Grund genug, sich noch einmal Gedanken über die Eignung von DynDNS für M2M-Anwendungen mit Endgeräten im Mobilfunk (GPRS/EDGE und UMTS/HSDPA) zu machen. Spannend sind neben evtl. auftretenden Störungen auch der “Schritt zurück” – ein Blick auf die Details.

DynDNS?

DynDNS – als Synonym für viele vergleichbare Services (hier eine Liste) – kuriert ein Problem vieler Internetanschlüsse. Alle “kleineren” Internetanschlüsse (also z.B. DSL oder GPRS/UMTS/LTE) erhalten vom Provider eine sog. dynamische IP-Adresse, also eine Adresse die mit jeder neuen Verbindung (z.B. nach Neustart des Routers oder einer Zwangstrennung) geändert wird. Zum Surfen kein Problem, denn mit welcher IP man im Internet unterwegs ist, ist zumindest für die Funktion meist unwichtig. Problematisch wird es erst, wenn von diesem Anschluss aus ein Dienst angeboten werden soll.

DynDNS dient nun dazu einem solchen Internetanschluss einen festen DNS-Namen (z.B. M2M-Anwendung.DynDNS.org) zuzuweisen, über den dann auf diesen Dienst zugegriffen werden kann.

DynDNS ist also ein Ersatz für feste IP-Adressen. Ob DynDNS ein vollwertiger Ersatz sein kann, hängt von der Anwendung ab.

Öffentliche vs. Private IP-Adressen

Beim Einbuchen wird jedem GPRS/EDGE/UMTS/LTE-Endgerät vom Mobilfunknetz entsprechend der Konfiguration des verwendeten Zugangspunktes (APN) eine dynamische IP-Adresse zugewiesen. In den Deutschen Netzen sind dies sind dies häufig private Adressen, die im Internet nicht geroutet und daher nur in lokalen (privaten) Netzen verwendet werden. Erst beim Übergang in das Internet werden solche privaten Adressen durch den Router des Mobilfunknetzes (mittels NAT) in eine öffentliche Adresse überführt. Der Zugriff auf Mobilgeräte, denen eine private IP Adresse zugewiesen wurde, ist vom Internet aus daher auch unter Zuhilfenahme von DynDNS nicht möglich.

Firewalls der Mobilfunknetze

Aber selbst, wenn das Mobilfunknetz eine öffentliche Adresse zuweist, kann noch die Firewall des Mobilfunknetztes “im Wege stehen”. Genau dies ist im deutschen Netz von Vodafone der Fall: Endgeräten wird zwar eine öffentliche IP-Adresse zugewiesen, aber die Firewall blockt sämtliche Zugriffe aus dem Internet ab. Auch hier kann also DynDNS nicht eingesetzt werden.

Was bleibt in Deutschland?

In den deutschen Mobilfunknetzen ist mir nur ein APN im Netz von T-Mobile bekannt, der sowohl öffentliche IP-Adressen vergibt und auch einen (eingeschränkten) Zugriff aus dem Internet zulässt. In den anderen Netzen auch gegen Aufpreis Fehlanzeige – keine große Auswahl.

Checkliste für DynDNS im deutschen Mobilfunk

Zum Mobilfunknetz / zur SIM:

• Derzeit benötigen Sie eine Mobilfunkkarte von T-Mobile, die Zugangspunkte der anderen Netze sind so konfiguriert, dass ein DynDNS-Einsatz nicht möglich ist.
• Auch bei T-Mobile ist die Firewall für aus dem Internet eingehende Pakete nicht vollständig geöffnet, d.h. es geht “Vieles” (z.B. http über Port 80), aber nicht “Alles” (z.B. Ping / icmp).
• Bedenken Sie, dass auch die derzeitige Konfiguration des Netzes bei T-Mobile keine zugesicherte Produkteigenschaft ist, also ohne Ankündigung geändert werden kann. DynDNS könnte also plötzlich nicht mehr funktionieren.
• Wählen Sei ein großes Datenpaket (z.B. 300 MB oder eine Flatrate), wenn Sie DynDNS einsetzen. Denn im Mobilfunk zahlen Sie auch für unerwünschten eingehenden Verkehr, wie z.B. Portscans.

Zum DynDNS Provider:

• Wählen Sie einen DynDNS-Anbieter ihres Vertrauens. Es gibt eines große Anzahl von konstenpflichtigen, aber auch kostenlosen Angeboten.
• Überlegen Sie, ob es wirklich der Namensgeber “DynDNS.org” sein muss. Die große Bekanntheit zieht auch schon mal Denial of Service (DoS) Angriffe an, die dann alle Nutzer des Dienstes plötzlich Offline stehen lassen.
• Überlegen Sie auch, ob Sie nicht statt eines kostenlosen Dienstes lieber einen kostenpflichtigen Dienst mit einer definierten Verfügbarkeit wählen. Denn Sie bekommen “das, was Sie bezahlen” – kein Problem, wenn alles funktioniert, aber im im Falles eines Falles, sind Sie ansonsten kein Kunde, sondern Bittsteller.

Zur Hardware:

• Klar, die verwendete Hardware (oder Software) muss DynDNS unterstützen. Achten Sie aber darauf, dass der DNS-Provider frei konfigurierbar ist.
• Lassen Sie sich die volle Konformität des Routers zu DynDNS zusichern: DynDNS erlaubt zur Lastminimierung eine DNS-Aktualisierung nur nach einer effektiven Änderung der IP-Adresse. Bei häufigeren Änderungen wird man ggf. “abgeklemmt” und ist dann offline.
• Ist Ihr Router wirklich “sicher”? Wichtig, denn bei Verwendung von DynDNS steht Ihr Router ungeschützt im Internet und muss einiges aushalten. Denn auch GPRS/EDGE/UMTS/LTE-Router sind nur Computer, häufig auf Linux basierend. Sicher sind sie bei einer sorgfältigen Konfiguration und aktueller Software. Wissen Sie von Ihrem Router, ob auch alle überflüssigen Services wirklich deaktiviert sind? Sind auf Ihrem Router alle Services (z.B. telnet, ntp, ssh…) auf dem aktuellen Stand? Gibt es – für den User nicht erkennbare – Default Passwörter auf dem Router? Das hört sich paranoid an, aber mir ist zumindest ein Mobilfunkrouter bekannt, auf den alle(!) Lücken zutreffen.
• Halten Sie die Firmware Ihres Routers (oder die verwendete Software) immer aktuell.

Zum DynDNS-System:

• Systembedingt gibt es immer kleine Lücke in der Erreichbarkeit nach einem Update der IP-Adresse. Kein Problem, wenn die anfragende Applikation darauf entsprechend reagiert.
• Mails ausgehend von IP-Adressen in einem dynamisch verwalteten Bereich werden in der Regel von Mail-Servern zur Vermeidung von SPAM nicht akzeptiert. Abhilfe kann hier ein (privates) Mail-Relay schaffen.

Fazit

DynDNS ist das Standardwerkzeug, um die Erreichbarkeit von DSL-Anschlüssen mit dynamischen IP-Adressen zu gewährleisten. Mit Einschränkungen kann DynDNS auch erfolgreich für GPRS/EDGE, UMTS/HSDPA oder LTE verwendet werden, allerdings nicht in den Netzen von Vodafone, E-Plus und O2. Ob DynDNS für die persönliche Anwendung passt, muss letztendlich jeder für sich abwägen.

Alternativen zu DynDNS

Für Großkunden bieten Netzbetreiber mit entsprechendem Vorlauf direkte gesicherte Zugänge in Ihre Netze an, eigentlich gedacht für die Anbindung großer Außendienstkolonnen.

Netzübergreifend bietet mdex mit dem Produkt fixed.IP Sicherheit und Erreichbarkeit durch feste IP-Adresse in geschlossenen Benutzergruppen für GPRS/EDGE, UMTS/HSDPA und LTE Endgeräte an.

Der DynDNS-Service wird dazu benutzt, um einem Gerät mit einer öffentlichen, aber dynamsich wechselnden IP-Adresse einen festen DNS-Namen (z.B. M2M-Anwendung.DynDNS.org) zuzuweisen. Über eine spezielle API kann DynDNS die aktuell gültige IP-Adresse mitgeteilt werden. DynDNS trägt diese Adresse dann in ihren DNS-Server ein. Dieser Basis-Service ist kostenlos, lediglich weitergehende Dienste, z.B. für E-Mail sind kostenpflichtig.

Auch viele für M2M-Anwendungen gebräuchliche GPRS/EDGE/UMTS-Router unterstützen DynDNS zur Adressierbarkeit aus dem Internet.

Der Ausfall von DynDNS zeigt jetzt schmerzlich die Abhängigkeit von vermeintlich permanent kostenlos verfügbaren Resourcen.

M2M-Anwendungen, die auf DynDNS basieren sind derzeit nicht erreichbar.

Da Nutzer des kostenlosen Dienstes keinen Vertrag oder SLA haben, können sie derzeit nur warten und hoffen.

Anwendungen, die eine feste IP-Adresse nutzen, sind nicht betroffen.

Feste IP-Adressen für alle SIM-Karten von T-Mobile und Vodafone bekommt man bei mdex. Die Firma I.T.E.N.O.S bietet für SIMs der Marke White ebenfalls eine Option an.

In diesem Zusammenhang vielleicht auch interessant:

• DynDNS für M2M-Anwendungen mit GPRS/EDGE/UMTS?

Die Router sind für industrielle Anwedungen vorgesehen, die Montage erfolgt auf der Hutschiene und die Spannungsversorgung über Gleichspannung. Das “V2″ unterscheidet sich vom “L1″ lediglich durch die Unterstützung von IPSec VPNs.

Die Features im Überblick:

• Firewall und DynDNS Client
• Bidirektionale GPRS/EDGE Kommunikation
• Volle Nutzung der EDGE Bandbreite, max. 236.8 KB/s (Down-/Uplink)
• Ethernet Schnittstelle zur Applikation
• DHCP-Server
• Eingangsspannungsbereich (12…60 VDC)
• Temperaturbereich (-20 °C bis +60 °C)
• IPsec VPN-Tunnel (nur “V2″)

Quelle: Pressemitteilung Dr. Neuhaus Telekommunikation vom 21.2.2008

Wer sich für das Innenleben des “V2″ interessiert, wird bei Innominate fündig. Die VPN-Einheit kommt von dort. [Korrektur]: Das TAINY EMOD basiert nicht mehr auf dem innominate mGuard wie das Vorgängermodell Tainy GMOD. Das TAINY EMOD läuft unter Linux 2.6 auf einem ARM9 von Atmel.

Drei Anmerkungen fallen mir dazu ein:

1. DynDNS ist nicht immer so ohne weiteres in den GPRS/EDGE/UMTS-Netzen in Deutschland möglich. Dazu braucht man eine öffentliche IP-Adresse und die bekommt an häufig einfach nicht. Beispielweise weil der Tarif an einen speziellen APN gekoppelt ist (wie bei Vodafone M2M-Tarifen). Auch bei privaten APNs (T-Mobile IP VPN, Vodafone CorporateDataAccess) gibts private IPs.
2. Wer mit öffentlichen IP-Adressen (und DynDNS) arbeitet, muss sich darüber im klaren sein, dass er auch jedes IP-Paket was er aus dem “wilden Internet” empfängt, auch bezahlen muss. Und das – jeder der schon einmal in einen Firewall-Log geschaut hat kennt es – kann ein stetiger Strom sein. Ein großes Datenpaket ist also Pflicht!
3. Für das V2 hätte ich mir zusätzlich (oder alternativ) zu IPsec noch OpenVPN gewünscht, dieser Open-Source-Tunnel auf Basis von SSL verbreitet sich auch in der M2M-Welt immer mehr und kommt zudem auch ohne Probleme mit NAT klar. Aber das kann ja noch mit der nächsten Firmware-Version kommen.
   

.Vergleichbare Router für die Hutschiene gibt es z.B. auch bei:

• INSYS (Moros und MorosPro Router)
• netModule (NB2210)
• Hy-Line (trueCon)