Die folgenden Aktualisierungen werden automatisch über Nacht auf Ihrer TrutzBox eingespielt.
Sicherheit und Privatsphäre• Verschlüsseltes DNS: Obwohl die Verschlüsselung eingeschaltet war, gingen die meisten Namensanfragen weiterhin unverschlüsselt an den Internet-Router. Die TrutzBox kannte neben dem verschlüsselten Weg auch die DNS-Server des Routers und nahm jeweils den schnellsten, und der Router antwortet fast immer zuerst. Bei eingeschalteter Verschlüsselung bleiben die Server des Routers jetzt außen vor, und die Box prüft jede Minute, dass das so bleibt. Die DNS-Seite meldet „verschlüsselt" nur noch, wenn tatsächlich alles verschlüsselt hinausgeht.
• Angriffsschutz über IPv6: Angreifer, die über IPv6 kamen, wurden bisher erkannt, aber nicht gesperrt. Jetzt sperrt die TrutzBox sie, und zwar gleich den ganzen Adressblock des Anschlusses, weil ein Angreifer innerhalb dieses Blocks seine Adresse beliebig wechseln kann. Das eigene Heimnetz liegt im selben Block wie die Box und wird deshalb nie gesperrt.
• Verwaltungsoberfläche nur noch von innen: Bei IPv6 gibt es am Router keine Portweiterleitung. Wer dort eine IPv6-Freigabe für Port 443 einrichtet, etwa für die Videokonferenz, hätte damit auch Verwaltungsoberfläche, Webmail und Chat ins Internet gestellt. Diese Seiten antworten jetzt nur noch Geräten aus dem Heimnetz, dem VPN und den übrigen internen Netzen. Ein Zugriff von außen wird abgewiesen, und der Absender wird schon beim ersten Versuch dauerhaft gesperrt.
• Angriffsschutz: Sperren konnten still wieder verschwinden. Jedes vollständige Neuladen der Firewall, etwa nach einer Änderung an den Ausnahmen, am QUIC-Schalter oder am DNS-Umgehungsschutz, spielte einen älteren Stand der Sperrliste zurück und hob frische Sperren auf. Sperren bleiben jetzt erhalten.
Neue Funktionen• Fernzugriff (TrutzVPN): Neuer Schalter „VPN auch über IPv6 anbieten" in den erweiterten Einstellungen. Handys im Mobilfunk bevorzugen IPv6. Mit dem Schalter verbinden die Zugangsdateien zuerst über IPv6 und fallen bei Bedarf auf IPv4 zurück. Der Schalter ist ab Werk aus und nur wählbar, wenn die Box eine öffentliche IPv6-Adresse hat. Voraussetzung ist eine IPv6-Freigabe für UDP 1194 am Router. Nach dem Umschalten müssen die Nutzer ihre Zugangsdatei unter Benutzer neu herunterladen und in der VPN-App neu importieren.
• Fernzugriff (TrutzVPN): Die Seite zeigt jetzt, wer gerade verbunden ist, mit dem Namen des Zugangs, ob die Verbindung über IPv4 oder IPv6 läuft, der Absenderadresse und seit wann. Die Anzeige aktualisiert sich alle zehn Sekunden.
• Domain und Router-Freigaben: Für IPv6 braucht der Router eine eigene Freigabe, die bisherigen Hinweise nannten aber nur die Weiterleitung für IPv4. Der Domain-Bereich zeigt jetzt die IPv6-Adresse der Box und die Interface-ID, die der Router dafür abfragt. Der Hinweis bei TrutzDynDns nennt die Freigaben für Videokonferenz und VPN getrennt nach IPv4 und IPv6, dazu den Weg in der FRITZ!Box.
• Betriebszustand: Der Speicherverlauf lässt sich jetzt zeitlich eingrenzen, über Knöpfe für eine Stunde, 24 Stunden, 7 Tage und 30 Tage oder durch Aufziehen im Diagramm. Der gewählte Ausschnitt erscheint so fein, wie die Box ihn aufgezeichnet hat, bis hinunter zu Werten alle fünf Minuten. Weitere Messreihen lassen sich zuschalten, etwa die Auslagerung oder der Speicherbedarf einzelner Dienste. Eine zweite Achse zeigt die Belegung als Anteil am eingebauten Speicher. Derselbe Verlauf öffnet sich auch per Klick auf die Hauptspeicher-Karte im Dashboard.
• Statistiken: Das Diagramm „Blockierungen pro Tag" zeigt jetzt 31 Tage, gezählt nach Kalendertagen. Bisher waren es die letzten Datenzeilen, die bei Lücken weiter zurückreichten und trotzdem wie ein Monat aussahen. Bei der Box selbst und bei Zielen im Heimnetz stehen die Blockierungen jetzt je Port, die meistgetroffenen zuerst. In der Ansicht „Beides" stehen Webfilter und Firewall in getrennten Spalten, weil beide Unterschiedliches zählen.
• Firewall Monitor: Jede Gruppe nennt jetzt die Zahl der angefragten Ports und die fünf häufigsten. Bisher stand dort nur ein Port, und ein Scan über viele Ports sah aus wie ein einzelner Zugriff. Die Seite lädt sich jede Minute selbst neu.
• Angriffsschutz: Gesperrte Adressen und Verlauf lassen sich gruppieren. Sperren, die nach einem Neustart wiederhergestellt werden, erscheinen als eine gemeinsame Zeile statt als eine Zeile je Adresse.
• Bericht an Support: Der Bericht enthält jetzt die Speicherangaben, nach denen bei Speicherproblemen zuerst gefragt wird. Dazu gehören die Auslagerung, der tiefste freie Speicher und der höchste Stand des Webfilters der letzten 24 Stunden, die jüngsten Absturzberichte, ungeplant beendete Dienste der letzten sieben Tage und die Aufnahmen des Speicher-Wächters. Alle Angaben liegen dauerhaft auf der Box und überstehen auch einen harten Neustart.
Verbesserungen• Webfilter beim Start: Solange der Webfilter nach einem Neustart oder einer Aktualisierung seine Filterlisten lädt, meldeten Browser bisher nur, die Verbindung werde verweigert. Jetzt öffnet er seine Ports sofort und zeigt eine Warteseite mit dem Ladefortschritt, auch bei HTTPS-Seiten. Ungefiltert geht in dieser Zeit nichts hinaus, die Verwaltungsoberfläche bleibt erreichbar.
• Webfilter bei gesperrten HTTPS-Seiten: Bei Geräten ohne HTTPS-Entschlüsselung legte der Webfilter bei einer gesperrten Seite bisher einfach auf, und der Browser konnte nur melden, dass die Verbindung abgelehnt wurde, aber nicht warum. Jetzt erscheint auch dort die Sperrseite. Geräte, die das Zertifikat der TrutzBox ablehnen, merkt sich die Box und weist sie eine Stunde lang sofort ab, statt jeden Versuch aufwendig zu bearbeiten.
• Webfilter und Arbeitsspeicher: Die Speichergrenze des Webfilters richtet sich jetzt nach dem gemessenen Bedarf der gewählten Filterlisten plus Reserve. Beim Start lädt er die größte Liste zuerst und lässt Listen weg, die nicht mehr passen, statt am Speicher zu scheitern. Aufbereitete Filterlisten bleiben über Aktualisierungen hinweg erhalten. Bisher wurden nach jeder Aktualisierung alle Listen neu aufgebaut, was auf Boxen mit knappem Speicher den Webfilter beim Start abstürzen lassen konnte.
• Webfilter-Sitzungen: Eine offene Seite, die ständig nachlädt, ließ die Sitzungsdaten alle zehn Sekunden komplett neu schreiben, bei mehreren Geräten einige hundert Megabyte in wenigen Minuten. Sitzungen sind jetzt auf 500 Anfragen begrenzt und werden seltener gespeichert.
• Speicher-Wächter: Hatte der Wächter einen Dienst angehalten, konnte dieser nach einer Paket-Aktualisierung dauerhaft aus bleiben, weil der Wächter dabei selbst neu startet und vergaß, den Dienst wieder hochzufahren. Das Vorhaben übersteht den Neustart jetzt. Außerdem nennt die Meldung den Dienst hinter dem Verursacher, statt nur einen Programmteil ohne Zuordnung.
• Datensicherung und Wiederherstellung: Beide laufen jetzt als eigener Dienst und brechen nicht mehr ab, wenn der Web-Server zwischendurch neu startet. Dienste, die für die Sicherung kurz angehalten werden, färben den Betriebszustand nicht mehr, dort steht „Für die Datensicherung kurz angehalten". Fehlschläge werden klar benannt, etwa zu wenig freier Speicherplatz mit der benötigten Menge.
• Betriebszustand: Ein kurzer Rückfall auf unverschlüsseltes DNS erscheint als Hinweis, die Ampel bleibt grün. Die Box versucht die Verschlüsselung alle fünf Minuten erneut, erst nach über einer Stunde wird die DNS-Karte gelb. Bei einer Störung, die sich erholt hat, stimmt jetzt auch das Ende: Es richtet sich danach, wann der Dienst wieder lief, nicht danach, wann die Seite das nächste Mal geöffnet wurde. Die Startphase von TrutzRTC gilt als „startet" statt als gestört.
• Angriffsschutz: Die Zahl „Seit der Sperre geblockt" ist jetzt exakt. Sie kommt aus den Zählern der Firewall selbst statt aus dem Firewall-Protokoll, das höchstens zehn Pakete je Minute und Adresse aufzeichnet und deshalb viel zu wenig zeigen konnte. Geräte werden auch dann mit Namen genannt, wenn sie gerade nicht verbunden sind.
• Monitor: Die Ansicht „Alles" zeigt, seit wann Daten vorliegen, und der Hinweis erklärt Zeitraum und Speicherdauer. Die Datenmenge einer lang laufenden Verbindung verteilt sich jetzt auf die Zeitfenster, in denen sie lief, statt ganz in einem Fenster zu landen.
• Firewall-Statistik: Unbekannte Geräte werden nach ihrer Hardware- oder IP-Adresse gezählt, statt aus der Statistik zu fallen. Ziele bekommen ihren Namen aus allen vorhandenen Quellen, und Ziele mit gleichem Namen werden zusätzlich mit ihrer Adresse unterschieden.
Behobene Fehler• DNS-Seite: War die Verschlüsselung gerade kurz zurückgefallen, zeigte der Schalter „aus", und das nächste „Übernehmen" schaltete die Verschlüsselung dauerhaft ab. Der Schalter zeigt jetzt Ihre Einstellung, der tatsächliche Zustand steht daneben.
• Datensicherung: Eine gelungene Sicherung konnte als fehlgeschlagen gemeldet werden, weil die nächtliche Protokollpflege das Protokoll mitten im Vorgang geleert hat. Behoben.
• Angriffsschutz: Antwortete fail2ban nach einem Neustart gerade nicht, zeigte die Seite Nullen, und diese Nullen konnten beim Speichern in die Einstellungen geraten. Jetzt steht dort, dass fail2ban gerade nicht antwortet und bestehende Sperren aktiv bleiben. Während fail2ban nach dem Start seine Sperren wiederherstellt, erscheint auch keine Fehlermeldung mehr.
• Firewall: Jede gesperrte Adresse wurde je Paket dreimal nachgeschlagen und entsprechend dreifach gezählt. Die Blockierzahlen je Adresse stimmen jetzt.
• Firewall-Statistik: Nach „Zurücksetzen" holte der nächste Abgleich das ganze Firewall-Protokoll wieder herein, Ziele und Geräte sogar doppelt. Behoben.
• Monitor: Minutenwerte, die älter als eine Stunde waren, verloren beim Zusammenfassen gut die Hälfte ihrer Datenmenge. Außerdem leerte die regelmäßige Aufräumrunde die Live-Anzeige. Beides ist behoben.
• Firewall-Protokoll: Bei der Einstellung „Keine Aufzeichnung" räumte die Box das Protokoll nie nach Alter auf, es wuchs bis zu seiner Obergrenze. Jetzt behält sie intern nur die letzte Stunde für Statistik und Angriffsschutz.
• Webfilter: Eine Anfrage an die eigene Adresse und den eigenen Port des Webfilters wurde endlos an sich selbst weitergereicht. Solche Anfragen werden jetzt sofort abgewiesen.
• TrutzDynDns: Hatte die Box eine IPv6-Adresse, die der Server bewusst nicht veröffentlicht, meldete sie diese alle zehn Minuten erneut. Jetzt geschieht das höchstens einmal pro Stunde.
• Firewall Monitor: Antworten an ein Gerät zeigten „+N Ports" statt des Ports der Box, und IPv6-Nachbarn im Heimnetz erschienen als Internet. Beides stimmt jetzt.
• Die Oberfläche versuchte eine Schriftart zu laden, die es nicht gab, und erzeugte dabei unnötige Fehlermeldungen. Der Verweis ist entfernt.
Ihr TrutzBox Support