Zum Inhalt
  • Automatische Updates
  • Firmware-Signierung
  • Monitoring-Konzept
  • Administrationskonzept
  • Nutzungsvereinbarung
  • Realisierung des Internet-Zugangs
  • IP-Management-Lösung zur Vermeidung von Konflikten über alle Cluster hinweg
  • Mesh-Sicherheit
  • IPv6 TTL / Hop Limit, wann wird dies in großen Mesh-Netzwerken zum Problem?

Fosternodes in kleinen Clustern

Besonders kleine Cluster möchten vielleicht überhaupt keine Fosternodes betreiben. Was ist mit den wichtigsten Foster-Diensten wie - DNS - Update-Service - Monitoring Eventuell können kleinen Clustern diese Dienste über das Internet angeboten werden, was naturgemäß einen Internet-Uplink erforderlich macht.

IPv6 TTL

In größeren Mesh-Netzwerken könnte die 8-Bit-TTL/Hop-Limit ein Showstopper sein. Daher müssen wir uns mit diesem Problem befassen. Eine Möglichkeit wäre die Verwendung einer Layer-2-Dynamic-Routing-Lösung wie batman-adv. Auf diese Weise könnten alle Knoten einander sehen, als wären sie alle an denselben Switch angeschlossen. Damit Clients sich gegenseitig über IP erreichen können, scheint es notwendig, zusätzlich einen Layer-3-Routing-Algorithmus darauf aufsetzend zu verwenden.

Admin-Zugriff für Knoteneigentümer

Dieses Thema wird diskutiert. Entweder A) dem Eigentümer Admin-Zugriff auf seinen Knoten geben B) dem Eigentümer den Admin-Zugriff auf seinen Knoten untersagen Jede dieser beiden Optionen hat ihre Vor- und Nachteile.

Nehmen wir an, der Eigentümer erhält keine Admin-Berechtigung für seinen Knoten. Bedeutet dies, dass er eine eigene generische Firewall installieren muss, um Einstellungen bezüglich Firewall/NAT und anderem zu verwalten? Es erscheint also erforderlich, dass Knoten so eingerichtet werden, dass Eigentümer ihren eigenen Router anschließen können. Auf der anderen Seite, wenn ein Eigentümer sich gar nicht um Admin-Zugriff kümmert und einfach nur grundlegenden Internetzugang möchte, scheint es eine valide Option zu sein, einen Port am Knoten mit einer primären VLAN-ID zu konfigurieren, die nur grundlegenden Internetzugang bietet.

Automatische Updates

  • möglich mit Ansible?
  • Wie macht das Freifunk?
  • Wie macht das OpenWisp?

Wenn wir davon ausgehen, dass pplznet nicht eine Firmware pro Cluster erzeugt, sondern eine pro Knoten, wird das Upgrade deutlich einfacher. Mit dem Imagebuilder werden Pakete und Konfiguration direkt in das Image eingebrannt. Ein Update würde bedeuten, einfach das neue, aktualisierte Image zu flashen. Die offene Frage ist, wie der Prozess automatisiert werden kann. Wir müssen Erfahrungen mit dieser Technik sammeln.

Firmware-Signierung

  • Wie macht das Freifunk?

Monitoring

  • Metriken
  • Crosslink-Monitoring
  • https://datatracker.ietf.org/doc/html/rfc9046
  • Benachrichtigungen
  • Zabbix / Nagios / Icinga ??? Braucht jeder Cluster eine eigene Monitoring-Instanz?

Administrationskonzept

  • Ansible zur Orchestrierung aller Knoten verwenden?
  • Erfordert Zustimmung der Knoteneigentümer.

Internet-Zugang

Bezahlende pplznet-Nutzer erhalten High-Speed-Internetzugang. Wie lässt sich dies ideal umsetzen? Wir benötigen Authentifizierungsmechanismen, aber gleichzeitig sollte die Leistung nicht zu stark beeinträchtigt werden.

  • WireGuard-VPN-Gateway?
  • Splash Page?
  • AAA (Authentifizierung / Autorisierung / Accounting)
  • RADIUS?
  • Kerberos?
  • LDAP?
  • ...

Mesh-Sicherheit

https://datatracker.ietf.org/doc/html/rfc8967 https://datatracker.ietf.org/doc/html/rfc8968