2 Gateways zu verbinden
> Die großen Layer2 Netze werden vermieden -> effizienter
Es ist nicht nur effizienter, sondern auch robuster.
Die zentral verwalteten Hoods kann man ohne Aufwand auch remote
komplett zerstören, wenn man das möchte. Das ist bei den dezentralen
alles schon etwas schwerer, aber vor allem ist es allein aufgrund der
Größe nicht so ein großes Ziel.
> Diese Hood hat einen eigenes Hoodfile, welches nicht über den
> KeyXchange verteilt wird, sondern via Mesh oder per Hand
> Individuelle SSID
> Funkkanäle können individuell gesetzt werden, aber sind identisch für
> alle angeschlossenen Geräte mit FFF-Firmware
Das war mal so eine Idee, ja.
Die Tendenz geht heute ganz klar gegen das Hoodfile. Dieses wird es
vermutlich so nicht geben.
> Das dezentrale Gateway wird über Richtfunk und/oder VPN Verbindungen
> über den Internetanschluss mit dem "normalen" FFF Netz verbunden und
> ist somit ein Teil des großen Ganzen
> Einsatz von effizienten VPN Tunneln
> Ein Peeringpartner wird benötigt, welcher einem die Gegenstelle
> bereitstellt
> Durch mehrere Peerings mit unterschiedlichen Leuten besteht quasi
> immer eine Notfallroute, selbst wenn ein oder mehrere Gateways im
> Internet ausfallen
> Klartext: Wenn das Gateway genügend Hardwareleistung hat, bekomme ich
> fast die ganze Geschwindigkeit die dort ankommt hinten wieder raus!
Hier ist vielleicht noch wichtig zu verstehen, dass wir zwar echtes
Routing machen, aberda wir ohne Full-Table arbeiten, sehen die Router
meistens nicht die optimalen Routen. Das führt dazu, dass man nur die
anderen Freifunker über mehrere Verbindungen zeitgleich erreichen kann.
Das Internet ist aber immer nur über eine Verbindung zur gleichen Zeit
erreichbar. (Bricht die Verbindung weg, wird auf eine alternative
ausgewichen, aber es findet kein "Load-Balancing" statt!).
> Man kann an sein dezentrales Gateway sowohl Router mit FFF-Firmware
> anschließen...
> Identischer Funktionsumfang wie vorher
> Wie ist hier die Bandbreite im vergleich zu einem v2 Setup? Es ist
> kein FastD mehr nötig, aber gibt es noch immer eine Bremse??

Das war mal so eine Idee, ja.

Die Tendenz geht heute ganz klar gegen das Hoodfile und gegen Batman-
Adc. Dieses wird es vermutlich so nicht geben.

> ...oder Router mit der originalen Hersteller Firmware 
> Größere Auswahlmöglichkeit
> -> Eventuell mehr Updates, je nach Hersteller
> -> Outdoorfähig mit 5GHz, unserer FFF-Firmware fehlt die DFS-
> Zertifizierung
> Unveränderter Datendurchsatz, da das Gerät einfach nur als
> AccessPoint arbeitet

Das Verständnis ist heute so, dass es mit WDS, 802.11s sowie div.
propritären "Meshing-Protokollen" genügend Möglichkeiten gibt sich eine
"WLAN Wolke" zu bauen. In dem Sinne ist das von dir aufgezeigte
Vorgehen absolut gut und korrekt. Freifunk Firmware für Knoten ist
nicht mehr nötig.
> Man ist eigentlich gar nicht mehr von der Firmware Entwicklung der
> Freifunker abhängig 
> Nötig ist lediglich ein Gerät (Router, Mini-Rechner, PC, Server, VM,
> ...), welches Verbindungen irgend einer Art zu einem anderen Gerät im
> Freifunknetz herstellt
> Ansatz: Linux Installation analog zu v2-Gateway
> Ohne fastd VPN für Knoten
> Mit Wireguard VPN zu zentralen Gateway
Ja. Ich persönlich favorisiere natürlich GRE über Wireguard, aber das
ist halt meine Geschmacksrichtung, die einfach nur um ein vielfaches
schneller ist.
> Es gibt Stand heute privat entwickelte Firmwares für die "üblichen"
> von FFF unterstützen Router Modelle
> Benutzung auf eigene Gefahr!
> Wird bereits von vielen Freifunkern genützt und getestet (auch von
> mir, läuft super!)
> Man hat alles in einem Gerät, inklusive WLAN
> Es ist eine offizielle FFF-Firmware für dezentrale Gateways in
> Arbeit, ebenfalls für die "üblichen" Modelle
> Es gibt kein festes Datum, die Entwickler arbeiten daran 
> Wer Firmware bauen kann ist immer gerne als Unterstützung willkommen!

Richtig, aber mit den oben erwähnten Tendenzen.
> ...
> 
> Was für mich jetzt vor allem interessiert, welche Geräte lohnen sich
> für was?
> Was sind die Vor- und Nachteile?
> Für welche Leitung benötige ich welche Leistungsklasse?
> "übliche" Router Modelle mit spezial Firmware für dezentrale Gateways
> Man hat die "fertige" Firmware von den Profis
Jein. Das ist zwar einerseits fertig, andererseits ist es bitte noch
ordentlich zu konfigurieren und man muss sich natürlich seine
Peering/Transit Partner suchen.
Das Dezentrale Setup ist _kein_ Ersatz für das zentrale Zeugs. Es gibt
im Moment keine Tendenzen das Setup "so einfach wie möglich" zu machen,
damit es jeder einfach so verwenden kann. Wer da mitmachen will muss
sich mit den Sachen auch beschäftigen. Schwer ist das alles absolut
nicht und jeder wird in der Lage sein sich einzuarbeiten, dafür ist die
Community ja jederzeit da und kann Hilfe geben. Aber am Ende baut man
sich selber ein Netzwerk und verbindet sich mit anderen. Das eigene
Netzwerk muss von einem selbst gepflegt werden, da gibt es kein Fransel
mehr, der das für einen macht, so wie das jetzt aktuell bei den zentral
verwalteten Hotspots ist.
> Man hat ein Gerät für alles (Gateway, WLAN, Router, Switch)
> Es ist deutlich schneller als ein normaler v2 Knoten
> Es ist (noch) deutlich komplizierter zu konfigurieren als ein v2
> Knoten 
> Relativ billig, geringer Stromverbrauch
> 
> Geräte:
> TP-Link WDR4900 v1
> Standardempfehlung, 
> Starke CPU -> Schnelle VPN Verbindung
> 802.11n auf 5GHz mit 3x3MiMo -> gutes WLAN (nur indoor!)
> Gemessener Bandbreitenrekord: 100 Mbit/s  (bitte ändern, wenn jemand
> mehr hat!)
Ins Internet habe ich mit etwas über 190 MBit/s gemessen. Da lag das
Limit aber nicht am Gerät.
Das besondere an den Dinger ist die PowerPC Architektur die einfach
unschlagbar ist.
> TP-Link 1043ND
> Standard Freifunk Router
> Nur 2.4GHz WLAN
> Gemessener Bandbreitenrekord: x Mbit/s  (bitte ändern, wenn jemand
> mehr hat!)
> TP-Link Archer C60
> Verfügbar
> 802.11ac auf 5 GHz mit 2x2 MiMo -> schnelles WLAN (nur Indoor)
> Gemessener Bandbreitenrekord: x Mbit/s  (bitte ändern, wenn jemand
> mehr hat!)

Ich würde am ehesten zu Geräten ohne WLAN raten.
> Mini-Rechner
> Geringer Platz- und Strombedarf
> Relativ günstig
> Meist wenig Leistung, wenig Anschlüsse
> Oft nur 1 LAN-Port
> Oft kein Wlan
> Anschlüsse teils über USB 2 angesteuert -> langsam
> fast alles kann (per USB) nachgerüstet werden
> Wenn SD-Karten als Festplattenersatz eingesetzt werden, sollten
> hochwertige verwendet werden
> Diese sind tendenziell nicht auf viele Lese-/Schreibvorgänge
> ausgelegt
> Durch Image-Backup relativ unproblematisch, da Karten billig sind und
> 2-5 Jahre halten sollten (keine pauschale Aussage möglich)
> Geräte:
> Raspberry 3B+
> 1 LAN Port, via USB 2.0 -> 240 Mbit/s brutto
> schwache Hardware
> Gemessener Bandbreitenrekord: ca 150 Mbit/s, stark schwankend (bitte
> ändern, wenn jemand mehr hat!)
> ODROID-XU4(Q)
> 1x Gigabit LAN
> USB 3.0
> eMMC Speicher
> Viel Rechenleistung für ein ARM-System
> Gemessener Bandbreitenrekord: x Mbit/s  (bitte ändern, wenn jemand
> mehr hat!)
Das Ding ist ziemlich teuer. Performance ist total geil, wenn man keine
Crypto braucht. Hier hilft also z.B. GRE.
Hier läuft ein Tor-Exit auf so einem Teil:http://185.220.100.255/
> Kleine x86 Rechner
> Geringe Größe
> Mehr Stromverbrauch, teurer
> Teils überdimensioniert, gut für zentrale Richtfunkstandorte und
> große Installationen
> 
> Geräte:
> ZOTAC ZBOX-CI327NANO
> Klein
> 2x Gigabit LAN
> AC WLAN (incl. externem Antennenanschluss)
> USB 3.0
> SATA und M.2 Anschluss
> RAM und Festplatte nicht inklusive
> Passiv gekühlt
> Gemessener Bandbreitenrekord: >400 Mbit/s  (bitte ändern, wenn jemand
> mehr hat!)
> INTEL® NUC-KIT NUC6CAYH
> Klein
> 1x Gigabit LAN
> AC WLAN 
> USB 3.0
> SATA und M.2 Anschluss
> RAM und Festplatte nicht inklusive
> Passiv gekühlt
> Gemessener Bandbreitenrekord: x Mbit/s  (bitte ändern, wenn jemand
> mehr hat!)
> "Normale PCs"
> Mehr Stromverbrauch, teurer
> Meist überdimensioniert, gut für zentrale Richtfunkstandorte, große
> Installationen oder zuhause, da vorhanden
> Gemessener Bandbreitenrekord: -> Hier wird die Leitung eher zum
> Flaschenhals als die Hardware
> Virtuelle Maschinen
> Einfaches klonen und umziehen
> Hardware meist eh schon vorhanden
> Einfaches Handling
> Komplizierteres Routing durch Hypervisor
> Gemessener Bandbreitenrekord: -> Hier wird die Leitung eher zum
> Flaschenhals als die Hardware
> Router mit anderer Firmware
> OpenWRT generell
> Kann adaptiert werden -> Wireguard VPN ins FFF Netz, der Rest wäre
> individueller Eigenbau
> Mikrotik
> Möglichkeit OpenWRT zu flashen -> Lizenz ist futsch
> Möglichkeit OpenWRT zu virtualisieren -> ab 64 MB RAM (ungetestet!)
> Nutzung Originalfirmware
> RouterOS kann kein Wireguard aber andere VPNs
> Kann ich nicht jedes beliebige VPN nutzen, solange es ein zentrales
> v2 Gateway unterstützt? Wie wäre es mit diesen Konkreten Beispielen?

Du kannst jedes beliebige VPN nutzen, was L3 oder L2 (etwas langsamer)
kann. Das verwendete VPN wird zwischen den Peering-Partner
ausgehandelt.
Ich würde dir GRE empfehlen.
> OpenVPN
> L2TP
> IPSEC
> -> Damit könnte man für >=50€ einen kleinen WLAN Router von der
> Stange verwenden!
> Geräte:
> hAP
> 5x FastEthernet
> PoE in & out
> WLAN N
> ca 40€
> hAP ac lite
> 5x FastEthernet
> PoE in & out
> WLAN ac
> ca 45€
> hAP ac
> 5x Gigabit + 1 SFP
> PoE in & out
> WLAN AC
> ca 120€
> 
> Auch wenns mal wieder ne ewig lange Mail ist, freu ich mich auf euer
> Feedback.
> Wenn wir hier ne schöne Auflistung hinbekommen, wandert das Ganze
> auch später ins Wiki!

Ok, cool. :)
Dann hier noch n Tipp für GRE:* benötigt feste IPs auf beiden Seiten,
alternativ kann man sich mit Scripten behelfen, die die IP Config nach
einem IP-Wechsel entsprechend aktualisieren.* Geht in aktuell DOCSIS
3.0 Modems kaputt (entweder ein ganz altes Cisco oder ein DOCSIS 3.1
Gerät nehmen; VF kann die auf hartnäckiger-Anfrage tauschen)
Tim
> Grüße,
> Sebastian
> 
> 
-------------- nächster Teil --------------
Ein Dateianhang mit HTML-Daten wurde abgetrennt...
URL: <http://lists.freifunk.net/pipermail/franken-freifunk.net/attachments/20190212/f5f70a12/attachment-0001.html>
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname   : signature.asc
Dateityp    : application/pgp-signature
Dateigröße  : 833 bytes
Beschreibung: This is a digitally signed message part
URL         : <http://lists.freifunk.net/pipermail/franken-freifunk.net/attachments/20190212/f5f70a12/attachment-0001.sig>