Представен е нов значителен релиз на дистрибуцията OpenWrt 21.02.0, насочен към приложение в различни мрежови устройства, като маршрутизатори, суичове и точки за достъп. OpenWrt поддържа множество различни платформи и архитектури и разполага със система за компилиране, която позволява лесна и удобна крос-компилация, включително вграждане на различни компоненти, което улеснява формулирането на адаптиран под конкретни нужди готов фърмуер или образ на диск с желан набор от предварително инсталирани пакети. Сборките са формулирани за 36 целеви платформи.
От измененията в OpenWrt 21.02.0 можем да отбележим:
- Повишени са минималните изисквания към хардуера. В стандартната версия, по подразбиране, заради включването на допълнителни подсистеми на ядрото на Linux за използване на OpenWrt сега се изисква устройство с 8 MB Флаш памет и 64 MB RAM. При желанието обаче все пак може да се формулира собствена стеснена версия, която да работи на устройства с 4 MB Флаш памет и 32 MB RAM, но функционалността на такава версия ще бъде ограничена, а стабилността на работа не е гарантирана.
- В базовата комплектация са включени пакети за поддръжка на технологията за защита на безжични мрежи WPA3, която сега е налична по подразбиране както при работа в режим на клиент, така и при създаване на точка за достъп. В WPA3 се осигурява защита от атаки за подбора на пароли (няма да позволи подбиране на пароли в офлайн режим) и е задействан протокол за аутентификация SAE. Възможността за използване на WPA3 е осигурена в повечето драйвери за безжични устройства.
- В базовата комплектация по подразбиране е включена поддръжка на TLS и HTTPS, което позволява достъп до уеб интерфейса LuCI по HTTPS и използването на утилити, подобни на wget и opkg, за извличане на информация по криптирани канали. Сървърите, чрез които се разпространяват пакетите, изтегляни чрез opkg, също по подразбиране са преведени на предоставяне на информация по HTTPS. Използваната за криптиране библиотека mbedTLS е заменена с wolfSSL (при необходимост ръчно могат да се инсталират библиотеките mbedTLS и OpenSSL, които продължават да се предлагат като опции). За настройка на автоматично пренасочване към HTTPS в уеб интерфейса се предлага опция „uhttpd.main.redirect_https=1“.
- Реализирана е началната поддръжка на подсистемата на ядрото DSA (Distributed Switch Architecture), предоставяща средства за конфигуриране и управление на каскади от взаимосвързани Ethernet превключватели, използвайки механизми, прилагани за конфигуриране на обикновените мрежови интерфейси (iproute2, ifconfig). DSA може да се използва за конфигуриране на портове и VLAN вместо предложеното преди това средство swconfig, но не всички драйвери за превключватели все още поддържат DSA. В предложеното издание DSA е активиран за драйвери ath79 (TP-Link TL-WR941ND), bcm4908, gemini, kirkwood, mediatek, mvebu, octeon, ramips (mt7621) и realtek.
- Направени са промени в синтаксиса на конфигурационните файлове, разположени в /etc/config/network. В блока «config interface» опцията «ifname» е преименувана на «device», а в блока «config device» опции «bridge» и «ifname» са преименувани на «ports». За нови инсталации сега се генерират отделни файлове с настройки за устройства (layer 2, блок «config device») и мрежови интерфейси (layer 3, блок «config interface»). За запазване на обратната съвместимост е запазена поддръжката на стария синтаксис, т.е. преди създадените настройки не изискват промяна. При това в уеб интерфейса при откриване на стар синтаксис ще бъде предложено мигриране към новия синтаксис, който е необходим за редактиране на настройки през уеб интерфейса.
Пример за новия синтаксис: config device option name ‘br-lan’ option type ‘bridge’ option macaddr ’00:01:02:XX:XX:XX’ list ports ‘lan1’ list ports ‘lan2’ list ports ‘lan3’ list ports ‘lan4’ config interface ‘lan’ option device ‘br-lan’ option proto ‘static’ option ipaddr ‘192.168.1.1’ option netmask ‘255.255.255.0’ option ip6assign ’60’ config device option name ‘eth1′ option macaddr ’00:01:02:YY:YY:YY’ config interface ‘wan’ option device ‘eth1’ option proto ‘dhcp’ config interface ‘wan6’ option device ‘eth1’ option proto ‘dhcpv6’
По аналогия с конфигурационните файлове /etc/config/network, имената на полетата в board.json са променени от «ifname» на «device».
- Добавена е нова платформа «realtek», позволяваща използването на OpenWrt на устройства с голям брой Ethernet портове, като Ethernet превключватели D-Link, ZyXEL, ALLNET, INABA и NETGEAR.
- Добавени са нови платформи bcm4908 и rockchip за устройства на базата на SoC Broadcom BCM4908 и Rockchip RK33xx. В преди поддържаните платформи са отстранени недостатъци в поддръжката на устройства.
- Поддръжката на платформата ar71xx беше прекратена, като вместо нея трябва да се използва платформата ath79 (за устройства, зависими от ar71xx, се препоръчва да се извърши нова инсталация на OpenWrt). Също така беше прекратена поддръжката на платформите cns3xxx (Cavium Networks CNS3xxx), rb532 (MikroTik RB532) и samsung (SamsungTQ210).
- Изпълнимите файлове на приложенията, участвали в обработката на мрежови съединения, са събрани в режим PIE (Position-Independent Executables) с пълна поддръжка на рандомизация на адресното пространство (ASLR) за затрудняване на експлоатацията на уязвимости в подобни приложения.
- При компилация на ядрото на Linux по подразбиране са включени опции за поддръжка на технологии за контейнерна изолация, позволяващи използването на инструменти за LXC в OpenWrt и режим procd-ujail на повечето платформи.
- Предоставена е възможност за компилация с поддръжка на системата за задължителен контрол на достъпа SELinux (по подразбиране е изключена).
- Актуализирани са версиите на пакетите, включително предлагането на издания musl libc 1.1.24, glibc 2.33, gcc 8.4.0, binutils 2.34, hostapd 2020-06-08, dnsmasq 2.85, dropbear 2020.81, busybox 1.33.1. Ядрото на Linux е обновено до версия 5.4.143 с портирование на безжичния стек cfg80211/mac80211 от ядрото 5.10.42 и пренос на поддръжката. VPN Wireguard.
Източник: opennet.ru
