MastersForum

Mal wieder folgendes Szenario:

Man möchte spielen, einer kommt nicht rein oder hat dauernd Ping 30. Nach vielem hin und her dann der lapidare Einwurf:

"Ich hab einen Router"
"Hast Du die Ports freigeschaltet?"
"Keine Ahnung, ich kenne mich mit Routern nicht so aus"

*plonk* mit viel Glück bekommt man dass dan hin (wenn der Gegenüber überhaupt bereit ist zuzuhören), meist fehlt aber dann bereits einer oder zwei. Jemanden zu erklären, was er zu tun hat dauert halt ein bischen. Resultat: Spiel/Abend gelaufen.

Wer kennt das nicht?

Deswegen mal eine kleine Einführung, in die gar nicht so komplizierte Welt des Routers und AoK.


Was ist ein Router?
"Der Router soll mich gegen Viren schützen"

Ja das soll/kann er auch, das ist aber nicht seine Hauptaufgabe. Für den Schutz ist die Firewall verantwortlich. Das sind zwei unterschiedliche Dinge. Eine Firewall kann in einem Router integriert sein (ist sie auch meist), muss aber nicht sein.

Betrachten wir zu allererst einmal, wie die Kommunikation im Internet funktioniert und das in einer sehr simplen und vereinfachten Darstellung.

Eine Information (Datenpaket) soll zwischen zwei Rechnern ausgetauscht werden. Vergleichen wir das mal mit einem Brief. Auf den Brief muss eine Absender- und eine Empfängeradresse, damit der Postbote weiss von wo nach wo der Brief gelangen soll. Diese Adresse nennt man IP-Adresse. Weiterhin kann man den Brief nochmal unterteilen und zwar in Umschlag mit der Adresse (=Header) und der eigentliche Briefinhalt (=Datenpaket). Den kompletten Brief nennt man auch Daten-Frame.

Eine IP-Adresse besteht immer aus 4 Blöcken à maximal 3 Ziffern, z.b.: 192.168.1.1 . Wie eine solche IP-Adresse aufgebaut wird unterliegt festen Regeln, die ich hier aber nicht erklären werde.

Vergleichen wir das mal mit einer Firma, die in der Musterstrasse 1 ihren Firmensitz hat.
Der Brief (wir erinnern uns Brief = Datenpaket) hat folgende Adresse auf dem Umschlag (=Header):

Firma XYZ
z.Hd. Frau Mustermann
Musterstrasse 1
11111 Musterstadt

Der Briefträger wird den Brief natürlich nicht direkt Frau Mustermann in die Hand drücken, sondern in einfach beim Pförtner abgeben. Der Pförtner muss jetzt dafür sorgen, dass der Brief Frau Mustermann auf den Schreibtisch flattert.

Und genau das ist die Aufgabe eines Routers (Pförtner = Router). Er weiss wo Frau Mustermann ihr Büro hat und legt den Brief auf ihren Schreibtisch/in ihr privates Postfach. Dafür nimmt er den eigentlichen Brief aus dem Briefumschlag und steckt in in einen neuen Breifumschlag, auf den er die Büronummer schreibt (= der Header wird neu geschrieben, in der Praxis zerlegt ein Router einen Datenframe komplett und baut ihn komplett neu auf).

Nach aussen hin hat die Firma XYZ nur eine Adresse (im Telefon-/Adressbuch steht ja auch nur die Firmenadresse und nicht jedes Büro einzeln), die interne Weiterleitung übernimmt der Pförtner (=Router).

Dafür muss der Pförter aber wissen, in welchen Büro die Frau Mustermann sitzt. Da der Kerl aber vergesslich ist, hat er ein Buch in dem er immer nachgucken kann. Und so ein Buch hat der Router auch, das Ding nennt sich Routingtabelle.

Dafür muss Frau Mustermann aber erst einmal in das Buch eingetragen haben, in welchem Büo sie sitzt. Wie kennt sie aber ihre Zimmernummer? Genau sie guckt nach, geht zum Pförtner und sagt ihm in welchem Büro sie sitzt.

So weit so gut, dass ist grob die Aufgabe eines Router: er verteilt die im Firmenbriefkasten (=vom Provider zugewiesene öffentliche IP-Adresse) beim Pförtner (=Router) ankommende Post (=Datenpakete) in die privaten Postfächer (=interne IP-Adressen). Damit er weiss, wer in welchem Büro sitzt nutzt er sein schlaues Buch (=Routingtabelle).

Kommen wir zur Firewall.

Die Firewall soll verhindern, das "böse" Briefe auf die Schreibtische flattern. Man könnte das vergleichen, wenn jeder Brief vorher auf Sprengstoff überprüft wird. Dafür hat der Pförtner (=Router) ein Sprengstoffsuchgerät (=Firewall). Er nimmt jeden Brief den er vom Briefträger in den Firmenbriefkasten geworfen bekommt und schiebt ihn unter das Sprengstoffsuchgerät. Schlägt das Ding Alarm, wird der Brief einfach weggeworfen (=das Datenpaket wird abgelehnt und verworfen).

Und hier kommen die Ports ins Spiel. Generell wird jeder Brief erst mal als "böse" eingestuft und weggeworfen. Ports erlauben aber, dass bestimmte Anwendungen Datenpakete empfangen/senden dürfen, diese Briefe also generell als "gut" eingestuft werden.

Ports kann man grob als eine Art Untergruppe verstehen: Frau Mustermann arbeitet in einem Grossraumbüro. Sie hat Portnummer 80, ihr Stellvertreter Port Nummer 100. Der Pförtner (=Router) hat auch für sein Sprengstoffsuchgerät (=Firewall) ein weiteres Buch, indem steht, dass Post an Frau Mustermann (=Port 80) generell "gut" ist.

Nochmal die Reihenfolge in der Zusammenfassung:

- Ein Brief (=Datenframe) besteht aus Umschlag (=Header) und Inhalt (=Datenpaket).
- Auf dem Umschlag (=im Header) steht die Absenderadresse und die Empfängeradresse (=öffentliche IP-Adresse).
- Der Briefträger (=TCP/IP-Protokoll) fährt über die Strasse (=Internet) und gibt dem Brief beim Pförtner (=Router) ab.
- Der Pförtner guckt in sein Buch (=Routingtabelle) wo Frau Erika Mustermann sitzt und packt den Brief in einen neuen Umschlag. Findet er Frau Erika Mustermann nicht in seinem Buch, wirft er den gesamten Brief weg.
- Auf diesen Umschlag schreibt er die Büronummer (=interne IP-Adresse des Rechners); die Büronummer hat er aus seinem Buch (=Routingabelle) gefunden.
- Jetzt schiebt er den neu verpackten Brief unter sein Sprengstoffsuchgerät (=Firewall). Ist der Brief "böse" (=Virus) schmeisst er den Brief weg.
- Als letztes guckt er noch in seinem Sprengstoffbuch nach (=Portfreischaltung), ob Frau Erika Mustermann (=Port 6073) diesen Brief überhaupt bekommen darf, oder ob die Geschäftsleitung (=Firewall-Regeln) jegliche Post für Frau Erika Mustermann verbietet.
- Steht Frau Erika Mustermann als erlaubter Empfänger in seinem Sprengstoffbuch drin, geht er in ihr Büro (=interne IP-Adresse) und gibt ihr den Brief.
- Steht sie nicht in dem Buch, wird spätestens hier der Brief weggeworfen.

Das ist sehr grob und sehr plakativ die Funktionsweise eines Routers mit integrierter Firewall.


Jetzt aber zum praktischen Teil:

Was haben wir?

Eine externe IP-Adresse (die vom Provider zugewiesene) und eine interne IP-Adresse (die des Rechners).
Die eigene IP-Adresse kann man sich recht leicht anzeigen lassen:

Start -> Ausführen -> cmd -> ipconfig /all

Wie die interne IP-Adresse verteilt wird ist unterschiedlich. Entweder macht der Router das per DHCP oder der Rechner bekommt eine feste IP-zugewiesen (über Netzwerkeigenschaften). Das lässt sich damit vergleichen, bei einer festen internen IP-Adresse weiss Frau Mustermann wo sie arbeitet. Wird das über einen DHCP-Server gemacht, wird Frau Erika Mustermann morgens immer gesagt: "heute arbeiten sie in Büro xyz".

Da die Portnummern bei Anwendungen für alle Rechner immer die selben sind, muss man sie reservieren. Als Beispiel nehmen wir mal 5 Rechner im internen Netzwerk. Z.b. für DirectX wird der Port 6073 benutzt.

Das lässt sich verdeutlichen, wenn man sich vorstellt, dass es 5 Grossraumbüros gibt und in jedem dieser Büros gibt es erstaunlicher Weise eine Frau Erika Mustermann (=fünf Rechner im internen Netzwerk die alle DirectX installiert haben).
Der Pförtner (=Router) muss also wissen, welche Frau Erika Mustermann denn jetzt genau gemeint ist. Er kann ja schliesslich nicht durch jedes der 5 Büros rennen und fragen "sind Sie die richtige?"
Dies funktioniert also nur, wenn der Pförtner genau weiss, welche Frau Erika Mustermann jetzt ganz genau gemeint ist. Damit er das aber weiss, muss Frau Erika Mustermann (=Port 6073) zum Pförtner (=Router) gehen und sagen: "alle Post für eine Frau Erika Mustermann ist für mich und nicht für die anderen Erika Mustermanns".
Sie muss sich also die eingehende Post reservieren (=Port exklusiv reservieren).
Der Pförtner ist nämlich ein dummer Mensch. Wenn er nicht ganz genau weiss, welche Frau Erika Mustermann in welchem Büro den Brief bekommt (=er also keine Portreservierung in seinem Buch hat) wird er zwei Dinge tun: er wird den Brief entweder sofort wegwerfen (=discard) oder er wird solange von Büro zu Büro an die Türen klopfen, bis ihm irgendeine Erika Mustermann die Tür öffnet (=Broadcast) und dieser dann den Brief n die Hand drücken (egal ob es die richtige ist oder nicht).
Da der Pförtner aber nicht nur dumm sondern auch noch faul ist, wir er als Standard die Dienstorder haben: "werfe alle Briefe weg, die Du nicht absolut exakt zuweisen kannst". Hat er diese Anweisung nicht, wird er wie gesagt so lange rumrennen, bis er irgendeine Frau Erika Mustermann findet (=Broadcast) und das erschöpft ihn natürlich sehr. Dass bedeutet er wird immer langsamer, da er ja viel rennen muss (=Traffic) und andere müssen auf ihre Post warten (=Latency steigt).

Also muss man im Router eintragen "alle Briefe (=Datenpakete) an Frau Erika Mustermann (= in diesem Fall Port 6073) gehen in Büro xxx (=interne Rechner-IP) und nur dort hin und nirgendwo anders hin.

Diesen Vorgang nennt man IP-Forwarding. Je nach Routertyp kann der Menüpunkt anders heissen, aber da hilft ein Blick ins Handbuch.

AoK benötigt folgende Ports:

2300-2400 TCP und UDP
47624 IN & OUT (für DirectX7)
6073 UDP IN & OUT (für DirectX8 und höher).


So sieht das dann etwa im Routermenü aus:

http://www.mastersgames.de/wbb2/attachme…tachmentid=2274

www.mastersgames.de/wbb2/attachment.php?attachmentid=2275

(Bilder geklaut von El-Locko)

Hoffe die Beschreibung ist nicht zu kindisch, aber vielleicht versteht mal so der ein oder andere was er tun muss, wenn es mal wieder mit Router nicht funktioniert.

Doch es ist abhängig von der installierten DirectX Version.

Der Unterschied liegt hierbei zwischen UDP und TCP. DirectX7 nutzt TCP (=Transmission Control Protocol), DirextX 8 und höher nutzt UDP (=User Datagram Protocol) für die Initalisierung eines Datenverkehrs für DirectPlay.

Der Unterschied zwischen TCP und UDP ist recht simpel. Bei TCP wird überprüft, ob die Daten auch angekommen sind (=Einschreiben mit Rückschein sozusagen), bei UDP wird einfach losgefeuert, in der Hoffnung wird schon angekommen sein. UDP ist unsicherer (was den Datenverlust angeht), jedoch schneller als TCP, was für Netzwerkspiele relevant ist. TCP Pakete werden selbständig zu einem Datenstrom zusammengefasst, bei UDP muss das die Zielanwendung übernehmen.

Deswegen sollten beide Ports freigeschaltet werden, da man nicht 100% davon ausgehen kann, dass beide Rechner die gleiche DirectX Version haben. Es ist zwar abwärtskompatibel, mit gesperrtem Port 6073 kann es aber zu Verbindungsproblemen zwischen unterschiedlichen DirectX Versionen kommen.

Paradebeispiel ist hier Windows 2000 in Verbund mit einem XP Rechner. Mit SP4 für W2K wird nur DirectX7 installiert, d.h. die von einem XP mit DirectX 9.0b gesendeten Datenpakete für die Initalisierung der folgenden Daten kommen als UDP an obwohl sie als TCP erwartet werden.


DirectX-Artikel direkt bei Microsoft, inkl. Ports je nach verwendeter Methode:

http://support.microsoft.com/default.aspx?scid=kb;de;d44817


//Edit: @Life: Kannst ihn verwenden, wofür auch immer.

Du hast aber schon gelesen, was ich geschrieben habe oder?

Zitat

nur ist der ruter nicht dazu da um um dich vor vieren zu schützen das macht die firewall ( wenn sie eingeschaltet ist ) bzw wenn die Ports zu sind die den Trojaner oder virus senden bzw empfangen auch kein dailer wird sich mehr einwählen können .

Zitat

Ja das soll/kann er auch, das ist aber nicht seine Hauptaufgabe. Für den Schutz ist die Firewall verantwortlich. Das sind zwei unterschiedliche Dinge. Eine Firewall kann in einem Router integriert sein (ist sie auch meist), muss aber nicht sein

Ist irgendwie genau das selbe oder?


Dein ipconfig/ release bzw /renew Tipp funktioniert aber nur unter zwei Bedingungen:

1. Der Router hat einen integrierten DHCP-Server, der auch konfiguriert und aktiviert ist.
2. Der Client ist als DHCP-Client konfiguriert.
Ist eins der beiden Voraussetzungen nicht der Fall, wird der Client eine sogenannte APIPA-Adresse bekommen (169.254.x.x). Dies ist ein privater Adressbereich, der nicht routbar ist. Weiterhin muss Du dann mit Leases arbeiten, was auch zu Problemen führt wenn diese zu lang eingestellt sind. Für Heimnetze empfiehlt sich immer die Vergabe von festen internen IPs anstatt die weitere potenzielle Fehlerquelle DHCP zu nutzen.

Die DMZ sollte eh nur im Notfall abgeschaltet werden, denn ansonsten kann man den Rechner auch gleich ohne den Router ins Netz hängen und sich den ganzen Aufwand schenken. Die Probleme die hier auftreten basieren aber selten auf falschen Routing-Einstellungen sondern auf falschen/fehlenden Firewall-Einstellungen.

Man kann sich den ganzen Kram auch schenken und eine dynamische Portfreigabe mit dynamischer IP-Adressierung, SPF-Aktivierung etc einrichten. Diese Pförtner heissen aber meist mit Nachname CISCO, sind sauteuer und für den Pivatgebrauch absolut überdimensioniert.