ich habe mich mal etwas mit OpenWrt auseinandergesetzt und bin zu dem Ergebnis gekommen, dass OpenWrt für einen Max Mustermann, also ohne jegliche Ausbildung in der IT, eigentlich überhaupt nicht im Rahmen des Möglichen ist, wenn man OpenWrt nicht nur installieren, sondern auch langfristig sicher nutzen will.
Ich habe dazu eine Antwort auf eine Frage bei Reddit gesehen, die ich ganz passend finde (sry, ist auf Englisch):
OpenWRT exposes a huge array of networking things you can configure. Networking is complicated. You can spend an entire career in the field and still not know everything.
Das ist also nicht wie bei GrapheneOS, wo man mal schnell ein Tutorial schaut, wie man das auf seinem Smartphone installiert und welche etwas andere Einstellungsmöglichkeiten es dann gibt.
So wie ich das sehe, brauch man eigentlich zumindest irgendeine offizielle Ausbildung in der IT, um wie erwähnt, OpenWrt nicht nur installieren, sondern auch langfristig sicher nutzen zu können.
Meine erste Frage: Seht ihr das auch so?
Meine zweite Frage: Braucht es dann nicht eigentlich eine Alternative zu OpenWrt? Weil auch ein Max Mustermann ohne IT-Ausbildung hat einen sicheren und datenschutzfreundlichen Router verdient.
Für „Max Mustermann“ ist OpenWrt nicht die naheliegendste Lösung, wenn es um einen dauerhaft sicher betriebenen Router geht. OpenWrt ist ein sehr mächtiger Werkzeugkasten. Ein Werkzeugkasten ersetzt jedoch keine Fachkenntnisse. OpenWrt ist kein Sicherheitsgurt, den man einfach anlegt. OpenWrt ist eher die Werkstatt, in der man den Sicherheitsgurt montiert. Für Leute mit Netzwerkverständnis ist OpenWrt hervorragend geeignet. Für normale Anwender, die einfach nur einen sicheren, gepflegten und datenschutzfreundlichen Router wollen, ist es eher nicht geeignet.
Wer OpenWrt trotzdem spannend findet, muss es nicht sofort auf dem produktiven Heimrouter installieren. Man kann OpenWrt auch sehr gut erst einmal virtuell oder auf separater Testhardware ausprobieren. Gerade als VM mit getrenntem WAN- und LAN-Interface lässt sich gefahrlos viel lernen: Firewall-Zonen und -Regeln, NAT, DHCP, DNS, VLAN, Routing, Updates und Dienste. Dabei merkt man schnell, dass viele Fragen nicht spezifisch OpenWrt betreffen, sondern die Netzwerktechnik und Netzwerksicherheit allgemein. WLAN und echte Router-Hardware sind noch einmal ein eigenes Thema. Für die Grundlagen ist ein solches Labor aus meiner Sicht jedoch der deutlich bessere Einstieg als ein Blindflug am produktiven Anschluss.
Danke @Cyberduck, sehr schöne Einschätzung! Das bestätigt auch meine eigene (mit - nach allem was ich von Dir bislang gelesen hab - im Gegensatz zu Dir weitaus weniger fundiertem Hintergrundwissen).
OpenWrt interessiert auch mich schon länger, habe auch schon ein wenig diesbezüglich recherchiert und verfolge so ziemlich jedes Thema dazu hier im Forum. Aber aufgrund Zeitmangel bin ich bislang nicht dazu gekommen, mich damit eingehender zu beschäftigen. Ich habe jetzt keine umfassende IT-Ausbildung (nur in bestimmten recht speziellen Bereichen), aber als durchaus IT-affiner Autodidakt mir so einiges angeeignet und auch im IT-Bereich gearbeitet. Und auch wenn ich mir dadurch doch einiges Basiswissen im Bereich Netzwerk, Router, etc. angeeignet habe, ist dies doch vergleichsweise rudimentär und für so etwas wie OpenWrt bräuchte ich sicher einiges an Lern- und Einarbeitungszeit.
Kürzlich stand hier ein Routerwechsel an und da ich auch dahingehend sehr gern von proprietären Systemen weg und selbst mehr Kontrolle darüber haben wollen würde, hatte ich sogar überlegt, ob es die Gelegenheit wäre, quasi ins kalte Wasser zu springen und entweder den alten Kasten mit OpenWrt zu bespielen oder gleich den OpenWrt One anzuschaffen. Bei letzterem hätte allerdings sowieso einiges an hardwareseitigem Funktionsumfang gefehlt, so dass er nur Zusatz zu anderer Hardware hätte sein können, aber auch das Thema generell habe ich dann lieber aus genanntem Zeitmangel verschoben, da das Produktivsystem einfach funktionieren muss und das vor allem sicher. Und die Gefahr, mir aufgrund mangelndem Wissen und Erfahrung - wenn auch nur vorerst und kurz - ein Sicherheitsloch zu reißen, war mir einfach zu groß, so dass es zunächst doch wieder was proprietäres wurde.
Daher steht die von @Cyberduck genannte Variante - sich zunächst per Zweitgerät oder VM daran zu versuchen und zu lernen (und es dann später auch produktiv umzusetzen) - bei mir definitiv recht weit oben auf der To-Do- bzw. Nice-To-Have-Liste. Aber die ist leider auch recht lang und, wie erwähnt, der Zeitmangel… Mal sehen, wann ich dazu komme.
Wie heißt es im Englischen? „Need and justification“
Ich würde deshalb zwei andere Fragen stellen:
Benötige ich überhaupt die vielen Features, die OpenWrt bereitstellt, oder tut es auch ein gewöhnliches Consumer-Gerät ohne Openwrt?
Gibt es andere Router, die für meine Verhältnisse genügend Sicherheit und Datenschutz bieten und bin ich damit vielleicht sogar sicherer unterwegs, da weniger Spielraum für Fehlkonfigurationen besteht?
Ich für meinen Teil benötige Features die man in den meisten Consumer-Router-OS nicht findet, also musste ich mir die Zeit nehmen mich entsprechend in Openwrt einzuarbeiten. Für die meisten Durschnittsnutzer tuts aber auch eine gewöhnliche Fritzbox.
Also ich fand den Umstieg von eine 0815 Fritzbox auf OpenWRT auch als Anfänger nicht allzu schwierig. Natürlich muss man sich die einzelnen Funktionen genauer anschauen und etwas recherchieren. Die offizielle Doku/WiKi sind sehr ausführlich, zugegebenermaßen manchmal aber etwas veraltet. Auch findet man viel im www dazu, wenn man etwas nicht versteht oder Fragen zur jeweiligen Konfiguration hat.
Zu den „vielen Features“ muss man sagen, dass man diese alle erst installieren muss und dass das basic-image recht simpel und einfach gehalten wird.
Was mir bis jetzt mit openWRT am meisten Probleme bereitet hat sind updates/upgrades welche braking changes enthielten. Da war ich auch schon mit einem nicht mehr funktionierenden Router etwas überfordert. Aber die Not macht erfinderisch und man lernt ja auch dazu.
Also als prinzipiell ungeeignet würde ich OpenWRT auch für Einsteiger nicht einstufen, aber man muss sich bewusst sein, dass keine grosse Firma dahintersteckt, die im vorherein alles austestet und Support leistet.
Ich kann nur meine persönliche Einschätzung zu einem Versuch beschreiben OpenWRT bei mir einzusetzen. Mich hat die Vielzahl an Konfigurationsdetails und die sinnvollerweise notwendige Auseinandersetzung damit überlastet, sodass ich es nicht hinbekommen habe einen einfachen DMZ-Aufbau im Stil von
[Internet-Zone] ↔ [DMZ-Zone] ← [Intranet-Zone]
aufzubauen, damit ich in der DMZ-Zone System aufstellen konnte die ich aus dem Internet erreichen kann aber nicht meine normale Intranet-Zone zugänglich zu machen. Interessanterweise habe ich weder im OpenWRT Wiki noch im Internet Artikel gefunden, die diese Vorgehensweise für mich nachstellbar dokumentiert hatten.
Ich habe dann das Konstrukt tatsächlich dann mit zwei hintereinander geschalteten Fritz!Boxen (eine 4040 als Internet-DMZ-Router, eine Fritz!Box mit Telefonfunktion als DMZ-Intranet-Router) realisiert. Nun habe ich zwar ein „Doppel-NAT“ aber die notwendigen Extra-Aufwände beliefen sich eigentlich nur noch auf Port-Freigaben für die Telefonie-Funktion und dann für meinen „DMZ-Server“.
Also von meiner Erfahrung aus - OpenWRT muss ein Hobby-Projekt sein bei der man die notwendige Zeit wirklich investieren will. Mir war der Aufwand den ich anscheinend investieren hätte müssen einfach zu groß.
Nach all dem, was ich nun hier und anderswo gelesen habe, scheint es wirklich eine Marktlücke oder einfach nur eine Lücke zu geben, da wohl Viele vom proprietären, oft unsicheren und datenschutzfeindlichen Standard-Router wegkommen wollen, aber OpenWrt dann eben doch zu viel Fachwissen erfordert, sodass oft sogar IT-affine Menschen aufgeben und dann doch den proprietären, oft unsicheren und datenschutzfeindlichen Standard-Router nehmen MÜSSEN.
Es braucht wohl echt eine Alternative zu OpenWrt, damit auch Max Mustermann oder ein IT-affiner Max Mustermann, der nicht im IT-Bereich arbeitet, in den Genuss von einem offenen, sicheren und datenschutzfreundlichen Router kommen kann.
Es braucht da eine Art GrapheneOS im Routersegment, und damit meine ich nicht nur, dass der Router so sicher sein soll wie GrapheneOS, sondern dass er auch vergleichsweise leicht zu bedienen sein soll. Wenn man nämlich GrapheneOS mit dem Standard-Android vergleicht, gibt es da gar nicht so viele oder so starke Unterschiede bei der Bedienung bezw. der Schwierigkeitsgrad ist doch sehr ähnlich. Wer also mit einem normalen Android zurechtkommt, kommt wahrscheinlich auch mit GrapheneOS zurecht. Vielleicht muss man sich 1-2 Videos dazu anschauen, aber oft reicht das dann auch.
OpenWrt ist dann doch eher etwas für „Profis“ oder sogar nur für „Profis“ mit genug Zeit.
Daher, und weil keiner so richtig auf meine zweite Frage eingegangen ist: Wir brauchen eine Alternative zu OpenWrt. Ich weiß nicht, welche Leute hier in welchen Communities noch aktiv sind, daher vielleicht mal die Anregung, dieses Thema auch mal dort anzusprechen. Wer weiß, vielleicht gibt es dann auch irgendwann eine Art GrapheneOS für Router. Wenn nämlich alle dazu schweigen oder nur in ihrer eigenen kleinen Blase das Problem benennen, wird sich nie etwas ändern.
Mich interessiert das Thema auch. Vielleicht wäre es auch möglich, ein vorgeschaltetes Frontend-Programm zu entwickeln, daß weniger gebildeten Hobbyisten (wie mich) mit vordefinierten aber anpaßbaren Settings ermöglicht, ein so entwickeltes Setting in einem Schwung auf einen OpenWRT Router zu übertragen.
Ein neues, aber einfacheres Projekt halte ich für weniger günstig, weil dann wieder ein Dschungel und ein Durcheinander entsteht.
Dazu müßte man imho vor allem dem GrapheneOS Handy angewöhnen, immer die selbe Gateway Adresse zu benützen, wenn man den Mobile Access Point (vulgo Tethering) einschaltet. Die Adresse ändert sich nämlich jedes Mal. Oder weiß da vllt. bitte jetzt schon jemand Abhilfe?
Wie viele Router- oder Firewall-Systeme hast du denn schon ernsthaft ausprobiert, um beurteilen zu können, dass das Problem ausgerechnet bei OpenWrt liegt?
Vieles, was an OpenWrt kompliziert wirkt, ist nicht OpenWrt selbst, sondern Netzwerktechnik: Firewall-Zonen, NAT, DNS, DHCP, Routing, VLANs, IPv4 vs. IPv6, TCP, UDP, ICMP, Ports, Dienste, Anwendungsprotokolle und das Zusammenspiel der verschiedenen Netzwerkschichten. Eine andere Oberfläche kann das hübscher verpacken oder stärker verstecken, aber sie zaubert die zugrunde liegende Komplexität nicht einfach weg.
Wenn man einen Router selbst sicher betreiben will, kommt man an diesen Grundlagen irgendwann nicht vorbei. Das ist bei OpenWrt sichtbarer als bei vielen Consumer-Routern, aber nicht grundsätzlich ein OpenWrt-spezifisches Problem. Genau deshalb ist OpenWrt vor allem dann ein geeignetes Werkzeug, wenn man das Problem verstanden hat, das man damit lösen möchte.
Da hast du recht. Zum Einstieg hab ich soeben das richtige Bastelobjekt gefunden: Bei mir liegt ein alter Funkrouter (Ersatzteil) herum, ein tp-link CPE-210. Auf diesen läßt sich lt. Freifunk auch OpenWRT flashen. Siehe hier: https://wiki.freifunk.net/TP-Link_CPE210/TFTP-Flash_unter_Windows
Damit will ich OpenWRT mal kennen lernen.
Ich wäre bei einem CPE210 als Einstieg etwas vorsichtig. Es handelt sich dabei nicht um einen normalen Heimrouter, sondern um einen Access-Point mit einigen Spezialfeatures. Damit kann man zwar experimentieren, holt sich aber gleich wieder zusätzliche Themen ins Spiel, mit denen man sich herumschlagen muss.
Wenn du OpenWrt und Netzwerktechnik lernen möchtest, würde ich eher mit einem kleinen Lab anfangen, zum Beispiel mit einer virtuellen OpenWrt-Instanz, einem alten, unterstützten Router oder einem einfachen Testgerät mit zwei Netzwerkkarten. Dann kannst du dich auf die eigentlichen Grundlagen konzentrieren: Routing, NAT, DHCP, DNS, Firewall-Zonen und Logs.
Sonst besteht die Gefahr, dass du nicht OpenWrt lernst, sondern gleichzeitig OpenWrt, Sonderhardware und Fehlersuche in mehreren Nebenkriegsschauplätzen. Das kann man machen, aber als ersten Schritt ist es vielleicht unnötig steil.
Ich verstehe den Anspruch, einen möglichst sicheren und datenschutzfreundlichen Internet Router haben zu wollen, nur verstehe ich nicht, wie du zu der Aussage „oft unsicheren und datenschutzfeindlichen Standard-Router“ kommst. Woran machst du das fest? Auf welche Geräte beziehst du dich?
Dass die Vodafone Gigacubes tlw. von Huawei kommen und manch ein Nutzer damit seine Probleme hat, ist das eine, nur ist in Deutschland vielfach die Fritzbox der Standard-Internet-Router und wird oft über viele Jahre mit Updates versorgt, was ein Zeichen dafür ist, dass man sich bei AVM (oder wie die jetzt heißen) auch um die Sicherheit kümmert.
Wenn du einen datenschutzfreundlichen Standard-Router haben willst, dann wäre die Frage, was du darunter verstehst?
Das was es bräuchte wäre ein einfacher Modus der Weboberfläche LuCi, der fortgeschrittene Features in ein extra Menü verfrachtet. Ein komplett neues OS ist dazu nicht erforderlich. Manche Nutzer dürften aber schon an der Hardwareauswahl scheitern. Man muss häufig zwei Geräte kombinieren, da viele OpenWrt-Router kein passendes Modem haben.
Eine Alternative wäre an Stelle von OpenWrt ein System mit ipfire. Das hätte allerdings den Nachteil, das man ein zusätzliches Modem benötigt, denn ipfire bietet keinerlei Modemtreiber. Dafür allerdings Wlan-Unterstützung. Ipfire selbst ist zwar auch nicht „so bequem“ wie eine Fritzbox aber aus meiner Sicht einfacher als OpenWrt zu handhaben.
Ich habe vor ca. 6..7 Jahren damit auf einem System von PC-Engines (APU2…) angefangen. Wlan war kein Problem. Und mit einem solchen Minisystem mit 3 oder mehr NIC’s kann man dann auch recht einfach eine DMZ mit einbinden. Lohnt sich vielleicht für den Einen oder Anderen, dort mal vorbei zu schauen…
Das sieht für mich eher nach einer offenen FritzBox-Alternative aus, welche hier gewünscht wird.
Zudem finde ich es kritisch, wenn User Zugriff auf Profifeatures haben möchten, die sie nicht verstehen und auch nicht erlernen möchten. Und dieses Manko soll dann eine „offene wünsch dir was-FW“ wieder wett machen.
Vielleicht sollte man sich besser entscheiden, welchen der existierenden Wege man gehen möchte anstatt auf etwas zu pochen, das es nicht geben wird. Es existiert neben OpenWRT ja auch noch DD-WRT, OPNsense, IPFire, ClearOS, VyOS oder auch kommerzielle Lösungen.
@Cyberduck hat das in seinem Post ganz gut auf den Punkt gebracht mit:
Vermutlich ist es schlauer OpenWRT ausschliesslich als Router-FW zu nutzen, was es grundlegend auch ist und zusätzlich ein passendes Modem mit reiner Modem-Funktion zu verwenden.
So kann man mit einem Modem und mehreren Routern physisch getrennte Netze erstellen.
Leider hast Du bisher nicht ausgeführt, was für Dich einen sicherer und datenschutzfreundlicher Router ausmacht.
Für mich ist es tatsächlich die Fritz!box, dessen Betriebssystem weitestgehend sicher aber benutzerfreundlich ausgeliefert wird, eine gute Softwarepflege betreibt, dessen Hersteller meines Wissens nach keine Datenauswertungen betreibt und trotzdem einen guten Kompromiss an verfügbaren (Sicherheits-)Funktionen und einfacher und verständlicher Administrationsoberfläche bietet.
Zu Hause nutz(t)e ich Funktionen wie:
Internet-Zugriffsfilter (z. B. um veraltete oder datenschutzunfreundliche Geräte nicht ans Internet zu lassen)
Anwendungs-Filter (um den Zugriff auf bestimmte Anwendungs-Protokolle zu blocken - z. B. DNS)
Kinderfilter um die damals kleinen zeitlich zu begrenzen
DNS-over-TLS zu Mullvad DNS als Basis-Blocker von Tracking und Werbung
Fritz-Konto als Dynamischen DNS Dienst um die Fritz!Box (bzw. daherliegende Geräte) aus dem Internet ansprechen zu könnnen
Eingehende Portfreigaben bei meiner dedizierten DMZ Fritz!Box zu einem persönlichen Cloud-Speicher (dedizerten Internet-NAS-Filer)
Fehlen würden mir aktuell vor allem
ein echte DMZ-Zone in die ich von außer erreichbare Geräte stellen kann, die jedoch Ihrerseits nicht auf meine internen Geräte zugreifen kann, um zu verhinden, dass ein ggf. erfolgreich angegriffener Dienst als Sprungbrett zu meiner sonstigen Infrastruktur genutzt werden kann.
wenn ich es noch allgemeiner fassen würde, die Möglichkeit weitere Netz-Segmente als Internet, Intranet und Gast zu konfigurieren und zwischen diesen Kommunikationen dediziert zuzulassen.
Tatsächlich sind bei mir deshalb nicht nur zwei, sondern gleich drei Fritz!Boxen in Betrieb die jeweils auf Ihrer internen Seite unterschiedliche Segmente abbilden.
1x DMZ-Fritz!Box (die auch den Internet-Zugang für die anderen Fritz!Boxen bereitstellt,
1x LAN/Gast-Fritz!Box die auf DMZ und darüber das Internet zugreifen kann
1x Haustechnik-Fritz!Box in der sich meine kritische Infrastruktur die Haus-PV und Telefonanlage befindet
Gerne würde ich diese drei Fritz!Boxen zu einem System zusammenfassen. Dieses ist jedoch mit Fritz!OS nicht möglich ohne alle Geräte aus DMZ, LAN und Haustechnik in einem großen Segment zusammen zu mischen.
OpenWrt gibt es doch nicht nur in Plain. Turris und GL.iNet bauen Geräte, die auf OpenWrt basieren, haben aber eigene Benutzeroberflächen draufgesetzt, mit denen auch Anfänger das Gerät leicht in Betrieb nehmen können. Keine IT-Ausbildung nötig. Gleichzeitig kann man jederzeit LuCi öffnen oder sich via SSH verbinden, wenn man fortgeschrittene Konfigurationen vornehmen will.
Wer noch mehr Funktionalität möchte und die nötigen Kenntnisse hat, wird sich auch sicher keinen Heimrouter kaufen und da OpenWrt drauf flashen, sondern die Hardware nach den eigenen Bedürfnissen zusammenstellen und ein echtes Firewall-OS wie OPNsense installieren.
Als ich eben diese Zeilen las, mußte ich schon etwas schmunzeln. Und ich möchte dazu noch folgendes anmerken.
Ich benutze die FRITZ!Box 4040 mit installiertem OpenWRT um mein Heimnetzwerk - welches sich aktuell aus den FRITZ!Boxen 6850 5G (1x), 6690 Cable (1x) und 4060 (3x) zusammensetzt - von der Firma FRITZ! GmbH weitestgehend abzuschotten. Die Hardware-Produkte sind gut. Da besteht kein Fragezeichen. Die Softwareentwicklung allerdings offenbart schon heute die Zukunft dieser Produkte. Die Firmenpolitik der neuen Führung sieht mir jedenfalls nicht mehr
