Представен е нов значителен ъпдейт на дистрибуцията OpenWrt 21.02.0, насочена към употреба в различни мрежови устройства, като маршрутизатори, комутатори и точки за достъп. OpenWrt поддържа множество различни платформи и архитектури и предлага система за компилация, която позволява лесно и удобно да се извършва крос-компилация, включително различни компоненти в сглобяването, което позволява лесно да се създаде персонализиран фърмуер или диск образ с желания набор от предварително инсталирани пакети. Сглобяванията са формулирани за 36 целеви платформи.
От промените в OpenWrt 21.02.0 се открояват следните:
- Повишени са минималните изисквания към хардуера. В стандартната компилация по подразбиране, поради включването на допълнителни подистеми на ядрото на Linux за използване с OpenWrt, сега е необходимо устройство с 8 MB Flash и 64 MB RAM. При желание все още можете да създадете собствена олекотена компилация, която може да работи на устройства с 4 MB Flash и 32 MB RAM, но функционалността на такава компилация ще бъде ограничена, а стабилността не е гарантирана.
- В базовия пакет са включени пакети за поддръжка на технологията за защита на безжичните мрежи WPA3, която сега е налична по подразбиране както в клиентски режим, така и при създаване на точка за достъп. WPA3 предлага защита срещу атаки по подбора на пароли (не позволява подбиране на паролата в офлайн режим) и използва протокола за аутентификация SAE. Подкрепата за WPA3 е осигурена в повечето драйвери за безжични устройства.
- В базовия пакет по подразбиране е включена поддръжка на TLS и HTTPS, която позволява достъп до уеб интерфейса LuCI по HTTPS и използването на инструменти като wget и opkg за извличане на информация през криптирани комуникационни канали. Сървърите, които разпространяват пакетите, изтегляни чрез opkg, също по подразбиране предават информация по HTTPS. Използваната за криптиране библиотека mbedTLS е заменена с wolfSSL (при необходимост могат да бъдат инсталирани ръчно библиотеките mbedTLS и OpenSSL, които продължават да се предлагат като опции). За настройка на автоматично пренасочване към HTTPS в уеб интерфейса е предвидена опция „uhttpd.main.redirect_https=1“.
- Реализирана е начална поддръжка на подсистемата на ядрото DSA (Distributed Switch Architecture), предлагаща средства за конфигуриране и управление на каскади от свързани Ethernet комутатори, използвайки механизми, прилагани за конфигуриране на обикновените мрежови интерфейси (iproute2, ifconfig). DSA може да се използва за настройка на портове и VLAN вместо предлагания по-рано инструмент swconfig, но не всички драйвери на комутаторите все още поддържат DSA. В предлаганото издание DSA е активирана за драйверите ath79 (TP-Link TL-WR941ND), bcm4908, gemini, kirkwood, mediatek, mvebu, octeon, ramips (mt7621) и realtek.
- Внесени са промени в синтаксиса на конфигурационните файлове, разположени в /etc/config/network. В блока «config interface» опцията «ifname» е преименувана на «device», а в блока «config device» опците «bridge» и «ifname» са преименувани на «ports». За нови инсталации вече се генерират отделни файлове с настройки за устройства (layer 2, блок «config device») и мрежови интерфейси (layer 3, блок «config interface»). За запазване на обратната съвместимост е поддържана старата синтаксиса, т.е. преди създадените настройки няма да изискват промени. При това в уеб интерфейса, при откритие на стара синтаксиса, ще бъде изведено предложение за миграция към новия синтаксис, който е необходим за редактиране на настройките през уеб интерфейса.
Пример за нов синтаксис: config device option name ‘br-lan’ option type ‘bridge’ option macaddr ’00:01:02:XX:XX:XX’ list ports ‘lan1’ list ports ‘lan2’ list ports ‘lan3’ list ports ‘lan4’ config interface ‘lan’ option device ‘br-lan’ option proto ‘static’ option ipaddr ‘192.168.1.1’ option netmask ‘255.255.255.0’ option ip6assign ’60’ config device option name ‘eth1′ option macaddr ’00:01:02:YY:YY:YY’ config interface ‘wan’ option device ‘eth1’ option proto ‘dhcp’ config interface ‘wan6’ option device ‘eth1’ option proto ‘dhcpv6’
По аналогия с конфигурационните файлове /etc/config/network, промените в «ifname» на «device» са направени и в полетата на board.json.
- Добавена е новата платформа «realtek», която позволява използването на OpenWrt на устройства с голям брой Ethernet портове, като Ethernet комутатори на D-Link, ZyXEL, ALLNET, INABA и NETGEAR.
- Добавени са нови платформи bcm4908 и rockchip за устройства, базирани на SoC Broadcom BCM4908 и Rockchip RK33xx. В преди поддържаните платформи са отстранени недостатъци в поддръжката на устройства.
- Спирането на поддръжката на платформата ar71xx; вместо нея трябва да се използва платформата ath79 (за устройства, зависими от ar71xx, се препоръчва нова инсталация на OpenWrt). Също така е прекратена поддръжката на платформите cns3xxx (Cavium Networks CNS3xxx), rb532 (MikroTik RB532) и samsung (SamsungTQ210).
- Изпълнимите файлове на приложенията, използвани за обработка на мрежови връзки, са събрани в режим PIE (Position-Independent Executables) с пълна поддръжка на рандомизация на адресното пространство (ASLR) за затрудняване на експлоатацията на уязвимости в подобни приложения.
- При сборката на ядрото на Linux по подразбиране са включени опции за поддръжка на технологии за контейнерна изолация, позволяващи на повечето платформи да използват LXC инструменти и режим procd-ujail в OpenWrt.
- Предоставена е възможността за сборка с поддръжка на системата за принудителен контрол на достъпа SELinux (по подразбиране деактивирана).
- Актуализирани са версиите на пакетите, включително са предложени версии на musl libc 1.1.24, glibc 2.33, gcc 8.4.0, binutils 2.34, hostapd 2020-06-08, dnsmasq 2.85, dropbear 2020.81, busybox 1.33.1. Ядрото на Linux е обновено до версия 5.4.143 с портироване на безжичния стек cfg80211/mac80211 от ядрото 5.10.42 и прехвърляне на поддръжката. VPN Wireguard.
Източник: opennet.ru
