КвасПро

Роутеры GL.iNet

Что уже работает на роутерах GL.iNet, чем отличаются стоковые прошивки на базе OpenWrt 21.02 и какие ограничения нужно учесть до установки.

Роутеры GL.iNet работают на OpenWrt, поэтому отдельной сборки Квас Про для них нет — установка идёт общим порядком. Подходящие модели других производителей собраны на странице Модели роутеров. Но результат зависит от того, какая на роутере прошивка.

На текущий момент проверена работа только на чистой OpenWrt. Фирменные прошивки GL.iNet на базе OpenWrt 24 и 25 (их обозначают op24 и op25) пока не протестированы: вендор собирает их по-своему — другой набор пакетов, другая версия брандмауэра, собственные службы, — поэтому для работы на них продукту требуется доработка. Не рассчитывайте на готовый результат на этих прошивках. Заводская (стоковая) прошивка на базе OpenWrt 21.02 тоже имеет ограничения, о которых честно рассказано ниже.

Что проверено, а что нет

  • Чистая OpenWrt (aarch64) — единственный проверенный на сегодня путь: Квас Про ведёт себя так же, как на любом другом устройстве OpenWrt.
  • Фирменные прошивки GL.iNet — op24 и op25 — НЕ проверены. Отличий от чистой OpenWrt у них хватает (состав пакетов, версия брандмауэра, собственные службы вендора), поэтому для работы на этих прошивках продукту нужна доработка.
  • Стоковые прошивки GL.iNet (OpenWrt 21.02) — отдельно не проверялись; известные ограничения описаны ниже.

Это описание текущего состояния, а не обещание на будущее. Требования к устройству общие — см. Требования к оборудованию: минимум 256 МБ оперативной памяти. Например, из линейки GL.iNet минимально-разумный вариант — модели уровня Beryl AX (GL-MT3000) и выше; «карманные» модели со 128 МБ памяти не подходят.

Где взять прошивку

Проверяйте прошивку по модели: одна и та же линейка GL.iNet выходит с разными версиями OpenWrt, и «свежая» сборка не обязательно та, что проверена.

Стоковые прошивки GL.iNet: что учесть

Заводские прошивки GL.iNet на базе OpenWrt 21.02 собраны со старым брандмауэром fw3, который управляет правилами через iptables. При работе на такой прошивке возможны два риска, из-за которых устройства в сети могут остаться без интернета. Оба относятся к перестройке системного брандмауэра и к сторонним настройкам самого роутера, а не к Квас Про как таковому — поэтому о них важно знать заранее.

Риск 1. Прошивка пересобирает правила и сносит наши

Квас Про прописывает свой перехват трафика в системные таблицы iptables и отдельным правилом разрешает клиентам выход в туннель. Брандмауэр fw3 при перезагрузке правил — после перезагрузки роутера, смены настроек сети, поднятия или падения интерфейсов — собирает таблицы заново. Наши вставки при этом пропадают, а маршруты, по которым трафик клиентов уходит в туннель, остаются. Получается худший из вариантов: трафик по-прежнему направляется в туннель, а разрешения на выход из сети уже нет — устройства теряют интернет, пока контрольная проверка Квас Про не вернёт правила на место.

Что делать. Самый надёжный путь — уйти со стоковой прошивки на чистую OpenWrt (проверенный вариант): там работает брандмауэр fw4 (nftables), а правила Квас Про живут в отдельной таблице и перестройкой fw4 не затрагиваются. Фирменные op24 и op25 пока не проверены — см. раздел «Что проверено, а что нет». Если вы остаётесь на стоковой прошивке — держите под рукой доступ к роутеру (кабель или аварийный Wi-Fi), меняйте настройки сети по одному шагу и после каждого шага проверяйте интернет с обычного клиента.

Про режим «Обычный» на прошивках без nftables. На стоковых прошивках на базе OpenWrt 21.02 (брандмауэр fw3, только iptables) продукт собирает перехват из двух частей: обычные соединения забирает REDIRECT, а TPROXY отвечает за остальной трафик. Быстрые соединения (QUIC) продукт намеренно оставляет напрямую в обоих случаях — так приложение переходит на обычное соединение, и правило маршрута продолжает работать. Для устройств в сети разницы нет, а Ядро получает ровно те входы, которые нужны этой сборке — проверка после применения это подтверждает. На чистой OpenWrt с fw4 (nftables) тот же режим работает честным TPROXY целиком.

Риск 2. Конфликт со сторонним VPN-профилем и системным перехватом DNS

У заводских прошивок GL.iNet есть собственный VPN-клиент (WireGuard, OpenVPN) и свои правила перенаправления DNS. Квас Про пока не распознаёт производителя и версию прошивки: он не проверяет, не заняты ли уже таблица маршрутизации и метка, которыми пользуется стоковый VPN-профиль, и не предупреждает о конфликте. Если такой профиль включён, часть клиентского трафика может уйти в чужой или нерабочий туннель — и без интернета рискует остаться вся сеть, а не только те устройства, для которых вы настраивали правила.

Что делать. До установки Квас Про отключите в панели GL.iNet сторонние VPN-профили — особенно включённые «на всю сеть» — и верните системный DNS в обычное состояние. Заранее снимите резервную копию настроек роутера. После установки проверьте доступ в интернет с обычного клиента и перезагрузите роутер: если после перезагрузки интернет у клиентов есть, настройка устойчива.

Чего пока нет

Честно о том, чего пока нет:

  • определения производителя и модели — сейчас Квас Про различает только «Entware (Keenetic)» и «OpenWrt» и не знает, что перед ним GL.iNet;
  • предупреждений о конфликте прошивки — ни в веб-интерфейсе, ни в диагностике нет сообщения вида «стоковая прошивка GL.iNet 21.02: известные ограничения»;
  • работы на фирменных прошивках GL.iNet (op24 и op25) — проверена только чистая OpenWrt; для этих прошивок нужна доработка продукта;
  • отдельного сценария установки и выделенной документации по линейке GL.iNet — эта страница первая, и она описывает только текущее состояние.

Полная поддержка стоковых прошивок GL.iNet — с закрытием обоих рисков и с перечисленным «слоем удобства» — запланирована на выпуск 1.0.28 (предложение): номер называет порядок работ, а не срок, и заказчиком ещё не подтверждён. Общее направление развития — в разделе Планы развития.

Что дальше

Предыдущая Как все устроено Следующая Лицензии сторонних компонентов
Документация КвасПро · v1.0.22