Beinahe grenzenlos

von Dr. Holger Reibold

Gerade ältere Router fristen meist ein Schattendasein. Sie erfüllen ihre Funktion, weisen aber gleichzeitig Sicherheitslücken aufgrund ihrer veralteten Firmware auf. Auch sind die vorhandenen Features nicht mehr auf dem Stand der Zeit. Mit OpenWrt hauchen Sie diesen Geräten neues Leben ein. Die Software ist für Stabilität, Performance und hohe Sicherheitsanforderungen bekannt. Und dank tausender Pakete erweitern Sie OpenWrt zu einem wahren Alleskönner.

Die Anforderungen an kritische IT-Infrastrukturkomponenten sind naturgemäß hoch. Sie sollen sicher und zuverlässig sein, brav ihren Dienst verrichten und sich gleichzeitig auf dem technologischen Stand der Dinge bewegen. Schenken wir den Angaben der OpenWrt-Entwickler Glauben, kann deren Umgebung all diese Kriterien erfüllen. Als zentraler Netzwerkknoten lastet eine Menge Arbeit auf dem Router. Im Kern geht es beim Einsatz von OpenWrt [1] darum, ein Maximum aus der Hardware herauszuholen. Dabei kommt zupass, dass OpenWrt auf nahezu jedem marktüblichen Router installiert werden kann. Wie die "Table of Hardware" [2] verrät, ist auch eine Inbetriebnahme auf verschiedenen Varianten der beliebten Fritzbox möglich.

Vielseitig und transparent

Handelsübliche Router kommen standardmäßig mit einer vorinstallierten Firmware daher, doch diese unterliegt häufig funktionalen Restriktionen oder erlaubt nicht die gewünschten Anpassungen. Hier setzt OpenWrt (Open Wireless Router) an, dessen vielfältigen Vorzüge wir kurz beleuchten wollen. So haben sich die Entwickler insbesondere der Latenzproblematik verschrieben, die so manches Netzwerk ausbremst. Veraltete oder nicht gepflegte Router erweisen sich insbesondere bei intensiver WLAN-Nutzung als lästiger Flaschenhals.

Wie bei anderen Open-Source-Projekten profitieren Sie zudem davon, dass der Quellcode permanent von Experten auf etwaige Schwachstellen und Unzulänglichkeiten hin überprüft wird. Bereits in der Grundeinstellung verfolgt OpenWrt ein rigides Sicherheitskonzept, das etwaige Angriffe auf die angeschlossenen Geräte verhindert. Von Vorteil ist außerdem, dass OpenWrt die Lebensdauer von Routern verlängert. Für den Einsatz von OpenWrt spricht auch dessen Erweiterbarkeit. Laut Angaben der Entwickler kann das OpenWrt-Basissystem um 27.000 Pakete erweitert werden. Darunter befindet sich ein Adblocker, der netzwerkweit Werbung signifikant reduziert und sich damit positiv auf die Bandbreitennutzung, das Tracking und den Datenschutz auswirkt.

OpenWrt verfügt über das sogenannte SQM-Paket (Smart Queue Management), das der Reduzierung von Bufferbloat dient – der unerwünschten Latenz, die aus der Zwischenspeicherung von zu vielen Daten resultiert. Mit der Integration des OpenVPN-Moduls verwandeln Sie den Router zudem in eine vollwertige VPN-Umgebung – ein Must-have-Feature in Home-Office-Zeiten.

OpenWrt taugt insbesondere als WLAN-Access-Point und erlaubt das Erstellen von Gastzugängen mit eingeschränkten Berechtigungen. Wie bei vielen Open-Source-Projekten üblich, treibt die Community die Weiterentwicklung voran. Dabei kommt Anwendern insbesondere zugute, dass von der Community neue Technologien implementiert und unter realen Bedingungen getestet werden, bevor diese in das System einfließen.

Ein weiteres Plus: Die Umgebung kann über die Konsole und eine Web-GUI konfiguriert werden, wobei die LuCI-Web-GUI an die Corporate Identity anpassbar ist. Mithilfe des OpenWrt-Image-Generators können Sie außerdem eigene Firmware-Images für Ihr Gerät mit spezifischen Anpassungen wie einem vordefinierten Passwort oder WiFi-Einstellungen vornehmen. Im Unterschied zu anderen Open-Source-Projekten existieren bei OpenWRT keine kommerziellen Abonnementmodelle.

OpenWrt in Betrieb nehmen

In Sachen Installation gibt es nicht den einen universellen Weg, vielmehr gestaltet sich der Ablauf gerätespezifisch. Wenn angesichts der Flexibilität und Funktionalität von OpenWrt Ihre Neugierde geweckt ist, sollten Sie zunächst sicherstellen, dass der verfügbare Router unterstützt wird. Im Zweifelsfall können Sie auch auf einen Raspberry Pi zurückgreifen. Dann genügt es, das Image auf eine SD-Karte zu kopieren und von dieser zu booten. Die Installation ist grundsätzlich im nichtflüchtigen Speicher, dem RAM oder per Netzwerk-Boot möglich. Dabei ist zu beachten, dass nicht alle Router das Booten über das Netzwerk unterstützen.

Besonders einfach gestaltet sich die Installation über die OEM-Firmware. Häufig stellen Router eine Web-GUI bereit, die die Installation eines Firmware-Updates erlaubt. In diesem Fall wählen Sie das OpenWrt-Paket aus und führen das Update durch. Das Gerät sollte mit installiertem OpenWrt neu starten. Allerdings funktioniert diese Methode nicht immer, weil das Flashen gerätespezifisch vorkonfiguriert ist.

Alternativ können Sie die Bootloader-Funktion des Routers verwenden. Da die meisten Bootloader einen FTP-Dienst integrieren, ist ein Upload auf diesem Weg möglich. Hierfür ermitteln Sie zunächst die IP-Adresse des Bootloaders, die nicht notwendigerweise identisch mit der IP-Adresse ist, die das Gerät besitzt, nachdem es mit der Original-Firmware gebootet wurde.

Weiter benötigen Sie das Protokoll und müssen in Erfahrung bringen, ob der Router als Client oder Server agiert. Neben der Portnummer benötigen Sie gegebenenfalls die Credentials. Mit diesen Informationen können Sie die OpenWrt-Datei installieren. Stellen Sie vor dem Aufspielen von OpenWrt sicher, dass eine Original-Firmware installiert ist – aufgrund von gerätespezifischen Paketen eine Installationsvoraussetzung.

Einsatz in virtueller Umgebung

Wenn Sie OpenWrt zu Testzwecken zunächst als VM installieren möchten, gelingt auch das mithilfe von VirtualBox. In diesem Fall laden Sie sich zunächst das OpenWrt-x86-Image herunter. Das Abbild der aktuellen Version 22.03.5 finden Sie unter [3]. Extrahieren Sie das Image und konvertieren Sie es nach VDI mit

Anschließend passen Sie die Größe der VDI-Datei an:

Als Nächstes starten Sie VirtualBox, legen eine neue virtuelle Maschine an und wählen als Betriebssystem "Linux 2.x / 3.x / 4.x / 5.x (64-bit)". Für den Hauptspeicher genügen 128 MByte. Wichtig ist, dass Sie keine virtuelle Festplatte anlegen. Im nächsten Schritt weisen Sie der neuen Maschine die Datei "openwrt.vdi" über die VM-Einstellungen zu. Es folgt die Netzwerkkonfiguration; verwenden Sie für Adapter 1 und 2 den Brigded-Modus. Wichtig ist, dass Sie beim Starten die Option "Normal" verwenden. OpenWrt meldet sich nach dem Abschluss des Startvorgangs mit der Konsole. Mit dem Befehl "passwd" bestimmen Sie das Root-Kennwort. Es stehen noch einige wenige Anpassungen der Konfiguration aus: Legen Sie die LAN-IP-Adresse von OpenWRT fest mittels

und führen Sie einen Neustart des Netzwerkdienstes durch per service network restart. Anschließend aktualisieren Sie die OpenWrt-Pakete über opkg update und installieren das LuCI-Web-Interface mit opkg install luci. Starten Sie als Nächstes Ihren Webbrowser und navigieren Sie zu "http://192.168.1.1". Im Login-Dialog verwenden Sie den Benutzernamen "root" und geben das zuvor festgelegte Passwort ein. Mit einem Klick auf die "Login"-Schaltflächen haben Sie Zugriff auf die VirtualBox-basierte OpenWrt-Installation.

Alternativ können Sie auch ein Docker-Image installieren:

Als Nächstes führen Sie das "cat"-Kommando aus:

Damit ist die Docker-basierte Variante einsatzbereit und Sie können sich der Konsole der OpenWrt-Konfiguration widmen. Allerdings ist zu beachten, dass dieser Weg nur für ein erstes Kennenlernen taugt, weil das Docker-Image nicht mehr up to date ist. Ob und wann mit einer aktualisierten Fassung zu rechnen ist, konnten wir nicht in Erfahrung bringen.

Basiskonfiguration

Nach der Standardinstallation von OpenWrt können Sie sich das erste Mal über die Web-GUI in das System einloggen. Geben Sie "root" als Benutzer an, das Passwortfeld lassen Sie leer. OpenWrt gibt den Hinweis aus, dass noch kein Passwort angelegt wurde; das ändern Sie später. Beachten Sie, dass die Web-GUI nicht bei Tiny- oder Snapshot-Builds verfügbar ist. In diesem Fall greifen Sie zu SSH (Telnet wird nicht mehr unterstützt) und melden sich als "root@192.168.1.1" an.

Nach dem ersten Login präsentiert Ihnen die Web-GUI die Statusseite, von der aus Sie sich einen Überblick über die Routerkonfiguration verschaffen. Der Statusseite können Sie grundlegende Systeminformationen wie die OpenWrt-Version, das verwendete Routermodell, die Firmwareversion sowie die Betriebszeit des Routers seit dem letzten Neustart, die aktuelle Uhrzeit des Routers und die Auslastung des Prozessors entnehmen. Die Statusseite verrät Ihnen zudem, wie es um die Speicherbelegung bestellt ist.

Im Abschnitt "Network" führt der Router die verwendeten Netzwerkschnittstellen samt IP-Adressen auf. Hier steht auch die Zahl der aktiven Verbindungen. Im Abschnitt "DHCP Leases" sind die temporären IP-Adressen aufgelistet, die der Router an Clients vergibt. Im Bereich "Wireless" finden Sie Informationen zu den drahtlosen Netzwerken für Ihren Router, abhängig von den jeweiligen WLAN-Standards. Aus Sicherheitsgründen sind allerdings alle WLANs deaktiviert. Unter "Associated Stations" listet der Router die aktuell verbundenen Geräte.

Noch haben Sie dem "root"-Benutzer kein neues Passwort zugewiesen. Um das zu ändern, navigieren Sie zum Kopf der Statusseite. In der Infobox "No password set!" folgen Sie dem Link "Go to password configuration". Die Handhabung ist einfach: Geben Sie das gewünschte Password in das zugehörige Eingabefeld ein und wiederholen Sie die Eingabe.

Ergänzend dazu können Sie den SSH-Zugriff mithilfe von Dropbear [4] einrichten. Dabei handelt es sich um eine freie SSH-Implementierung, die von Matt Johnston für Arbeitsumgebungen ausgelegt wurde, die über geringe Speicher- oder Prozessorressourcen verfügen. Dropbear ist aufgrund der geringen Ressourcen von handelsüblichen Routern eine Kernkomponente von OpenWrt. Die Dropbear-Konfiguration ist optional; die entsprechenden Einstellungen finden Sie im Abschnitt "SSH Access". In den Standardeinstellungen ist Dropbear einsatzbereit und es sind keine weiteren Anpassungen notwendig. Um die Einstellungen zu übernehmen, klicken Sie auf "Save & Apply".

Connectivity einrichten

Die Stärken von OpenWrt liegen insbesondere in der WLAN-Funktionalität. Der Zugriff auf die Connectivity-Einstellungen erfolgt über das Menü "Network", die drahtlose Konfiguration über "Network / Wifi". Auf der zugehörigen Seite präsentiert Ihnen OpenWrt Informationen zu den physischen Funkgeräten im Router, die die WiFi-Kommunikation abwickeln, und zu den diesen zugewiesenen Drahtlos-Netzwerken. Grundsätzlich können Sie für jede physische Funkeinheit mehrere WiFi-Netzwerke einrichten, allerdings raten die OpenWRT-Entwickler zur Verwendung eines Netzwerks, dem Sie beispielsweise die SSID "OpenWRT" zuweisen.

Über die Schaltflächen neben jedem Netzwerkeintrag bearbeiten Sie die Netzwerkeinstellungen, entfernen oder aktivieren Sie eine Netzwerkkonfiguration. Mit "Edit" greifen Sie auf die erweiterte Konfiguration zu. Hier bestimmen Sie neben der ESSID den WLAN-Modus; über die Registerkarte "Wireless Security" legen Sie die Verschlüsselungsmethoden und das Passwort fest. Nach dem Speichern der WLAN-Konfiguration mit "Save & Apply" und der Aktivierung sollte das drahtlose Netzwerk nach wenigen Sekunden einsatzbereit sein. Auch wenn OpenWrt grundsätzlich WLAN-Funktionalitäten integriert, präferieren viele Praktiker die Trennung von Router und Access Point. Sofern zwei Router zur Verfügung stehen, sollten Sie die Trennung beider Funktionsbereiche in Erwägung ziehen.

Als Nächstes prüfen Sie die Funktionstüchtigkeit der Internetverbindung. Verbinden Sie dazu den WAN-Anschluss des Wrt-Geräts mit dem LAN-Anschluss des bestehenden Routers. Über die Web-GUI können Sie mit dem Menübefehl "Network / Diagnostics" die Ping-Prüfung starten. Wenn Sie den Einsatz der Konsole präferieren, führen Sie den Befehl ping openwrt. org aus. Funktioniert die Internetverbindung einwandfrei, gibt OpenWrt die Meldung "0% packet loss" aus.

Verfügt Ihr Router über zwei (oder mehr) Ethernet-Ports, verwenden OpenWrt und der vorgeschaltete WAN-Router möglicherweise widersprüchliche IP-Adressbereiche. In diesem Fall passen Sie die Subnetz-Konfiguration des OpenWrt-Routers an, indem Sie die Netzwerkeinstellungen in "/etc/config/network" ändern. Prinzipiell sollten Sie entscheiden, ob Sie OpenWrt als Switch, Router oder Gateway verwenden möchten und die Konfiguration entsprechend auf den Einsatzbereich abstimmen. Wichtig beim Einsatz als WLAN-Access-Point ist die korrekte Konfiguration des Ländercodes in den OpenWrt-WiFi-Einstellungen.

OpenWrt ist eine äußerst flexible Umgebung, allerdings angesichts der unzähligen Konfigurationsmöglichkeiten nicht immer einfach zu beherrschen. Verwenden Sie OpenWrt als Router mit den Standardeinstellungen, ist der Zugriff auf das Webinterface und per SSH über den Domänennamen möglich; nutzen Sie das System allerdings als reinen Access Point oder als Switch, ist die explizite Angabe der IP-Adresse notwendig. Im Zweifelsfall hilft ein Netzwerkscanner bei der Identifikation des OpenWRT-Systems. Wenn Sie mehr über den aktuellen Zustand des Systems erfahren möchten, ist das besonders einfach über eine SSH-Verbindung mithilfe von logread möglich.

Erweiterte Settings

OpenWrt erlaubt über das Menü "Network" Anpassungen der DHCP-Konfiguration, die in die Datei "/etc/config/ dhcp.conf" geschrieben werden. In der Regel genügt die Konfiguration der DHCP-Pools und der statischen Leases. Über die Weboberfläche können Sie primär die Standardanpassungen des DHCP-Servers vornehmen, für die erweiterten Anpassungen greifen Sie zur Konsole.

Zu den beliebten Anpassungen gehören die sogenannten LuCI-Themes [5] für die Weboberfläche. Die zugehörigen Einstellungen finden Sie im Menü "System / System / Language and Style". Hier können Sie nicht nur die Sprache ändern, sondern über das Auswahlmenü "Design" auf die vorinstallierten Themes zugreifen. Die Standardvariante trägt die Bezeichnung "Bootstrap". Die Entwicklung eines Themes setzt zumindest den Entwurf von zwei HTML-Dateien mit den Bezeichnungen "header.htm" und "footer.htm" voraus. Außerdem muss eine spezifische Verzeichnisstruktur verwendet werden. Um das Theme im System zu registrieren und verfügbar zu machen, sind im Theme-Ordner weitere Anpassungen notwendig. Das konkrete Procedere bezeichnen die Entwickler als "OpenWrt-Magie", weil es ein wenig kryptisch daherkommt.

Wie es sich für einen professionellen Router gehört, verfügt OpenWrt über eine Firewall. Die zugehörigen Einstellungen sind über das Menü "Network / Firewall" verfügbar. Für die Firewall-Konfiguration stehen Ihnen vier Registerkarten zur Verfügung. Auf der Registerkarte "General Settings" bestimmen Sie die typischen Zoneneinstellungen. Mit den Funktionen der drei weiteren Registerkarten konfigurieren Sie das Port-Forwarding, die Verwendung von spezifischen Filtern und benutzerdefinierte Regeln.

OpenWrt wird ab Version 22.03 standardmäßig mit "firewall4" ausgeliefert, die nftables anstelle von iptables im Backend verwendet. Version 4 akzeptiert die gleiche UCI-Konfigurationssyntax wie Version 3. Das Akronym "UCI" steht für "Unified Configuration Interface"; dabei handelt es sich um ein System zur Zentralisierung der Konfiguration von OpenWrt-Diensten. Die UCI-Firewall-Konfiguration in "/etc/config/firewall" deckt eine sinnvolle Teilmenge der NetFilter-Regeln ab, aber nicht alle. Wenn Sie mehr Funktionalität benötigen, greifen Sie auf den "Include"-Mechanismus zurück. Die OpenWrt-Entwickler empfehlen explizit die Verwendung der UCI-basierten Firewall-Konfiguration.

OpenWrt hat eine Menge an weiteren praktischen Funktionen zu bieten. Das System unterstützt beispielsweise Wake-on-LAN und greift dabei auf Etherwake zurück. Wenn Sie dieses Modul über das Webinterface konfigurieren möchten, ist die Installation des Pakets "luci-app-wol" notwendig. Alternativ ist die Konfiguration über die Konfigurationsdatei "/etc/config/etherwake" möglich.

Ein weiteres Highlight: Die Umgebung unterstützt die IEEE-802.11s-basierte drahtlose Mesh-Vernetzung. Dabei handelt es sich um einen offenen Standard für die Verbindung drahtloser Geräte, ohne eine Infrastruktur einrichten zu müssen. Der Standard arbeitet auf Layer 2 und stellt sicher, dass sich alle Knoten in einem überbrückten Layer-2-Netz gegenseitig sehen können. Jede Layer-3-Infrastruktur kann darauf aufsetzen. Die Mesh-Funktionalität ist in "mesh11sd" implementiert, wobei das Paket die relevanten Mesh-Parameter überwacht. Wenn Sie ein verschlüsseltes Mesh betreiben wollen, müssen Sie das Paket "wpad" installieren, das die Mesh-Verschlüsselung unterstützt. Dazu ist die Installation von "wpad-openssl" notwendig.

OpenWrt hält für ambitionierte Administratoren eine Menge bereit, so beispielsweise das Loadbalancing. Dazu müssen die IRQs für bestimmte Ethernet-Ports festlegt und einem oder mehreren CPU-Kernen für die Netzwerkwarteschlangen zugewiesen werden. OpenWrt ist prinzipiell für die Multi-CPU-Nutzung vorbereitet. Für die Konfiguration sind zwei Skripte verantwortlich:

- "/etc/hotplug.d/net/20-smp-packet-steering"

- "/etc/hotplug.d/net/40-net-smp-affinity"

Um die Last automatisch zwischen den verfügbaren CPUs zu verteilen, greift OpenWrt auf irqbalance zurück. Die Entwickler machen allerdings darauf aufmerksam, dass die automatische Lastverteilung nicht immer optimal funktioniert und gegebenenfalls durch manuelles Tuning optimiert werden muss.

Software installieren

OpenWrt erfreut sich auch wegen seiner Erweiterbarkeit besonderer Beliebtheit. Die Entwickler sprechen auf ihrer Website davon, dass die Umgebung dank ihrer Anpassungsmöglichkeiten vielfältige Einsatzbereiche eröffnet. Da das Ausführen von Anwendungen als Root-User keine gute Sicherheitspraxis darstellt, sollten Sie zunächst über die Benutzerverwaltung geeignete User und Gruppen anlegen.

Da der Router für Zusatzsoftware in der Regel nicht den benötigten Speicherplatz bereithält, ist eine Erweiterung des Dateisystems durch ein Speichermedium wie eine SD-Karte notwendig. Dazu greift Open-Wrt auf extroot zurück, was die Installation verschiedener Pakete erfordert:

Als Nächstes konfigurieren Sie "/etc/config/fstab" zum Mounten von "rootfs_data":

Mit dem Kommando "block info" verschaffen Sie sich einen Überblick über die verfügbaren Partitionen. Der Ausgabe können Sie das neue Laufwerk entnehmen, das Sie noch mit ext4 formatieren. Über die Web-GUI prüfen Sie dann unter "System / Mount Points", ob die neue Partition korrekt registriert wurde. Über das Interface erfolgt auch das Hinzufügen von weiteren Paketen. Dazu führen Sie den Befehl "System / Software" aus. Über die Suche identifizieren Sie die verfügbaren Pakete.

Der Kreativität bei der Weiterentwicklung einer OpenWRT-Umgebung sind kaum Grenzen gesetzt. Wie Forscher 2023 zeigten, lässt sich OpenWrt sogar als WiFi-Positionierungssystem verwenden. So können Sie drahtlose Endgeräte bis auf etwa 2,5 Meter exakt orten. Auch an sicherheitsspezifischen Funktionen mangelt es nicht. So schützt der RELRO-Mechanismus (Relocation Read Only) beispielsweise vor verschiedenen Exploit-Angriffen.

Fazit

Administratoren, die älteren Routern neues Leben einhauchen möchten, finden in OpenWrt ein ausgesprochen leistungsfähiges System. Allerdings darf dessen Bändigung als anspruchsvoll bezeichnet werden. Angesichts der Erweiterbarkeit eignet sich die Umgebung tendenziell eher als Spielwiese für ambitionierte Admins denn als Fundament für eine produktive Unternehmens-IT.

Router-Software OpenWrt

Beinahe grenzenlos

Vielseitig und transparent

Vielseitig und transparent

OpenWrt in Betrieb nehmen

Einsatz in virtueller Umgebung

Basiskonfiguration

Connectivity einrichten

Erweiterte Settings

Software installieren

Fazit