Byla představena nová významná verze distribuce OpenWrt 21.02.0, zaměřená na použití v různých síťových zařízeních, jako jsou routery, switche a přístupové body. OpenWrt podporuje široké spektrum různých platforem a architektur a disponuje systémem sestavení, který umožňuje snadnou a pohodlnou křížovou kompilaci, včetně integrace různých komponent, což usnadňuje vytváření firmware přizpůsobeného konkrétním úkolům nebo obrazu disku se žádoucím souborem předinstalovaných balíčků. Sestavy jsou sestaveny pro 36 cílových platforem.
Mezi změnami v OpenWrt 21.02.0 se uvádí:
- Byly zvýšeny minimální požadavky na hardware. Ve výchozím nastavení, kvůli zapnutí dalších podsystemů jádra Linux pro použití OpenWrt, nyní vyžaduje zařízení s 8 MB Flash a 64 MB RAM. V případě potřeby si však lze stále sestavit vlastní zjednodušenou verzi, která bude moci pracovat na zařízeních s 4 MB Flash a 32 MB RAM, ale funkčnost takové sestavy bude omezená a stabilita nebude zaručena.
- V základním dodání jsou zahrnuty balíčky pro podporu technologie ochrany bezdrátových sítí WPA3, která je nyní k dispozici ve výchozím nastavení jak v klientském režimu, tak při vytváření přístupového bodu. WPA3 poskytuje ochranu před útoky pokusů o uhádnutí hesla (neumožňuje pokusy o uhádnutí hesla v offline režimu) a aktivuje protokol autentizace SAE. Možnost použití WPA3 je zajištěna ve většině ovladačů pro bezdrátová zařízení.
- Ve výchozím nastavení základního dodání je zahrnuta podpora TLS a HTTPS, což umožňuje přístup k webovému rozhraní LuCI přes HTTPS a používání nástrojů jako wget a opkg pro získávání informací prostřednictvím šifrovaných komunikačních kanálů. Servery, přes které jsou distribuovány balíčky stahované prostřednictvím opkg, byly také ve výchozím nastavení přepnuty na poskytování informací prostřednictvím HTTPS. Knihovna mbedTLS používaná pro šifrování byla nahrazena wolfSSL (pokud je to nutné, lze ručně nainstalovat knihovny mbedTLS a OpenSSL, které jsou i nadále dodávány jako volby). Pro automatickou přesměrování na HTTPS v webovém rozhraní byla nabídnuta volba „uhttpd.main.redirect_https=1“.
- Byla zavedena počáteční podpora subsystému jádra DSA (Distributed Switch Architecture), která poskytuje prostředky pro konfiguraci a správu kaskád propojených Ethernetových switchů pomocí mechanismů používaných pro konfiguraci běžných síťových rozhraní (iproute2, ifconfig). DSA lze použít pro konfiguraci portů a VLAN místo dříve nabízeného nástroje swconfig, avšak ne všechny ovladače switchů zatím podporují DSA. V nabídnuté verzi je DSA zapojen pro ovladače ath79 (TP-Link TL-WR941ND), bcm4908, gemini, kirkwood, mediatek, mvebu, octeon, ramips (mt7621) a realtek.
- Byly provedeny změny v syntaxi konfiguračních souborů umístěných v /etc/config/network. V bloku „config interface“ byla možnost „ifname“ přejmenována na „device“, a v bloku „config device“ byly možnosti „bridge“ a „ifname“ přejmenovány na „ports“. Pro nová nastavení se nyní generují samostatné soubory s konfiguracemi zařízení (layer 2, blok „config device“) a síťových rozhraní (layer 3, blok „config interface“). Aby byla zachována zpětná kompatibilita, podpora staré syntaxe byla zachována, tzn. dříve vytvořená nastavení nebudou vyžadovat žádné změny. Při zjištění staré syntaxe se v webovém rozhraní zobrazí návrh na migraci na novou syntaxi, která je nezbytná pro úpravu nastavení přes webové rozhraní.
Příklad nové syntaxe: config device option name ‘br-lan’ option type ‘bridge’ option macaddr ’00:01:02:XX:XX:XX’ list ports ‘lan1’ list ports ‘lan2’ list ports ‘lan3’ list ports ‘lan4’ config interface ‘lan’ option device ‘br-lan’ option proto ‘static’ option ipaddr ‘192.168.1.1’ option netmask ‘255.255.255.0’ option ip6assign ’60’ config device option name ‘eth1′ option macaddr ’00:01:02:YY:YY:YY’ config interface ‘wan’ option device ‘eth1’ option proto ‘dhcp’ config interface ‘wan6’ option device ‘eth1’ option proto ‘dhcpv6’
Podobně jako v konfiguračních souborech /etc/config/network byla názvy polí změněny z „ifname“ na „device“ v board.json.
- Byla přidána nová platforma „realtek“, která umožňuje používání OpenWrt na zařízeních s velkým počtem Ethernetových portů, jako jsou Ethernetové switche D-Link, ZyXEL, ALLNET, INABA a NETGEAR.
- Byly přidány nové platformy bcm4908 a rockchip pro zařízení založená na SoC Broadcom BCM4908 a Rockchip RK33xx. V dříve podporovaných platformách byly odstraněny nedostatky v podpoře zařízení.
- Podpora platformy ar71xx byla ukončena, doporučuje se místo ní použít platformu ath79 (pro zařízení založená na ar71xx se doporučuje provést novou instalaci OpenWrt). Také byla ukončena podpora platforem cns3xxx (Cavium Networks CNS3xxx), rb532 (MikroTik RB532) a samsung (SamsungTQ210).
- Spouštěcí soubory aplikací zapojených do zpracování síťových připojení jsou sestaveny v režimu PIE (Position-Independent Executables) s plnou podporou randomizace adresního prostoru (ASLR), což komplikuje zneužívání zranitelností v těchto aplikacích.
- Při sestavování jádra Linux jsou ve výchozím nastavení zahrnuty možnosti pro podporu technologií kontejnerové izolace, což umožňuje použití nástroje LXC a režimu procd-ujail v OpenWrt na většině platforem.
- Byla zavedena možnost sestavení s podporou systému povinného řízení přístupu SELinux (ve výchozím nastavení je vypnuta).
- Byly aktualizovány verze balíčků, včetně vydání musl libc 1.1.24, glibc 2.33, gcc 8.4.0, binutils 2.34, hostapd 2020-06-08, dnsmasq 2.85, dropbear 2020.81, busybox 1.33.1. Jádro Linux bylo aktualizováno na verzi 5.4.143 s portováním bezdrátového zásobníku cfg80211/mac80211 z jádra 5.10.42 a přesunem podpory. VPN Wireguard.
Zdroj: opennet.ru
