Wi-Fi-2016. Чипы и технологии

Естественно, никакого платного ПО в открытых прошивках типа OpenWRT вы не найдёте. Но не найдёте вы там и гораздо более важной вещи — нормальных драйверов для современного «железа». SDK, драйверы и документацию многие производители чипсетов ревниво охраняют. Полный комплект можно получить только при закупке определённого числа чипов или просто приобрести за весьма приличные суммы. Поэтому в общий доступ они попадают либо с заметной задержкой, либо частично. Можно, конечно, попытаться «отреверсить» бинарную версию драйвера и создать собственный аналог, но такой подход не всегда срабатывает. Да и в этом случае не всё так просто — чипу могут потребоваться или дополнительные данные для инициализации (лицензионный ключ, если хотите), или своя микропрошивка, или калибровочные данные (для радимодулей), или ещё что-нибудь. В общем, нюансов масса, и полностью реализовать все возможности может только производитель. Хороший пример — это аппаратное ускорение NAT, TurboQAM и прочие фирменные фишки чипов той или иной фирмы. Экстремальный вариант — это собственная полноценная прошивка для какого-либо компонента с загрузчиком, ядром и прочим окружением. 

Всё это в прошивках, исповедующих «чистый» open source, работать не будет. Приятное исключение — чипсеты Ralink, но после покупки оной MediaTek ещё неизвестно, как ситуация будет развиваться дальше. Так называемые «прошивки от энтузиастов» таких проблем, как правило, лишены, потому что они построены на той же кодовой базе, что и официальное ПО, если оно доступно. Проприетарная часть остаётся без изменений (ну почти), а вот все остальные компоненты можно тюнинговать сколько душе угодно. Ну и делают это небезуспешно. Примеры — прошивки для ASUS от Padavan и Merlin. У роутеров NETGEAR и Linksys тоже есть свои сообщества по созданию прошивок. Для всех прочих роутеров по сути подходят только *WRT-проекты или ответвления от вышеназванных — например, Xwrt-Vortex. С ZyXEL ситуация интереснее. Первое поколение NDMS официально не поддерживается, но всё ещё доступно. Для этих прошивок также существует проект по расширению функциональности. Мы с ним как-то знакомились. А с 2016 года разработчик Andy Padavan работает в ZyXel.

Причём это, пожалуй, оптимальный вариант — запуск приложений только с USB-накопителя, при отключении которого роутер продолжает работать в штатном режиме. К тому же при установке дополнительных утилит на недорогой маршрутизатор вы упрётесь не только в ограничение CPU, но и в малое количество RAM, так что без файла/раздела подкачки не обойтись. Все сторонние прошивки по сути предоставляют доступ к хранилищам заранее подготовленного ПО — Optware и Entware. Это удобно, но требует некоторых навыков для настройки. Впрочем, приличные современные роутеры и так оснащаются множеством дополнительных утилит вроде BitTorrent-клиента, облачных сервисов, «шарилок» файлов и так далее. Если, конечно, всё это добро приемлемо для разработчика. Скажем, в продуктах некоторых компаний вы никогда не увидите менеджера закачек. Да и в целом прошивки для разных стран или регионов могут существенно отличаться друг от друга, несмотря на то, что «железо» одинаковое. 

USB-устройства

Особенности работы с драйверами касаются не только внутренних, но и внешних компонентов. Речь в первую очередь об устройствах, подключаемых к USB-порту роутера. Наиболее востребованны, понятное дело, модемы для сотовых сетей и принтеры/МФУ. Внешние накопители в счёт не берём, так как там всё довольно однообразно, а проблемы возникают разве что с засыпанием диска, да и с этим уже научились бороться. Если вам нужен производительный и ёмкий сетевой диск, то лучше сразу купите NAS. С USB-модемами и сложнее, и проще. Проще потому, что 3G/4G-модулей, а тем паче конвертеров USB-to-Serial не так уж много. Так что когда вы видите огромный список поддерживаемых модемов или, наоборот, очень коротенький (и в нём, как назло, нет вашего), не обольщайтесь и не расстраивайтесь, а просто попробуйте воткнуть имеющийся модем в роутер и проверить работу. Сложнее потому, что, во-первых, драйверы-то для них всё равно нужны, и не для всех моделей они имеются. Во-вторых, многие модемы попутно эмулируют ещё и CD-ROM, а также снабжаются кард-ридерами — всё это желательно отключать, чтобы не мешалось. В-третьих, тут опять очередная чехарда со стандартами и протоколами подключения и общения между модемом и роутером. 

Для некоторых модемов можно (или даже необходимо) изменять параметры только с помощью фирменных утилит, а то и менять прошивку, чтобы они заработали при подключении к роутеру. К счастью, в последнее время в качестве основного интерфейса всё чаще попадается простая эмуляция Ethernet через RNDIS. Поддержка SMS и голосовой/VoIP-связи, даже если эти функции есть в модеме, не реализована практически нигде. Изредка встречаются аппараты с поддержкой DECT, а у ZyXel есть проприетарные USB-модули Keenetic Plus для DECT и xDSL. На этом работа с модемами не заканчивается — желательно упростить жизнь пользователю и сделать так, чтобы модем можно было просто воткнуть в роутер — и он сразу давал бы доступ в Интернет. Как минимум, для этого нужны настройки подключения к оператору сотовой связи. При этом об относительно небольших компаниях почему-то настойчиво забывают.

В России, помимо «большой тройки» и Yota, есть ещё Ростелеком, невозбранно поглотивший множество мелких региональных сетей, и Tele2, а также СМАРТС и МОТИВ (оба получили разрешение на 4G). В любом случае для того, чтобы иметь свежие драйверы и настройки, приходится ждать обновления прошивки, что не очень удобно. Пожалуй, единственное приятное исключение относится к NDMSv2 и RouterOS, где есть управление отдельными компонентами прошивки, которые теоретически могут помочь оперативнее получать апдейты. Впрочем, всё равно от пользователя здесь мало что зависит.

С USB-принтерами в чём-то похожая история — им тоже нужны драйверы и ПО. А есть ведь ещё заморочки с фирменными протоколами типа HP JetDirect или Canon BJNP, с GDI-принтерами (рендеринг растра производится на машине пользователя), а то и пресловутая подгрузка микропрошивки в принтер перед началом работы. Как думаете, что для производителей печатающих устройств важнее — пользователи Windows/MacOS или Linux под MIPS/ARM? В идеальном случае неплохо было бы развернуть настоящий принт-сервер типа CUPS с поддержкой множества протоколов и очередью печати. Единственный из протестированных маршрутизаторов, в котором стоит CUPS+SAMBA, — Huawei WS880. И то до конца не понятно, насколько хорошая эта затея. На практике работа принт-сервера — это во многих случаях достаточно ресурсоёмкая задача для CPU роутера, в особенности если у принтера нет собственного процессора для обработки заданий печати, которые приходят в виде, например, PCL. 

Поэтому обходятся лёгкими «костылями», хотя никто не мешает в сторонних прошивках всё сделать самому. Либо попросту на порт принтера по сети передаются «сырые» данные — всё, что там нагенерировали драйвер принтера и служба печати. Далеко не все принтеры способны корректно работать в таком режиме. Второй вариант — проброс USB по сети, что в общем случае тоже не очень хорошо. По идее, этот способ универсальнее, но в самом примитивном варианте реализации он даёт эксклюзивный доступ к принтеру только одной машине. Зато этим же способом можно удалённо использовать и сканер. В общем, если вам нужны надёжные сетевая печать и сканирование для нескольких клиентов, то лучше не надеяться на возможности роутера, а сразу же покупать сетевой принтер/МФУ или модуль принт-сервера для него. Для сугубо домашнего использования можно обойтись и возможностями роутера. В некоторых сторонних прошивках также реализована поддержка веб-камер. 

Подключения к Сети

Благословенен будь тот провайдер, что даёт клиентам доступ в Сеть напрямую — без всяких там VPN-подключений и прочей ереси. Если серьёзно, то прямое соединение является оптимальным вариантом в плане скорости и удобства. Сразу же можно задействовать аппаратное ускорение NAT и не заморачиваться с маршрутизацией. PPPoE-подключение чуть более требовательно к ресурсам роутера, но тоже хорошо, и к тому же имеются аппаратные решения по его ускорению. Этот вариант обычно используется в xDSL-подключениях. Суть же аппаратного ускорения (или «разгрузки») сводится к тому, что обработка сетевых пакетов делается не на CPU, а в специализированном блоке SoC или коммутатора. Сам процессор при этом практически не нагружается. Во всех прочих случаях или при отсутствии такого блока в «железе» вся нагрузка по обработке сетевого трафика падает на CPU. К «прочим» относятся, в общем-то, любые дополнительные манипуляции с переупорядочиванием сетевых пакетов, будь то, например, QoS (приоритизация определенных видов трафика), шейпинг (принудительное ограничение скорости у клиентов), а то и DPI. В принципе, прямое подключение и PPPoE являются самыми распространёнными в мире, поэтому в международных версиях прошивок обычно имеются только они. Да, иногда у провайдера есть мелкие нюансы вроде привязки к MAC-адресу или авторизации через 802.1x, но это тоже всё поддерживается большинством роутеров. 

С Россией случай особый. Так уж исторически сложилось, что, видимо, в целях экономии сети Ethernet-провайдеров поначалу строились на простых неуправляемых коммутаторах или концентраторах. Поэтому для доступа в Интернет стали использовать VPN-подключения PPTP, а потом и L2TP, которые по-хорошему для этого вовсе не предназначены. При этом доступ в локальную сеть провайдера позволял сэкономить на интернет-трафике, ведь в ней частенько имелись внутренние сервисы: форумы, чаты, FTP/SMB-серверы с контентом (обычно сомнительного происхождения), файлообменные штуки типа торрент-трекера или DirectConnect и так далее. Поэтому на первых порах приходилось ещё и самостоятельно настраивать маршрутизацию, чтобы одновременно был доступ и к внутренним ресурсам, и к Интернету. Сейчас большинство роутеров без дополнительной настройки дают такую возможность — это всё обычно называется красивыми словами типа Dual Access или что-нибудь ещё в таком духе. 

Впрочем, изначально-то к Сети подключался вообще один ПК в доме, поэтому проблем с обработкой VPN-подключений не было. В роутере же вся эта нагрузка ложится на плечи CPU, никакого аппаратного ускорения не предусмотрено. PPTP — достаточно тяжелый протокол, а L2TP ещё более требователен к ресурсам. И вот тут очень важна не только производительность «железа», но и качество оптимизации ПО. Интереса ради рекомендуется изучить вот эту и эту таблички. К сожалению, многие вендоры поступают очень просто — берут какую-нибудь открытую реализацию VPN-клиента (иногда не первой свежести) и по мелочи подкручивают её, чтобы она хоть как-то работала. При этом часть из них очень любит игнорировать рекомендации RFC. Иногда недоступны даже минимальные настройки данных протоколов, а это может привести к тому, что вы просто не сможете подключиться к Сети. Мало кто занимается оптимизацией VPN-модулей под конкретное «железо», свою собственную качественную реализацию пишут единицы. Наиболее частая проблема, особенно в недорогих моделях, — это невозможность «прокачать» хоть сколько-нибудь приличную скорость, особенно в дуплексе и при использовании шифрования VPN-туннеля. 

Всё совсем печально, если ваш провайдер до сих использует свою «фирменную» систему идентификации пользователей. Обычно это какая-нибудь программка, которая ставится на ПК и зовётся «авторизатором». В этом случае шанс получить поддержку такой функции в прошивке роутера стремится к нулю. Что ещё осталось? TR-069 для удалённого управления роутером? Нашими проводными провайдерами он почти не используется, и в прошивках CWMP обычно нет. Поддержка IPv6? Да, потихоньку добавляется в прошивки, причём некоторые могут похвастаться солидным набором возможных способов подключения к IP-сетям нового поколения. На практике же особенного смысла в нём нет — провайдеры то тут, то там внедряют тестовую поддержку IPv6, но окончательный переход на этот протокол произойдёт ещё не скоро, да и расширенных настроек для работы с ним в штатном ПО роутеров пока тоже почти нет. Работа с несколькими провайдерами (Dual-WAN)? Ну чаще всего реализована возможность переключаться на запасной доступ в Интернет через 3G/4G-модем, да и то не всегда. Работа с двумя проводными WAN-подключениями (балансировка/резервирование) постепенно становится уже штатной функцией даже в не самых дорогих устройствах. Но вообще поддержка, к примеру, сразу двух L2TP-подключений на высокой скорости — это весьма серьёзная задачка для CPU роутера. С базовыми принципами того, как внутри роутера работают сетевые интерфейсы можно познакомиться в этом обзоре. 

IPTV и VoIP

Работа с IPTV — это особая задача. Сейчас принято раздавать доступ к ТВ посредством мультикаста и IGMP. Некоторые провайдеры в комплекте с ТВ-приставкой выдают клиентам ещё и маленький свитч, чтобы подключить её, минуя роутер. В случае пропуска трафика через роутер есть несколько схем работы. Самый простой вариант — это IGMP Proxy вместе с преобразованием потока в юникаст. Первый элемент нужен для того, чтобы ТВ-приставка или любой другой IPTV-клиент могли подписаться на мультикаст-поток. Второй — для того, чтобы этот поток отдавался только тому клиенту, который явно запросил подписку. Для беспроводных клиентов второй этап просто обязателен, хотя просмотр IPTV через Wi-Fi — это вообще не самая лучшая идея. Для проводных клиентов нередко реализована программная или даже аппаратная поддержка IGMP Snooping — изоляция порта на коммутаторе, куда будет сыпаться весь мультикаст-трафик. В интерфейсе это обычно представлено как возможность выбора конкретного LAN-порта (обычно 3-го или 4-го), куда будет подключена только ТВ-приставка. 

Совсем уж альтернативный вариант подразумевает использование прокси udpxy и специального DLNA-сервера. Он подходит для Smart TV, мобильных приложений и программных клиентов, но плохо совместим с обычными ТВ-приставками. Для корректной работы IPTV у некоторых провайдеров требуется ещё и поддержка VLAN, которая есть далеко не во всех роутерах, даже топовых. Иногда VLAN требуется и для IP-телефонии от провайдера. Так что этот момент надо обязательно уточнять перед покупкой роутера. В принципе, большинство прошивок имеет так называемые ALG (Application Layer Gateway) или NAT Passthrough, помогающие «пробросить» специфический трафик вроде VPN-подключений или аудио- и видеопотоков сквозь роутер. 

Безопасность

Про практический аспект защиты домашней сети рассказано в этом материале. Здесь же вкратце вспомним, что связано с защитой сети в домашних маршрутизаторах. Ну, во-первых, клиенты локальной сети и так сидят за NAT, поэтому для корректной работы некоторых приложений надо делать проброс или перенаправление портов. Обычно в прошивке есть предустановленный список правил для якобы популярных приложений. Фактически же списки эти не обновляются, по ощущениям, лет эдак 10-15. Впрочем, многие приложения и сами умеют открывать нужные порты посредством UPnP, который есть в любой прошивке. Реже попадается поддержка NAT-PMP, для любителей «яблочной» продукции. Практически всегда один ПК можно вынести в «демилитаризованную зону» (DMZ), когда весь входящий трафик извне попадает именно на него. По возможности избегайте этого. Во встроенном брандмауэре, как правило, доступна фильтрация запросов по черным/белым спискам IP, MAC, портам, некоторым протоколам, URL или ключевым словам. Обычно поддерживаемое количество таких правил не так уж велико — в пределах полусотни. 

Родительский контроль нередко построен на тех же самых правилах, но с добавлением расписания. Иногда подразумевается вообще только запрет на доступ в Интернет в определённое время для выбранных ПК, без какой-либо фильтрации. Гораздо полезнее поддержка сторонних DNS-служб вроде «Яндекс.DNS», OpenDNS, Rejector или SkyDNS, но, увы, она попадается нечасто. Также имеется защита от простейших сетевых атак и поддержка SPI. В сторонних прошивках можно встретить L7-filter. Гостевые сети частенько можно сделать изолированными от основной. Для встроенных серверов FTP/SMB всегда предусмотрено создание пользователей и чаще всего разделение их прав — не пренебрегайте этим. Для удалённого доступа к роутеру извне полезны DDNS-сервисы, но их список тоже частенько очень мал и редко обновляется. Отдельная беда-беда-огорчение с уязвимостями в ПО роутеров, которые регулярно находят независимые исследователи, но с этим, в общем-то, своими силами не справиться. Разве что поотключать от греха подальше все неиспользуемые функции и не забывать обновлять ПО маршрутизатора. 

В некоторых прошивках выводятся уведомления о небезопасных настройках тех или иных компонентов, а в самых современных моделях можно найти зачатки полноценных систем защиты локальной сети и самого роутера. Уже сейчас имеются решения, включающие в себя модули проверки настроек маршрутизатора и его компонентов, обновляемая база вредоносных ресурсов и блокировка доступа к ним, DPI и анализ трафика с целью выявления деятельности зловредов в домашней сети. Для грядущего Интернета вещей такая функциональность весьма полезна. В то же время наличие таких возможностей вызывает определённые опасения, так как в случае получения злоумышленником удалённого контроля над подобными модулями ситуация станет весьма плачевной. 

Дополнительные возможности

Тут уж кто во что горазд, то и делает. Наиболее востребованны серверы FTP/SMB, менеджеры закачек и DLNA. И они же сильнее всего нагружают роутер, так что, может быть, стоит всё-таки подумать и не гнаться за дополнительной функциональностью? Также в последнее время всё чаще появляются всякие облачные сервисы для синхронизации файлов и удалённого доступа к ним. Иногда попадаются сторонние решения для реализации Time Machine и iTunes-сервера, а то и просто для сетевого бекапа. Ещё одна относительно популярная фишка — поддержка VPN-подключений к корпоративным сетям (IPSec) или же собственный VPN-сервер в роутере для удалённого подключения к домашней сети. В общем, все производители пытаются добавить какие-нибудь дополнительные функции, не говоря уж про Entware/Optware. Бонусом обычно идут какие-нибудь мобильные приложения, которые по большей части сделаны для галочки и никакой пользы не приносят. К дополнительным же возможностям можно отнести и «секретные» странички в веб-интерфейсе, которые не такие уж секретные и легко находятся в поисковиках, а также доступ к нутру прошивки посредством SSH/Telnet. Это — штука иногда полезная, но для обычного пользователя скорее опасная и ненужная. Ну и, пожалуй, последнее — это возможность работы не только в качестве обычного роутера, но и в режиме простой точки доступа или беспроводного моста. Увы, по некоторым причинам последний вариант штатно реализуется всё реже. 

Заключение

И это всё? Нет, далеко не всё. О прошивках и их компонентах можно рассказывать бесконечно. У кого как реализована та или иная функция; кто вынес обработку некоторых задач на уровень ядра, а кто решил всё оставить в пользовательском пространстве; где какие уязвимости и типичные ошибки — нюансов тысячи. Не будет точного ответа и на вполне ожидаемый вопрос: «Чья прошивка лучше?» Да ничья, все плохи и хороши в чём-то, идеала нет. Есть, конечно, какое-то, простите, дно, ниже которого вообще нет смысла рассматривать ПО. Перед покупкой роутера не поленитесь и изучите его возможности, поищите в Сети информацию, да хоть в техподдержку напишите. Ну и в целом рассматривать надо не только прошивку, а всё вместе — «железо», ПО, стоимость, качество поддержки, гарантийные обязательства и, естественно, цену. Впрочем, если так хочется получить ответ, то вот вам субъективный (еще раз подчеркиваем — субъективный! — прим. ред.) рейтинг прошивок: 

• ASUSWRT, Mikrotik RouterOS, ZyXEL NDMSv2 — ПО ASUS хорошо набором дополнительных функций и работой с сообществом; RouterOS даёт полный контроль над роутером, но сложна для новичков; NDMSv2 где-то посередине между первыми двумя;
• NETGEAR, TP-Link, Linksys — функций поменьше, тем не менее всё не так уж плохо; 
• Upvel, Huawei — слабые прошивки с малым числом функций и зачастую плохой оптимизацией.

Дополнительные ресурсы

• WikiDevi — прекрасная база по «железу» роутеров;
• Вики проектов OpenWRT и DD-WRT, а также сайты других альтернативных прошивок — опять-таки хорошая база по аппаратной части + много информации о процессе разработки и внутренней кухне прошивок;
• ZyXEL KB — база знаний по продуктам ZyXEL, но в ней есть немало сведений о типичных проблемах и принципах работы маршрутизаторов;
• Binwalk и FMK — утилиты для анализа и модификации прошивок;
• Лекция «Linux во встраиваемых системах».

В комментариях можно оставлять вопросы и предложения о том, что ещё хотелось бы узнать о прошивках.

Спасибо сотрудникам компаний ASUS и ZyXel за помощь в подготовке данного материала. 

) ) [published] => 1417035700 [related] => Array ( ) [revision] => 71 [robotype] => 0 [short_header] => Публикация #905793 [showincat] => 1 [showonmain] => 1 [sources] => Array ( ) [static] => 0 [status] => 1 [subjects] => Array ( ) [teaser] => В данной статье мы кратко расскажем об основных особенностях внутреннего устройства современных прошивок SOHO-маршрутизаторов с упором на популярные нынче встраиваемые окружения на базе Linux. Краткий список затронутых тем таков: загрузчик, ядро и корневая ФС, коммерческое ПО и сторонние прошивки, работа с USB-устройствами, особенности подключения к Интернету, использование IPTV и VoIP, вопросы безопасности, а также дополнительные возможности встроенного ПО [thread] => 0 [type] => 0 [uploaded] => 2014-11-26 [xstat] => 0 [firstlook] => 0 [advertlink] => 0 [hideinnewsfeedonmain] => 0 [notifytg] => 0 [setdomain] => glob ) ) -->