Een nieuwe, belangrijke release van de OpenWrt-distributie 21.02.0 is gepresenteerd, gericht op gebruik in verschillende netwerkapparaten zoals routers, switches en toegangspunten. OpenWrt ondersteunt een breed scala aan platforms en architecturen en beschikt over een build-systeem dat cross-compilatie eenvoudig en handig maakt, met de mogelijkheid om verschillende componenten in de build op te nemen, waardoor eenvoudig een firmware- of schijfafbeelding kan worden samengesteld die is aangepast aan specifieke taken met een gewenste set vooraf geĆÆnstalleerde pakketten. Builds zijn gemaakt voor 36 doelplatforms.
De veranderingen in OpenWrt 21.02.0 zijn onder andere:
- De minimale hardwarevereisten zijn verhoogd. In de standaardbuild, vanwege de opname van extra subsystemen van de Linux-kernel voor gebruik met OpenWrt, is nu een apparaat met 8 MB Flash en 64 MB RAM vereist. Als gewenst, kan er nog steeds een aangepaste, verkorte build worden gemaakt die kan werken op apparaten met 4 MB Flash en 32 MB RAM, maar de functionaliteit van zo'n build zal beperkt zijn en stabiliteit heeft geen garantie.
- De basisinstallatie bevat pakketten ter ondersteuning van de WPA3-beveiligingstechnologie voor draadloze netwerken, die nu standaard beschikbaar is, zowel in clientmodus als bij het opzetten van een toegangspunt. WPA3 biedt bescherming tegen password-guessing-aanvallen (maakt het onmogelijk om wachtwoorden in offline-modus te raden) en maakt gebruik van het authentificatieprotocol SAE. De mogelijkheid om WPA3 te gebruiken is beschikbaar in de meeste stuurprogramma's voor draadloze apparaten.
- De basisinstallatie bevat standaard ondersteuning voor TLS en HTTPS, waarmee toegang mogelijk is tot de LuCI-webinterface via HTTPS en waarmee hulpmiddelen zoals wget en opkg kunnen worden gebruikt om informatie via versleutelde communicatielijnen te verkrijgen. Servers die de via opkg gedownloade pakketten verspreiden, zijn ook standaard overgeschakeld naar het verstrekken van informatie via HTTPS. De bibliotheek mbedTLS die voor versleuteling wordt gebruikt, is vervangen door wolfSSL (indien nodig kunnen de mbedTLS- en OpenSSL-bibliotheken handmatig worden geĆÆnstalleerd, die nog steeds als opties worden meegeleverd). Voor het instellen van automatische doorverwijzing naar HTTPS in de webinterface is de optie 'uhttpd.main.redirect_https=1' voorgesteld.
- InitiĆ«le ondersteuning van het DSA (Distributed Switch Architecture) kernel subsysteem is geĆÆmplementeerd, waarmee het mogelijk is om cascades van onderling verbonden Ethernet-switches in te stellen en te beheren, met gebruik van mechanismen die ook worden toegepast voor de configuratie van gewone netwerkinterfaces (iproute2, ifconfig). DSA kan worden gebruikt om poorten en VLAN's in te stellen in plaats van de eerder aangeboden tool swconfig, maar niet alle switchdrivers ondersteunen momenteel DSA. In deze release wordt DSA ingezet voor drivers zoals ath79 (TP-Link TL-WR941ND), bcm4908, gemini, kirkwood, mediatek, mvebu, octeon, ramips (mt7621) en realtek.
- Er zijn wijzigingen aangebracht in de syntaxis van de configuratiebestanden, geplaatst in /etc/config/network. In het blok "config interface" is de optie "ifname" hernoemd naar "device", en in het blok "config device" zijn de opties "bridge" en "ifname" hernoemd naar "ports". Voor nieuwe installaties worden nu aparte bestanden gegenereerd met instellingen voor apparaten (laag 2, blok "config device") en netwerkinterfaces (laag 3, blok "config interface"). Om de achterwaartse compatibiliteit te waarborgen, is ondersteuning voor de oude syntaxis behouden, wat betekent dat eerder gemaakte instellingen geen wijzigingen vereisen. In de webinterface wordt bij detectie van de oude syntaxis een voorstel gedaan voor migratie naar de nieuwe syntaxis, die nodig is voor het bewerken van instellingen via de webinterface.
Voorbeeld van de nieuwe syntaxis: config device option name 'br-lan' option type 'bridge' option macaddr '00:01:02:XX:XX:XX' list ports 'lan1' list ports 'lan2' list ports 'lan3' list ports 'lan4' config interface 'lan' option device 'br-lan' option proto 'static' option ipaddr '192.168.1.1' option netmask '255.255.255.0' option ip6assign '60' config device option name 'eth1' option macaddr '00:01:02:YY:YY:YY' config interface 'wan' option device 'eth1' option proto 'dhcp' config interface 'wan6' option device 'eth1' option proto 'dhcpv6'
In navolging van de configuratiebestanden in /etc/config/network zijn de veldnamen in board.json van "ifname" naar "device" gewijzigd.
- Een nieuw platform "realtek" is toegevoegd, waarmee OpenWrt kan worden gebruikt op apparaten met een groter aantal Ethernet-poorten, zoals Ethernet-switches van D-Link, ZyXEL, ALLNET, INABA en NETGEAR.
- Nieuwe platforms bcm4908 en rockchip zijn toegevoegd voor apparaten op basis van de SoC Broadcom BCM4908 en Rockchip RK33xx. In de eerder ondersteunde platforms zijn fouten in de ondersteuning van apparaten opgelost.
- De ondersteuning voor het ar71xx-platform is beƫindigd, en in plaats daarvan dient het ath79-platform gebruikt te worden (voor apparaten die afhankelijk zijn van ar71xx wordt aangeraden OpenWrt vanaf nul opnieuw te installeren). Ook de ondersteuning voor de cns3xxx (Cavium Networks CNS3xxx), rb532 (MikroTik RB532) en samsung (Samsung TQ210) is beƫindigd.
- De uitvoerbare bestanden van de applicaties die worden gebruikt voor het verwerken van netwerkverbindingen zijn in de PIE-modus (Position-Independent Executables) samengesteld met volledige ondersteuning voor Address Space Layout Randomization (ASLR) om de exploitatie van kwetsbaarheden in dergelijke applicaties te bemoeilijken.
- Bij de standaard Linux-kernelbouw zijn opties ingeschakeld voor de ondersteuning van containerisolatietechnologieƫn, waarmee op de meeste platforms de LXC-toolkit en de procd-ujail-modus in OpenWrt kunnen worden gebruikt.
- Er is de mogelijkheid toegevoegd om te bouwen met ondersteuning voor het SELinux-toegangscontrolesysteem (standaard uitgeschakeld).
- De versies van de pakketten zijn bijgewerkt, waaronder releases van musl libc 1.1.24, glibc 2.33, gcc 8.4.0, binutils 2.34, hostapd 2020-06-08, dnsmasq 2.85, dropbear 2020.81, busybox 1.33.1. De Linux-kernel is bijgewerkt naar versie 5.4.143, met de draadloze stack cfg80211/mac80211 overgezet vanuit kernel 5.10.42 en ondersteuning overgebracht. VPN Wireguard.
Bron: opennet.ru
