Foi lançado um novo e significativo lançamento da distribuição OpenWrt 21.02.0, voltada para a aplicação em vários dispositivos de rede, como roteadores, switches e pontos de acesso. O OpenWrt suporta várias plataformas e arquiteturas diferentes e possui um sistema de construção que permite uma cross-compilation simples e conveniente, incluindo na construção diversos componentes, o que facilita a criação de um firmware ou imagem de disco adaptados a tarefas específicas com o conjunto desejado de pacotes pré-instalados. As construções foram formadas para 36 plataformas-alvo.
As mudanças no OpenWrt 21.02.0 incluem:
- Os requisitos mínimos de hardware foram aumentados. Na construção padrão, devido à inclusão de subsistemas adicionais do núcleo Linux para o uso do OpenWrt, agora é necessário um dispositivo com 8 MB de Flash e 64 MB de RAM. Se desejado, ainda é possível formar uma construção reduzida que funcione em dispositivos com 4 MB de Flash e 32 MB de RAM, mas a funcionalidade dessa construção será limitada e a estabilidade do funcionamento não é garantida.
- No pacote básico estão incluídos pacotes que suportam a tecnologia de proteção de redes sem fio WPA3, que agora está disponível por padrão, tanto no modo cliente quanto ao criar um ponto de acesso. O WPA3 oferece proteção contra ataques de força bruta (não permitirá a força bruta de senhas em modo offline) e utiliza o protocolo de autenticação SAE. A possibilidade de usar WPA3 é garantida na maioria dos drivers para dispositivos sem fio.
- O pacote básico já inclui suporte para TLS e HTTPS, permitindo acesso à interface web LuCI via HTTPS e utilização de utilitários como wget e opkg para extrair informações por canais de comunicação criptografados. Os servidores que distribuem pacotes baixados via opkg também passaram a fornecer informações por HTTPS por padrão. A biblioteca utilizada para criptografia, mbedTLS, foi substituída por wolfSSL (as bibliotecas mbedTLS e OpenSSL ainda podem ser instaladas manualmente, pois continuam sendo fornecidas como opções). Uma opção para configurar o redirecionamento automático para HTTPS na interface web foi proposta: "uhttpd.main.redirect_https=1".
- Foi implementado o suporte inicial para o subsistema do núcleo DSA (Arquitetura de Switches Distribuídos), que fornece ferramentas para configurar e gerenciar cascatas de switches Ethernet interconectados, utilizando mecanismos aplicados à configuração de interfaces de rede comuns (iproute2, ifconfig). O DSA pode ser usado para configurar portas e VLANs em vez da ferramenta swconfig anteriormente oferecida, mas nem todos os drivers de switches suportam o DSA até agora. Na versão proposta, o DSA é utilizado para drivers ath79 (TP-Link TL-WR941ND), bcm4908, gemini, kirkwood, mediatek, mvebu, octeon, ramips (mt7621) e realtek.
- Foram feitas alterações na sintaxe dos arquivos de configuração localizados em /etc/config/network. No bloco "config interface", a opção "ifname" foi renomeada para "device", enquanto no bloco "config device", as opções "bridge" e "ifname" foram renomeadas para "ports". Para novas instalações, agora são gerados arquivos separados com configurações de dispositivos (camada 2, bloco "config device") e interfaces de rede (camada 3, bloco "config interface"). Para manter a compatibilidade retroativa, o suporte à sintaxe antiga foi mantido, ou seja, as configurações criadas anteriormente não exigirão alterações. No entanto, na interface web, ao detectar a sintaxe antiga, será exibida uma proposta de migração para a nova sintaxe, necessária para editar as configurações através da interface web.
Exemplo da nova sintaxe: config device option name ‘br-lan’ option type ‘bridge’ option macaddr ’00:01:02:XX:XX:XX’ list ports ‘lan1’ list ports ‘lan2’ list ports ‘lan3’ list ports ‘lan4’ config interface ‘lan’ option device ‘br-lan’ option proto ‘static’ option ipaddr ‘192.168.1.1’ option netmask ‘255.255.255.0’ option ip6assign ’60’ config device option name ‘eth1’ option macaddr ’00:01:02:YY:YY:YY’ config interface ‘wan’ option device ‘eth1’ option proto ‘dhcp’ config interface ‘wan6’ option device ‘eth1’ option proto ‘dhcpv6’
Similar aos arquivos de configuração /etc/config/network, os nomes dos campos com "ifname" foram alterados para "device" no board.json.
- Foi adicionada uma nova plataforma "realtek", que permite o uso do OpenWrt em dispositivos com um maior número de portas Ethernet, como switches Ethernet D-Link, ZyXEL, ALLNET, INABA e NETGEAR.
- Novas plataformas bcm4908 e rockchip foram adicionadas para dispositivos baseados em SoC Broadcom BCM4908 e Rockchip RK33xx. Em plataformas que já eram suportadas, foram corrigidos erros na compatibilidade com os dispositivos.
- O suporte à plataforma ar71xx foi encerrado, sendo recomendada a utilização da plataforma ath79 (para dispositivos vinculados ao ar71xx, recomenda-se realizar uma nova instalação do OpenWrt). O suporte também foi encerrado para as plataformas cns3xxx (Cavium Networks CNS3xxx), rb532 (MikroTik RB532) e samsung (Samsung TQ210).
- Os arquivos executáveis dos aplicativos utilizados no processamento de conexões de rede são compilados no modo PIE (Position-Independent Executables) com total suporte para randomização do espaço de endereçamento (ASLR), dificultando a exploração de vulnerabilidades nessas aplicações.
- Na compilação do kernel Linux, as opções para suporte a tecnologias de isolamento de contêineres estão habilitadas por padrão, permitindo o uso das ferramentas LXC e o modo procd-ujail na maioria das plataformas com OpenWrt.
- Foi adicionada a possibilidade de compilação com suporte ao sistema de controle de acesso SELinux (desabilitado por padrão).
- As versões dos pacotes foram atualizadas, incluindo lançamentos do musl libc 1.1.24, glibc 2.33, gcc 8.4.0, binutils 2.34, hostapd 2020-06-08, dnsmasq 2.85, dropbear 2020.81, busybox 1.33.1. O kernel Linux foi atualizado para a versão 5.4.143, com a portabilidade da pilha wireless cfg80211/mac80211 do kernel 5.10.42 e transferência de suporte. VPN Wireguard.
Fonte: opennet.ru
