Sortie d'OpenWrt 21.02.0

Une nouvelle version significative de la distribution OpenWrt 21.02.0 a été présentée, axée sur l'utilisation dans divers appareils réseau tels que des routeurs, des commutateurs et des points d'accès. OpenWrt prend en charge de nombreuses plateformes et architectures différentes et dispose d'un système de construction permettant une cross-compilation simple et pratique, incluant différents composants dans la construction, ce qui permet de former facilement un firmware ou une image disque adaptée aux tâches spécifiques avec un ensemble de packages préinstallés souhaité. Des builds sont créés pour 36 plateformes cibles.

Les changements dans OpenWrt 21.02.0 incluent :

• Les exigences minimales en matière de matériel ont été augmentées. Dans la build par défaut, en raison de l'inclusion de sous-systèmes supplémentaires du noyau Linux pour l'utilisation d'OpenWrt, un appareil avec 8 Mo de Flash et 64 Mo de RAM est désormais nécessaire. Si souhaité, il est toujours possible de créer sa propre build allégée qui pourra fonctionner sur des appareils avec 4 Mo de Flash et 32 Mo de RAM, mais la fonctionnalité d'une telle build sera limitée et la stabilité de fonctionnement n'est pas garantie.
• Le package de base inclut des paquets pour le support de la technologie de protection des réseaux sans fil WPA3, qui est désormais disponible par défaut à la fois en mode client et lors de la création d'un point d'accès. WPA3 offre une protection contre les attaques par force brute (empêche le craquage de mot de passe en mode hors ligne) et utilise le protocole d'authentification SAE. La possibilité d'utiliser WPA3 est assurée dans la plupart des pilotes pour appareils sans fil.
• Le package de base inclut par défaut le support de TLS et HTTPS, permettant d'accéder à l'interface Web LuCI via HTTPS et d'utiliser des utilitaires comme wget et opkg pour extraire des informations via des canaux de communication chiffrés. Les serveurs par lesquels passent les paquets téléchargés via opkg ont également été configurés par défaut pour fournir des informations via HTTPS. La bibliothèque utilisée pour le chiffrement, mbedTLS, a été remplacée par wolfSSL (les bibliothèques mbedTLS et OpenSSL peuvent toujours être installées manuellement, elles continuent d'être fournies en tant qu'options). Pour configurer le redémarrage automatique en HTTPS dans l'interface web, une option « uhttpd.main.redirect_https=1 » a été proposée.
• Un support initial du sous-système du noyau DSA (Distributed Switch Architecture) a été réalisé, fournissant des moyens pour configurer et gérer des cascades de commutateurs Ethernet interconnectés, en utilisant des mécanismes appliqués à la configuration des interfaces réseau ordinaires (iproute2, ifconfig). DSA peut être utilisé pour configurer des ports et VLAN, en remplacement de l'outil swconfig précédemment proposé, mais tous les pilotes de commutateurs ne supportent pas encore DSA. Dans cette version, DSA est utilisé pour les pilotes ath79 (TP-Link TL-WR941ND), bcm4908, gemini, kirkwood, mediatek, mvebu, octeon, ramips (mt7621) et realtek.
• Des modifications ont été apportées à la syntaxe des fichiers de configuration, placés dans /etc/config/network. Dans le bloc « config interface », l'option « ifname » a été renommée en « device », et dans le bloc « config device », les options « bridge » et « ifname » ont été renommées en « ports ». Pour les nouvelles installations, des fichiers distincts avec les paramètres des appareils (couche 2, bloc « config device ») et des interfaces réseau (couche 3, bloc « config interface ») sont désormais générés. Pour garantir la compatibilité ascendante, le support de l'ancienne syntaxe est maintenu, c'est-à-dire que les réglages précédemment établis ne nécessiteront pas de modifications. Cependant, dans l'interface web, lorsqu'une ancienne syntaxe sera détectée, une proposition de migration vers la nouvelle syntaxe, nécessaire pour modifier les paramètres via l'interface web, apparaîtra.

  Exemple de nouvelle syntaxe : config device option name ‘br-lan’ option type ‘bridge’ option macaddr ’00:01:02:XX:XX:XX’ list ports ‘lan1’ list ports ‘lan2’ list ports ‘lan3’ list ports ‘lan4’ config interface ‘lan’ option device ‘br-lan’ option proto ‘static’ option ipaddr ‘192.168.1.1’ option netmask ‘255.255.255.0’ option ip6assign ’60’ config device option name ‘eth1′ option macaddr ’00:01:02:YY:YY:YY’ config interface ‘wan’ option device ‘eth1’ option proto ‘dhcp’ config interface ‘wan6’ option device ‘eth1’ option proto ‘dhcpv6’

  Par analogie avec les fichiers de configuration /etc/config/network, les noms des champs dans board.json ont été modifiés, remplaçant « ifname » par « device ».

• Une nouvelle plateforme « realtek » a été ajoutée, permettant d'utiliser OpenWrt sur des appareils avec un grand nombre de ports Ethernet, comme des commutateurs Ethernet D-Link, ZyXEL, ALLNET, INABA et NETGEAR.
• De nouvelles plateformes bcm4908 et rockchip ont été ajoutées pour les appareils basés sur les SoC Broadcom BCM4908 et Rockchip RK33xx. Les plateformes précédemment prises en charge ont bénéficié de corrections de bogues concernant le support des appareils.
• Le support de la plateforme ar71xx a été arrêté, et il est recommandé d'utiliser la plateforme ath79 (pour les appareils basés sur ar71xx, une réinstallation complète d'OpenWrt est conseillée). Le support des plateformes cns3xxx (Cavium Networks CNS3xxx), rb532 (MikroTik RB532) et samsung (Samsung TQ210) a également été arrêté.
• Les fichiers exécutables des applications utilisés pour le traitement des connexions réseau sont compilés en mode PIE (Position-Independent Executables) avec un support complet de la randomisation de l'espace d'adresses (ASLR) pour compliquer l'exploitation des vulnérabilités dans ces applications.
• Dans la construction du noyau Linux, les options pour le support des technologies d'isolation des conteneurs sont activées par défaut, permettant d'utiliser l'outil LXC et le mode procd-ujail dans OpenWrt sur la plupart des plateformes.
• Il est désormais possible de compiler avec le support du système de contrôle d'accès obligatoire SELinux (désactivé par défaut).
• Les versions des paquets ont été mises à jour, notamment avec les sorties de musl libc 1.1.24, glibc 2.33, gcc 8.4.0, binutils 2.34, hostapd 2020-06-08, dnsmasq 2.85, dropbear 2020.81, busybox 1.33.1. Le noyau Linux a été mis à jour vers la version 5.4.143 avec le portage de la pile sans fil cfg80211/mac80211 depuis le noyau 5.10.42 et le transfert de support. VPN Wireguard.

Source : opennet.ru