TR-069 erklärt. Router aus der Ferne konfigurieren, überwachen und warten

Stellen Sie sich vor, Sie betreuen fünfhundert Router. Einige stehen in Schaltschränken an Straßen, andere auf Dächern oder in Pumpstationen am Ende eines Schotterwegs. Bei allen muss eine Einstellung geändert werden, und noch in diesem Monat soll eine neue Firmware-Version ausgerollt werden.

Zu jedem einzelnen Gerät zu fahren, kommt nicht infrage. Sich von Hand bei jedem anzumelden, ist kaum besser. Was Sie brauchen, ist eine zentrale Stelle, bei der sich jeder Router meldet, seinen Zustand übermittelt und seine Anweisungen abholt. Genau dafür gibt es TR-069.

Was TR-069 ist

TR-069 ist ein Standard des Broadband Forum, der festlegt, wie ein Gerät und ein Managementserver miteinander kommunizieren. Er wird auch CWMP genannt, kurz für CPE WAN Management Protocol. Seine Ursprünge liegen im Breitbandbereich. Internetanbieter mussten Millionen von Modems in Privathaushalten einrichten und betreuen, ohne dafür jedes Mal einen Techniker zu schicken. Dasselbe Prinzip eignet sich ebenso für Industrierouter, Gateways und andere vernetzte Geräte.

Das Ganze beruht auf zwei Rollen.

• Die CPE (Customer Premises Equipment) ist das verwaltete Gerät. In unserem Beispiel ist das ein Router.

• Der ACS (Auto-Configuration Server) ist das Managementsystem. Von dieser zentralen Stelle aus konfiguriert, überwacht und wartet der Betreiber alle Geräte.

Weil TR-069 ein Standard ist, kann ein Gerät, das ihn beherrscht, von jedem ACS verwaltet werden, der ihn ebenfalls beherrscht. Das Protokoll bildet die gemeinsame Sprache zwischen beiden.

Das Gerät beginnt das Gespräch

Was bei TR-069 viele überrascht, ist die Frage, wer zuerst spricht. Es ist das Gerät.

Beim Start kontaktiert ein Router den ACS und sendet eine Nachricht namens Inform. Darin teilt er mit, welches Gerät er ist, mit welchem Modell und welcher Software er arbeitet und warum er sich meldet. Diese Gründe heißen Events. Typische Beispiele sind „Ich bin gerade gestartet“, „Meine regelmäßige Meldung ist fällig“ oder „Jemand hat mich aufgefordert, mich zu verbinden“. Der ACS antwortet. Nach dieser Begrüßung kann er das Gerät mit Aufgaben beauftragen.

Dieses vom Gerät ausgehende Verfahren hat einen praktischen Grund. Geräte im Feld befinden sich häufig hinter dem Netz eines Mobilfunkanbieters, in dem externe Systeme nicht einfach eine Verbindung zu ihnen öffnen können. Eine Verbindung vom Router zu einem bekannten Server funktioniert dagegen von nahezu überall.

Da die Geräte die Verbindung selbst aufbauen, melden sie sich anschließend in regelmäßigen Abständen erneut. Ein Router, der auf ein stündliches Intervall eingestellt ist, meldet sich jede Stunde beim ACS, selbst wenn sich nichts geändert hat. Diese regelmäßige Rückmeldung ist der Herzschlag des Systems. Der ACS weiß dadurch stets, welche Geräte aktiv sind und wann er zuletzt von ihnen gehört hat.

„Bitte melde dich jetzt“

Manchmal kann der Betreiber nicht bis zur nächsten planmäßigen Meldung warten. TR-069 kennt dafür einen Connection Request, mit dem der ACS ein Gerät auffordert, sofort eine Sitzung zu starten. Daraufhin meldet sich das Gerät, und der ACS kann seine Aufgaben ausführen. Wie gut diese Aufforderung das Gerät erreicht, hängt vom dazwischenliegenden Netz ab. Die regelmäßige Meldung bleibt deshalb die verlässliche Grundlage.

Was der ACS tun kann

Sobald eine Sitzung besteht, tauschen ACS und Gerät Anfragen und Antworten aus. Einige typische Beispiele sind diese.

• Informationen auslesen. Der ACS kann jeden vom Gerät bereitgestellten Wert abfragen, etwa Software-Version, Signalstärke, Betriebszeit oder Schnittstellenstatus. So erhält der Betreiber einen Überblick über seine gesamte Flotte, ohne sich einzeln anzumelden.

• Einstellungen ändern. Der ACS kann einen neuen Wert für eine Einstellung schreiben. Wird etwa ein WLAN-Name, ein regelmäßiges Meldeintervall oder eine Serveradresse geändert, übernimmt das Gerät die Einstellung.

• Software aktualisieren. Der ACS kann das Gerät anweisen, eine Firmware-Datei von einer angegebenen Adresse herunterzuladen und zu installieren. Ein Rollout, der mit Vor-Ort-Einsätzen Wochen dauern würde, wird damit zu einer planbaren Aufgabe.

• Diagnosen ausführen. Der ACS kann das Gerät auffordern, einen Test wie Ping oder Traceroute durchzuführen und das Ergebnis zurückzumelden.

• Neustarten oder zurücksetzen. Ein nicht mehr reagierendes Gerät lässt sich aus der Ferne neu starten. Bei Bedarf kann es auch auf die Werkseinstellungen zurückgesetzt werden.

Parameter als Sprache der Einstellungen

Dahinter steht ein einfaches Prinzip. Jede Einstellung und jeder auslesbare Wert eines Geräts ist ein Parameter mit einem Namen und einem Wert. Die Parameter sind in einer Baumstruktur angeordnet. Ein Parametername sieht wie ein Pfad aus, zum Beispiel Device.DeviceInfo.SoftwareVersion. Wer diesen Pfad ausliest, erhält die auf dem Gerät laufende Software-Version. Wer einen beschreibbaren Pfad mit einem neuen Wert versieht, ändert die Einstellung.

Der vollständige Katalog der Parameter, die ein Gerät versteht, heißt Datenmodell. Das Broadband Forum veröffentlicht standardisierte Datenmodelle. Gerätehersteller können eigene Einträge für hardwarespezifische Funktionen ergänzen. Man kann sich das Datenmodell wie eine Speisekarte vorstellen. Es zeigt, was ein ACS anfragen kann.

Benachrichtigungen vom Gerät

Die regelmäßige Kontaktaufnahme ist nur ein Teil des Ablaufs. Ein ACS kann einen bestimmten Parameter markieren, damit das Gerät eine Änderung sofort meldet. Vielleicht möchten Sie unmittelbar erfahren, wenn sich die WAN-Adresse eines Routers ändert oder eine Mobilfunkschnittstelle ausfällt. Das Gerät baut dann eine Verbindung auf und meldet die Änderung, ohne auf den nächsten regelmäßigen Kontakt zu warten.

Einrichtung ohne manuelle Konfiguration vor Ort

TR-069 erleichtert auch die erste Einrichtung. Ein neues Gerät erhält die Adresse eines ACS ab Werk oder durch eine vorherige Konfiguration. Wird es am Einsatzort eingeschaltet, meldet es sich beim ACS, stellt sich vor und erhält seine Konfiguration. Die Person vor Ort schließt Strom und Kabel an. Die Einstellungen kommen automatisch.

Für Betreiber mit vielen Standorten verändert das den Installationsablauf. Der Techniker montiert das Gerät und steckt die Kabel ein. Der Rest geschieht auf dem Server.

Sicherheit der Kommunikation

Die Kommunikation zwischen Gerät und ACS erfolgt über HTTP. In realen Installationen wird sie meist über HTTPS übertragen, damit der Austausch verschlüsselt ist und das Gerät prüfen kann, ob es mit dem richtigen Server spricht. Auch der ACS prüft, wer sich meldet. Jedes Gerät verfügt über Zugangsdaten, sodass sich ein Fremder nicht als einer Ihrer Router ausgeben kann. ACS-Adresse und Zugangsdaten gehören wie andere Einstellungen zur Gerätekonfiguration.

TR-069 bei Industrieroutern

Industrierouter passen gut zu TR-069. Sie werden an schwer und kostspielig erreichbaren Orten eingesetzt, laufen über Jahre und benötigen innerhalb einer Flotte dieselben Einstellungen, dieselbe Firmware und dieselbe Überwachung. Mit einem ACS kann ein Betreiber folgende Aufgaben erledigen.

• Alle Router, ihre Software-Version und den Zeitpunkt der letzten Meldung überblicken.

• Eine Konfigurationsänderung in einer geplanten Welle auf Hunderte Geräte verteilen.

• Firmware-Updates für Zeiten mit geringer Auslastung planen.

• Ein Gerät erkennen, das sich nicht mehr meldet, und den Grund untersuchen, bevor eine Beschwerde eingeht.

Wavetel-Router führen TR069 unter ihren Managementoptionen auf, neben Weboberfläche, SSH, SNMP, SMS und der RMS-Plattform für Fernmanagement. Jede Option hat ihren Einsatzbereich. Die Weboberfläche dient dem einzelnen Gerät auf dem Arbeitstisch, SSH der Kommandozeile, SNMP den Überwachungswerkzeugen und TR-069 dem standardbasierten Flottenmanagement über einen ACS.

Weitere Informationen zum Betriebssystem hinter diesen Managementoptionen finden Sie unter WRTOS für industrielle IoT-Router.

TR-069 und verwandte Begriffe

Dabei begegnen Ihnen einige verwandte Begriffe.

• ACS und RMS. TR-069 ist ein Protokoll. Ein ACS ist ein Server, der dieses Protokoll nutzt. Eine Remote-Management-Plattform, kurz RMS, ist ein umfassenderes Produkt, das TR-069, eigene Verfahren oder beides verwenden kann.

• TR-069 und SNMP. Bei SNMP geht es überwiegend um Überwachung, also das Auslesen von Werten und den Empfang von Meldungen. TR-069 umfasst zusätzlich Konfiguration, Firmware-Updates und die erste Einrichtung. Sein Ablauf beruht auf Geräten, die sich selbstständig melden.

• TR-069 und ein VPN. Ein VPN transportiert Netzwerkverkehr geschützt zwischen zwei Punkten. TR-069 dient dem Austausch von Managementnachrichten. Beide können nebeneinander eingesetzt werden.

• TR-369 (USP). Dies ist ein neuerer Standard des Broadband Forum für das Gerätemanagement, der mit denselben Zielen entwickelt wurde. TR-069 ist weiterhin weit verbreitet.

Eine gesonderte Erläuterung der VPN-Anbindung bietet unser Leitfaden zu IPsec, OpenVPN und WireGuard.

Wichtige Begriffe im Überblick

Begriff	Einfach erklärt
CPE	Das verwaltete Gerät, zum Beispiel ein Router
ACS	Der Server, der die Geräte verwaltet
CWMP	Der Name des Protokolls, eine andere Bezeichnung für TR-069
Inform	Die Nachricht des Geräts, mit der es sich vorstellt und den Grund seiner Kontaktaufnahme nennt
Parameter	Eine benannte Einstellung oder ein auslesbarer Wert des Geräts
Datenmodell	Die vollständige Liste der Parameter, die ein Gerät bereitstellt
Connection Request	Eine Aufforderung des ACS an ein Gerät, sich jetzt zu melden
Periodic Inform	Die regelmäßige, planmäßige Meldung

Warum das wichtig ist

TR-069 macht aus verstreuten Einzelgeräten eine Flotte. Jedes Gerät meldet sich bei seiner Zentrale, berichtet über seine Identität und seinen Zustand und erhält, was es benötigt. Das kann eine Einstellung, eine neue Firmware-Version oder ein auszuführender Test sein. Wer Router an vielen Orten betreut, kann dadurch Vor-Ort-Einsätze reduzieren, Rollouts beschleunigen und den Betrieb aller Geräte überblicken. Wenn das nächste Mal eine Einstellung auf fünfhundert Routern geändert werden muss, kann dafür eine einzige Änderung auf einem einzigen Bildschirm genügen.

Häufig gestellte Fragen

Wer startet eine TR-069-Managementsitzung?

Der Router oder ein anderes verwaltetes Gerät öffnet eine Verbindung zu seinem konfigurierten ACS und sendet eine Inform-Nachricht. Gerätestart, regelmäßige Meldungen und gültige Connection Requests gehören zu den möglichen Auslösern einer Sitzung.

Wie nutzt TR-069 ein VPN?

TR-069 kann über eine erreichbare IP-Verbindung zu einem ACS mit HTTP oder HTTPS arbeiten. HTTPS mit geeigneter Zertifikatsprüfung und Geräteauthentifizierung schützt die Managementsitzung. Ein VPN kann Teil der Netzarchitektur einer Installation sein.

Kann TR-069 hinter Carrier-Grade NAT arbeiten?

Ein Gerät kann durch NAT hindurch eine ausgehende CWMP-Sitzung zu einem erreichbaren ACS aufbauen. Ob der ACS eine sofortige Kontaktaufnahme anfordern kann, hängt von der Erreichbarkeit und dem eingesetzten Connection-Request-Verfahren ab. Periodic Inform stellt einen planmäßigen Kontaktweg bereit.

Was sollte vor dem Management einer Routerflotte geprüft werden?

Prüfen Sie ACS-Adresse und Zugangsdaten, die Behandlung von HTTPS-Zertifikaten, die Periodic-Inform-Einstellungen sowie die von der ausgewählten Firmware bereitgestellten Parameter und Operationen. Testen Sie an einem Mustergerät das Auslesen und Ändern von Parametern, den vorgesehenen Firmware-Update-Ablauf und die erneute Managementanbindung nach einem Neustart, bevor Sie den Rollout ausweiten.

Quellen

• Broadband Forum, TR-069 Issue 1 Amendment 6, CPE WAN Management Protocol. Die Abschnitte 3.2 und 3.3 beschreiben Sitzungsaufbau, Connection Requests und Transportsicherheit.

• CWMP-Datenmodellverzeichnis des Broadband Forum. Offizielle Dokumentation zu Objekten, Parametern und unterstützten Datenmodellen.