OpenWrt: свой роутер с полным контролем

OpenWrt — это встраиваемый Linux-дистрибутив для сетевого оборудования. Он заменяет заводскую прошивку роутера на управляемую систему с пакетным менеджером, полноценным файрволом, SSH и веб-интерфейсом LuCI. Владелец получает не «чёрный ящик» с парой галочек, а устройство, которое настраивается скриптами и обновляется по мере выхода релизов. Разберём проверку совместимости, установку, базовую конфигурацию и диагностику.

Зачем менять прошивку

Штатное ПО массовых роутеров редко даёт нужную гибкость: список клиентов, статические маршруты, VLAN, собственный DNS и тонкие правила файрвола спрятаны или отсутствуют. OpenWrt закрывает эти задачи через UCI — единый интерфейс настройки, к которому обращаются и LuCI, и командная строка.

Вторая причина — предсказуемость обновлений. Пакеты ставятся из репозитория, конфигурация хранится в текстовых файлах, а резервную копию можно снять одной командой.

Важно понимать границы: OpenWrt ставится только на собственную модель из списка поддерживаемых устройств. Прошивка чужого или арендованного оборудования и вмешательство в работу оператора связи недопустимы. Проверьте, что роутер ваш, а установка не нарушает договор и закон.

Проверка совместимости

Начните с таблицы поддерживаемых устройств на сайте проекта. Нужны точная модель и аппаратная ревизия: одинаковые названия могут относиться к разным платам с разным объёмом флеш-памяти. Для многих моделей отдельно указывают версию загрузчика и обязательный промежуточный образ.

Сохраните заводские настройки. На OpenWrt сведения выводит ubus, на заводской прошивке ориентируйтесь на наклейку. Если роутер выдавался провайдером, уточните условия — прошивать разрешено лишь то устройство, которым вы владеете.

ubus call system board
cat /etc/os-release
df -h
free -m

Вывод покажет модель, версию ядра и доступное место. Базовой установке обычно достаточно 8–16 МБ флеш-памяти, но набор пакетов быстро её расходует; устройства с 4 МБ лучше не рассматривать.

Резервная копия и прошивка

Сохраните конфигурацию: на заводской прошивке — через её веб-интерфейс, на OpenWrt — командой sysupgrade -b. Скачайте образ, соответствующий вашей ревизии. Файлы factory и sysupgrade не взаимозаменяемы: первый ставят с заводской прошивки, второй — поверх уже работающего OpenWrt.

sysupgrade -b /tmp/openwrt-backup.tar.gz
scp root@192.168.1.1:/tmp/openwrt-backup.tar.gz .
sha256sum openwrt-*-sysupgrade.bin

Сверьте контрольную сумму с опубликованной на сайте. Затем прошейте образ через LuCI или командой. Ключ -n означает «не сохранять текущую конфигурацию»; без него система попытается перенести настройки.

sysupgrade -n /tmp/openwrt-*-sysupgrade.bin
sysupgrade -v /tmp/openwrt-*-sysupgrade.bin

Во время записи не выключайте питание. Если после перезагрузки устройство не отвечает, проверьте адрес по умолчанию и попробуйте режим восстановления, описанный для вашей модели.

Первый вход и UCI

После прошивки роутер доступен по адресу 192.168.1.1. Сразу задайте пароль root и подключитесь по SSH. Все настройки удобно вести через UCI: изменения сначала попадают в рабочий набор, затем фиксируются командой commit.

uci show network
uci set network.lan.ipaddr='192.168.10.1'
uci set network.lan.netmask='255.255.255.0'
uci commit network
/etc/init.d/network reload

Смена подсети полезна, чтобы не пересекаться с сетью провайдера или соседнего роутера. После применения проверьте, что компьютер получил новый адрес по DHCP, и только затем продолжайте настройку.

Полный список секций выводит uci show, а незафиксированные изменения — uci changes. Откатить конкретное значение можно через uci revert.

DHCP, DNS и Wi-Fi

Служба dnsmasq раздаёт адреса и разрешает имена. Диапазон и время аренды настраиваются в секции dhcp.lan. Для стабильных устройств — принтеров, NAS, камер — лучше закрепить адрес по MAC, а не расширять пул.

uci set dhcp.lan.start='100'
uci set dhcp.lan.limit='100'
uci set dhcp.lan.leasetime='12h'
uci commit dhcp
/etc/init.d/dnsmasq restart

Беспроводная сеть настраивается в секции wireless. Задайте WPA2 или WPA3, отключите WPS и не используйте устаревший TKIP. Гостевая сеть должна быть в отдельной зоне файрвола без доступа к локальным ресурсам.

uci show wireless
uci set wireless.default_radio0.ssid='HomeNet'
uci set wireless.default_radio0.encryption='sae-mixed'
uci commit wireless
wifi reload

Параметр sae-mixed допускает и WPA3, и WPA2 для старых клиентов.

Файрвол и проброс портов

По умолчанию зона WAN закрыта, а LAN доверенная. Не ослабляйте это правило без причины. Для публикации сервиса используйте точечный redirect, а не открытие всего диапазона.

uci add firewall redirect
uci set firewall.@redirect[-1].name='web'
uci set firewall.@redirect[-1].src='wan'
uci set firewall.@redirect[-1].src_dport='8080'
uci set firewall.@redirect[-1].dest='lan'
uci set firewall.@redirect[-1].dest_ip='192.168.10.10'
uci set firewall.@redirect[-1].dest_port='80'
uci set firewall.@redirect[-1].proto='tcp'
uci commit firewall
/etc/init.d/firewall reload

Не публикуйте на WAN панель управления, SSH и базы данных; для удалённого доступа ограничьте источник адресов и включите аутентификацию, а не открывайте порты всему интернету.

Пакеты и обновления

Начиная с релиза 25.12 в OpenWrt используется пакетный менеджер apk, в 24.10 и более старых — opkg. Проверьте, что установлено, и не смешивайте команды.

which apk opkg
apk update && apk add htop iw
opkg update && opkg install htop iw

Перед обновлением системы сохраните список пакетов и конфигурацию. Между крупными релизами иногда требуется переустановка без сохранения настроек — читайте примечания к выпуску.

apk list -I > /tmp/packages.txt
sysupgrade -b /tmp/before-upgrade.tar.gz

Диагностика

Большинство проблем видно в системном журнале и выводе ядра. Смотрите их до перезагрузки, иначе причина исчезнет.

logread -f
dmesg | tail -n 50
ip -br addr
iw dev
cat /proc/net/nf_conntrack | wc -l

Команда logread -f показывает события в реальном времени: отказ DHCP, перезапуск интерфейса, ошибки драйвера. iw dev полезен при проблемах с Wi-Fi, а число записей conntrack — при исчерпании таблицы соединений.

Если после смены настроек пропал доступ, подключитесь по кабелю и откатите последние изменения через uci revert или восстановите архив. Держите под рукой серийный консольный доступ для моделей, где он предусмотрен.

Безопасность

• Смените пароль root и отключите вход по паролю для SSH, оставив ключи.
• Не открывайте LuCI и SSH на WAN.
• Обновляйте пакеты и прошивку, следите за бюллетенями проекта.
• Разделяйте гостевую и основную сеть.
• Храните резервные копии конфигурации вне роутера.

Перед отключением парольного входа убедитесь, что ключ действительно работает: иначе можно потерять доступ. Для удалённого администрирования используйте проверенные способы аутентификации, разрешённые вашей организацией.

Итог

OpenWrt даёт полный контроль над собственным роутером: конфигурация хранится в тексте, управляется через UCI и переносится резервной копией. Начните с проверки совместимости, снимите бэкап, прошейте подходящий образ и настройте сеть по шагам. Не трогайте чужое оборудование, не вмешивайтесь в работу оператора связи и помните, что после прошивки гарантия производителя может не действовать.