КвасПро

Роўтары GL.iNet

Што ўжо працуе на роўтарах GL.iNet, чым адрозніваюцца стокавыя прашыўкі на базе OpenWrt 21.02 і якія абмежаванні трэба ўлічыць да ўсталявання.

Роўтары GL.iNet працуюць на OpenWrt, таму асобнай зборкі Квас Про для іх няма — усталяванне ідзе агульным парадкам. Прыдатныя мадэлі іншых вытворцаў сабраныя на старонцы Мадэлі роўтараў. Але вынік залежыць ад таго, якая на роўтары прашыўка.

На бягучы момант праверана праца толькі на чыстай OpenWrt. Фірмовыя прашыўкі GL.iNet на базе OpenWrt 24 і 25 (іх пазначаюць op24 і op25) пакуль не пратэставаныя: вендар збірае іх па-свойму — іншы набор пакетаў, іншая версія брандмаўэра, уласныя службы, — таму для працы на іх прадукту патрабуецца дапрацоўка. Не разлічвайце на гатовы вынік на гэтых прашыўках. Заводская (стокавая) прашыўка на базе OpenWrt 21.02 таксама мае абмежаванні, пра якія сумленна расказана ніжэй.

Што праверана, а што не

  • Чыстая OpenWrt (aarch64) — адзіны правераны на сёння шлях: Квас Про паводзіць сябе гэтак жа, як на любой іншай прыладзе OpenWrt.
  • Фірмовыя прашыўкі GL.iNet — op24 і op25 — НЕ правераныя. Адрозненняў ад чыстай OpenWrt у іх хапае (склад пакетаў, версія брандмаўэра, уласныя службы вендара), таму для працы на гэтых прашыўках прадукту патрэбная дапрацоўка.
  • Стокавыя прашыўкі GL.iNet (OpenWrt 21.02) — асобна не правяраліся; вядомыя абмежаванні апісаныя ніжэй.

Гэта апісанне бягучага стану, а не абяцанне на будучыню. Патрабаванні да прылады агульныя — гл. Патрабаванні да абсталявання: мінімум 256 МБ аператыўнай памяці. Напрыклад, з лінейкі GL.iNet мінімальна-разумны варыянт — мадэлі ўзроўню Beryl AX (GL-MT3000) і вышэй; «кішэнныя» мадэлі са 128 МБ памяці не падыходзяць.

Дзе ўзяць прашыўку

Правярайце прашыўку па мадэлі: адна і тая ж лінейка GL.iNet выходзіць з рознымі версіямі OpenWrt, і «свежая» зборка не абавязкова тая, што правераная.

Стокавыя прашыўкі GL.iNet: што ўлічыць

Заводскія прашыўкі GL.iNet на базе OpenWrt 21.02 сабраныя са старым брандмаўэрам fw3, які кіруе правіламі праз iptables. Пры працы на такой прашыўцы магчымыя дзве рызыкі, з-за якіх прылады ў сетцы могуць застацца без інтэрнэту. Абедзве датычацца перабудовы сістэмнага брандмаўэра і да старонніх налад самога роўтара, а не да Квас Про як такога — таму пра іх важна ведаць загадзя.

Рызыка 1. Прашыўка перабірае правілы і зносіць нашы

Квас Про прапісвае свой перахоп трафіку ў сістэмныя табліцы iptables і асобным правілам дазваляе кліентам выхад у тунэль. Брандмаўэр fw3 пры перазагрузцы правілаў — пасля перазагрузкі роўтара, змены налад сеткі, падняцця або падзення інтэрфейсаў — збірае табліцы нанова. Нашы ўстаўкі пры гэтым знікаюць, а маршруты, па якіх трафік кліентаў сыходзіць у тунэль, застаюцца. Атрымліваецца горшы з варыянтаў: трафік па-ранейшаму накіроўваецца ў тунэль, а дазволу на выхад з сеткі ўжо няма — прылады губляюць інтэрнэт, пакуль кантрольная праверка Квас Про не верне правілы на месца.

Што рабіць. Самы надзейны шлях — сысці са стокавай прашыўкі на чыстую OpenWrt (правераны варыянт): там працуе брандмаўэр fw4 (nftables), а правілы Квас Про жывуць у асобнай табліцы і перабудовай fw4 не закранаюцца. Фірмовыя op24 і op25 пакуль не правераныя — гл. раздзел «Што праверана, а што не». Калі вы застаецеся на стокавай прашыўцы — трымайце пад рукой доступ да роўтара (кабель або аварыйны Wi-Fi), мяняйце налады сеткі па адным кроку і пасля кожнага крока правярайце інтэрнэт са звычайнага кліента.

Пра рэжым «Звычайны» на прашыўках без nftables. На стокавых прашыўках на базе OpenWrt 21.02 (брандмаўэр fw3, толькі iptables) прадукт збірае перахоп з дзвюх частак: звычайныя злучэнні забірае REDIRECT, а TPROXY адказвае за астатні трафік. Хуткія злучэнні (QUIC) прадукт наўмысна пакідае наўпрост у абодвух выпадках — так праграма пераходзіць на звычайнае злучэнне, і правіла маршруту працягвае працаваць. Для прылад у сетцы розніцы няма, а Ядро атрымлівае роўна тыя ўваходы, якія патрэбныя гэтай зборцы — праверка пасля прымянення гэта пацвярджае. На чыстай OpenWrt з fw4 (nftables) той жа рэжым працуе сумленным TPROXY цалкам.

Рызыка 2. Канфлікт са староннім VPN-профілем і сістэмным перахопам DNS

У заводскіх прашывак GL.iNet ёсць уласны VPN-кліент (WireGuard, OpenVPN) і свае правілы перанакіравання DNS. Квас Про пакуль не распазнае вытворцу і версію прашыўкі: ён не правярае, ці не занятыя ўжо табліца маршрутызацыі і метка, якімі карыстаецца стокавы VPN-профіль, і не папярэджвае пра канфлікт. Калі такі профіль уключаны, частка кліенцкага трафіку можа пайсці ў чужы або непрацоўны тунэль — і без інтэрнэту рызыкуе застацца ўся сетка, а не толькі тыя прылады, для якіх вы наладжвалі правілы.

Што рабіць. Да ўсталявання Квас Про адключыце ў панэлі GL.iNet староннія VPN-профілі — асабліва ўключаныя «на ўсю сетку» — і вярніце сістэмны DNS у звычайны стан. Загадзя зніміце рэзервовую копію налад роўтара. Пасля усталявання праверце доступ у інтэрнэт са звычайнага кліента і перазагрузіце роўтар: калі пасля перазагрузкі інтэрнэт у кліентаў ёсць, наладка ўстойлівая.

Чаго пакуль няма

Сумленна пра тое, чаго пакуль няма:

  • вызначэння вытворцы і мадэлі — зараз Квас Про адрознівае толькі «Entware (Keenetic)» і «OpenWrt» і не ведае, што перад ім GL.iNet;
  • папярэджанняў пра канфлікт прашыўкі — ні ў вэб-інтэрфейсе, ні ў дыягностыцы няма паведамлення выгляду «стокавая прашыўка GL.iNet 21.02: вядомыя абмежаванні»;
  • працы на фірмовых прашыўках GL.iNet (op24 і op25) — правераная толькі чыстая OpenWrt; для гэтых прашывак патрэбная дапрацоўка прадукту;
  • асобнага сцэнара ўсталявання і выдзеленай дакументацыі па лінейцы GL.iNet — гэтая старонка першая, і яна апісвае толькі бягучы стан.

Поўная падтрымка стокавых прашывак GL.iNet — з закрыццём абодвух рызык і з пералічаным «слоем зручнасці» — запланаваная на выпуск 1.0.28 (прапанова): нумар называе парадак работ, а не тэрмін, і заказчыкам яшчэ не пацверджаны. Агульны кірунак развіцця — у раздзеле Планы развіцця.

Што далей

Папярэдняя Як усё ўладкавана Наступная Ліцэнзіі старонніх кампанентаў
Дакументацыя КвасПро · v1.0.23