Client- und Meshnetz

Wer sich mit seinem Handy schon mal mit einem Freifunk-WLAN verbunden hat, ist mit dem Clientnetz bereits vertraut. Es ist das Netzwerk, über das man das Internet erreichen kann. Auch wenn man sich mit einem Kabel an einen der LAN-Ports (meist die gelben Anschlüsse) eines WLAN-Routers verbindet, ist man normalerweise mit dem Clientnetz verbunden. Doch Freifunk-Router verwenden zusätzlich noch ein weiteres Netzwerk: Das Meshnetz.

Beim Meshen geht es darum, dass sich Router untereinander direkt verbinden - also nicht über das Internet, sondern über eine direkte Kabel- oder Funkverbindung. Dadurch können die Nutzer solcher miteinander meshenden Router Daten miteinander austauschen, ohne dass diese über das Internet geleitet werden. Das Meshing bietet aber auch einen anderen Vorteil: Ist ein Router mit dem Internet verbunden, so können alle anderen Router des Mesh-Netzes ebenfalls das Internet erreichen. Man teilt also seine Internetverbindung mit anderen. So kann man auch an Orten ohne eigenen Internetanschluss ein WLAN mit Internetzugang anbieten. Damit Freifunk-Router aber meshen und untereinander Daten austauschen können, müssen diese sich natürlich auch in einem gemeinsamen Netzwerk befinden. Dazu erstellen Freifunk-WLAN-Router ein WLAN-Mesh-Netz. In den Einstellungen des Routers kann man aber auch Mesh-on-LAN und Mesh-on-WAN aktivieren. Durch Mesh-on-LAN erreicht man über die LAN-Ports eines Routers nicht mehr das Client-Netz, sondern das Mesh-Netz. Mit Mesh-on-WAN wird dagegen über den (normalerweise blauen) WAN-Port keine Internetverbindung mehr erwartet, sondern über den Port ist dann ebenfalls eine Mesh-Verbindung möglich.

Ein Geschäft möchte bei Freifunk mitmachen. Da das Geschäft einen Internetanschluss hat, kann es dort einfach einen Freifunk-Router mit seinem WAN-Port anschließen. Der Router erstellt dann ein Freifunk-WLAN, mit dem sich die Kunden verbinden können. Um den Empfang zu verbessern, soll noch ein zweiter Router an einer anderen Stelle im Laden aufgestellt werden. Wenn die Router nicht zu weit auseinander sind (und wenn sich dazwischen möglichst keine dicken Wände befinden), können die Router einfach per Funk miteinander Meshen. Der zweite Router agiert sozusagen als Repeater und wer mit ihm verbunden ist, hat dann ebenfalls Internet.

Nun möchte ein Geschäft nebenan auch bei Freifunk mitmachen. Da die Wände zwischen den Geschäften aber zu dick sind, entsteht keine stabile Funkverbindung zwischen den Routern. Stattdessen kann man ein Loch durch die Wand bohren und die Router mit einem Kabel verbinden. Auf dem Router im ersten Geschäft wird das Kabel an einen LAN-Port angeschlossen und es wird Mesh-on-LAN in den Einstellungen angestellt, um Meshing über die LAN-Ports zu aktivieren. Im zweiten Geschäft wird das Kabel an den WAN-Port des Routers angeschlossen und es wird Mesh-on-WAN aktiviert, um Meshing über den WAN-Port zu aktivieren. Nun meshen die Router miteinander und auch im zweiten Geschäft gibt es ein Freifunk-WLAN, über das das Internet erreichbar ist.

Man hätte das Kabel im zweiten Geschäft übrigens theoretisch auch an einen LAN-Port anschließen können, wenn man Mesh-on-LAN aktiviert - Mesh ist Mesh und an welchen Anschluss das Kabel auf der anderen Seite angeschlossen ist, ist auch egal. Schließt man das Kabel aber an den WAN-Port an, so ist auf den LAN-Ports immer noch das Client-Netz aktiviert und man könnte hier z.B. einen Computer anschließen.

Router können übrigens mit mehreren anderen Routern gleichzeitig Mesh-Verbindungen aufbauen. Wenn mehrere Router in einem Mesh-Netz mit dem Internet verbunden sind, wählt das B.A.T.M.A.N. Protokoll die beste Route für die Pakete aus. Mehrere solcher Router mit Internetzugang sind auch gut für die Redundanz - fällt ein Router mal aus, können die Pakete einfach über einen anderen Router ins Internet geleitet werden.

Mesh-Verbindungen werden auf der Karte als farbige Striche eingezeichnet. Rot steht für eine schlechte Verbindungsqualität, grün dagegen für eine gute Verbindung.

Wählt man einen Router aus, so wird links auch angezeigt, welcher Router der nächste auf dem Weg ins Internet ist. Dieser wird als „nächster Hop“ bezeichnet. Falls der Router selbst mit dem Internet verbunden ist, steht hier direkt das gewählte Gateway - das steht dann rechts daneben in jedem Fall nochmal.

Wie bereits gesagt, kann man mit seinem Gerät andere Geräte, die mit Routern verbunden sind, die mit dem eigenen Router (indirekt) meshen, erreichen. Eigentlich würde man aber gerne alle Geräte erreichen, die irgendwo mit einem Freifunk-Router verbunden sind. Dazu können sich Router, die mit dem Internet verbunden sind, über eine Mesh-VPN-Verbindung mit einem Gateway verbinden. Gateways sind Server, die von der Freifunk-Community (bei uns Freifunk Dreiländereck) betrieben werden. Ein VPN ist ein virtuelles Netzwerk. Im Falle von Freifunk wird das VPN dazu genutzt, eine Mesh-Verbindung zu einem Gateway aufzubauen, obwohl eigentlich keine direkte Funk- oder Kabelverbindung zwischen Router und Gateway besteht. Dadurch können sich dann auch Geräte erreichen, die eigentlich gar nicht mit miteinander meshenden Routern verbunden sind.

Ein Router, der mit dem Internet verbunden ist, schickt Pakete niemals direkt an das eigentliche Ziel, sondern zuerst mal an die Gateways. Einer der Hauptgründe dafür war und ist die Umgehung der Störterhaftung - die besagte nämlich grob gesagt, dass dem Betreiber eines öffentlichen WLANs für die Aktivitäten seiner Nutzer (z.B. für das illegale Herunterladen eines Films) ein Unterlassungsanspruch gestellt werden kann. Damit sind unter Umständen Kosten verbunden und der Betreiber muss möglicherweise sein öffentliches WLAN abschalten oder die Nutzerdaten erfassen. 2016/17 gab es dazu Änderungen, aber es herrscht noch immer keine Rechtssicherheit für die Betreiber öffentlicher WLANs. Freifunk umgeht dieses Problem, indem alle Daten, die in das Internet gehen sollen, zuerst über die Gateways geleitet werden. Die Server, zu denen eigentlich gesurft wird, sehen daher immer nur die IP-Adressen der Gateways. Da auf den Gateways keine Daten darüber, welcher Nutzer wohin gesurft hat, gespeichert werden, kann der Gateway-Betreiber auch keine Auskunft über den Verursacher herausgeben. Es kommt aber selten dazu, dass Nutzer das für illegale Handlungen missbrauche (siehe Transparenzbericht) - schließlich könnte man dazu auch jeden anderen VPN-Anbieter (dem man vertraut, dass er die eigenen Daten nicht speichert) wählen. Außerdem werden die Daten, die über die Mesh-VPN-Verbindung von einem Router zu einem Gateway geschickt werden, vom Router verschlüsselt. Das wird getan, damit der eigene Internetanbieter nicht überwachen kann, was die Nutzer des Freifunk-Routers im Internet tun. Die Mesh-VPN-Verbindung und die Verschlüsselung übernimmt übrigens im Moment noch fastd, wobei einige Communities mittlerweile auf Wireguard setzen. Den Prozess, die Daten zu verschlüsseln und an ein Gateway zu schicken, nennt man übrigens „Offloading“. Da fastd ironischerweise ziemlich langsam ist, nimmt man bei größeren Installationen auch oft dedizierte Offloader - das sind einfach normale Computer, die dann die Verschlüsselung übernehmen und die dabei schneller sind als normale Router. Die Gateways sind also nicht nur dazu da, verschiedene „Mesh-Inseln“ miteinander zu verbinden.