Routerboard OpenWrt

Návod, jak rozběhat Linuxovou distribuci OpenWrt na Mikrotik Routerboard RB433, RB411 a dalších.

Obecně vychází z http://wiki.openwrt.org/toh/mikrotik/rb433 a http://wiki.openwrt.org/toh/mikrotik/rb411

Co budeme potřebovat

1. RouterBoard, na který chceme Linux nainstalovat (testováno s RB433UAH)
2. Sériový NULL MODEM kabel, např. z GESu (pozor, nejdřív mi omylem prodali F/F kabel, který nebyl překřížený, kdyby něco nefungovalo, tak ověřit, že piny 2 a 3 jsou mezi konci překřížené)
3. PC se sériovým (COM) portem nebo redukci USB-RS232 (USB-COM)
4. UTP kabel pro připojení RB do lokální sítě nebo alespoň s PC napřímo
5. (volitelně) druhý RB (který třeba už máme doma jako router), který bude sloužit jako DHCP/BOOTP+TFTP server (jinak lze použít i PC)

Základní princip ve zkratce

• Zavaděč v Routerboardu umí nabootovat (po nastavení v "BIOSu") initramfs ELF image přes TFTP - tento image si můžeme představit jako LiveCD, ze kterého dočasně nabootujeme v RB jiný systém
• V nabootovaném Linuxu lze provést trvalou instalaci do NAND flash na desce RB - instalovat můžeme klidně jinou verzi OpenWrt, než kterou jsme dočasně nabootovali přes TFTP
• Podobným postupem lze vrátit zpět RouterOS, viz RB NetInstall

Postup

1. Zazálohovat licenci z Mikrotiku: Winbox: System - License - Export, uložit na PC
2. Stáhnout initramfs image, ze kterého bude schopen RB nabootovat a uložit si ho pod názvem openwrt.img; initramfs image jsem připravil zde: http://lide.hkfree.org/~pavkriz/hkfree/routerboard-openwrt/2014-05-25/openwrt-ar71xx-mikrotik-vmlinux-initramfs.elf (je to zkompilovane v uvedene datum z master branch z GITu dle nize uvedeno navodu)
3. Nahrát initramfs na TFTP server pod názvem openwrt.img a nastavit BOOTP/DHCP tak, aby tento soubor nabízelo; pokud máte DHCP server spuštěn na jiném RB, ke kterému je tento RB připojen, je to jednoduché (jinak použijte třeba dnsmasq v Linuxu nebo TFTPD32 pro Windows):
   1. Nahrát soubor openwrt.img do RB, kde běží DHCP server (drag-and-drop do Files)
   2. Nastavit IP - DHCP Server - DHCP - editovat default - bootp = dynamic
   3. Nastavit IP - DHCP Server - Networks - editovat vaši podsíť (např. 10.107.218.16/28) - Boot file image = openwrt.img
   4. Nastavit IP - TFTP - přidat server (plus) - IP adresses = vaše podsíť (např. 10.107.218.16/28), Req. Filename = openwrt.img, Real Filename = openwrt.img
4. Připojit se sériovou konzolí na COM port RB (toho, kam chceme flashnout Linux) a sputit nějaký terminál (např. Putty, Serial, COMx, 115200, 8N1)
5. Nastartovat RB, po výzvě "Press any key within 2 seconds to enter setup." v terminálu stisknout klávesu a v "BIOSu" RB nastavit:
   1. o - boot device
   2. e - boot over Ethernet
   3. x - exit setup
6. RB se restartuje a měl by nabootovat image z DHCP/BOOTP serveru
7. Pokud se neobjeví shell root@OpenWrt:/# automaticky, tak stisknout v terminálu Enter
8. Z nějakého důvodu mi zlobilo resolvování DNS jmen, musel jsem provést cp /tmp/resolv.conf.auto /etc/resolv.conf, abych měl v resolv.conf správné DNS servery (10.107.4.100,10.107.4.129)
9. Pomocí wget2nand stáhnout do RB image finálního systému, který se nainstaluje do NAND flashky (RB musí mít přístup do internetu):
   • wget2nand http://lide.hkfree.org/~pavkriz/hkfree/routerboard-openwrt/12.09/
   • Volitelně si lze stáhnout soubory openwrt-ar71xx-mikrotik-vmlinux.elf a openwrt-ar71xx-mikrotik-rootfs.tar.gz do HTTP serveru spuštěného lokálně v síti, ke které je RB připojen (třeba na PC), a odkázat wget2nand na tento server (pozor, názvy souborů jsou evidentně v posledním buildu trochu jiné, než podle originálního návodu; v případě problémů se podívat do souboru /sbin/wget2nand, jak se mají tyto 2 soubory jmenovat)
10. vrátit v BIOSu bootování na: n - boot from NAND, if fail then Ethernet

Vlastní kernel a systém

Pokud si chce někdo buildnout svůj systém, tak postupovat podle http://wiki.openwrt.org/toh/mikrotik/rb433 a http://wiki.openwrt.org/doc/howto/buildroot.exigence:

• v menuconfig:
  • Target System: Atheros AR7xxx/AR9xxx
  • Subtarget: Mikrotik Devices with NAND flash
  • Target Images: ramdisk a tar.gz (tar.gz je image pro trvalou instalaci na RB)

• Většina balíků se podle výchozího configu nekompiluje, pokud chceme např. quaggu, tak je třeba ji vybrat (Network -> Routing nad Redirection -> <M> Quagga).
• Zkompilovat vše do balíků dá trochu práci s vybíráním v menuconfig, dal by se použít config z http://downloads.openwrt.org/snapshots/, ale měl jsem s kompletní kompilací problémy (některé zrojáky se nepodařilo stáhnout). Bohužel ve snapshots není kompilované verze pro mikrotiky, takže pokud chcete poslední verzi, kompilaci se nevyhnete.
• Verze 12.09 pro mikrotiky zkompilovaná je, takže proto je v postupu výše tato verze použita, instalovaný systém si tedy stahuje balíky z http://downloads.openwrt.org/attitude_adjustment/12.09/ar71xx/nand/ a tím se vyhneme nutnosti kompilace.

OpenWrt běží, co dál?

Balíčky

Pokud OpenWrt úspěšně naběhl z NAND flash, bude třeba do něj doinstalovat dost věcí formou balíků. Pokud jste k instalaci použili výše uvedený image, budou případné balíky instalovány z http://downloads.openwrt.org/attitude_adjustment/12.09/ar71xx/nand/

Co se může hodit:

• kmod-ath5k (podpora karet AR5xxx jako např. CM9)
• mc (pokud v terminálu nefungují F1 až F12 klávesy, použijte Esc-1 až Esc-12)
• quagga

Příklad doinstalování balíků:

opkg update
opkg install kmod-ath5k
opkg install mc
opkg install quagga

Konfigurace

Následující poznámky jsou relevantní hlavně v případě, že z RB chcete mít router na AP nebo třeba zařízení pro penetrační testování. Pokud RB bude sloužit jako domácí (WiFi) router, tak je výchozí nastavení celkem dobře použitelné a obvyklé věci lze dokonfigurovat i přes webové rozhraní luci.

• Nastavit heslo roota
• Ve výchozím stavu je aplikován firewall původně určený pro klasický domácí router, kde např. z WAN portu (eth0, ten port s POE) je blokován provoz (takže se ani na SSH přes tento port nepřipojíte), nejjednodušší je firewall zrušit.
• Patrně také budete chtít vypnout lokální DHCP server a DNS server.
• OpenWrt má v /etc/config/network poměrně svérázný způsob konfigurace sítě, pokud chcete mít vše ve svých rukou, je nejjednodušší jeho networking subsystém úplně vypnout a vše si ručně nakonfigurovat v /etc/rc.local

# nastavit heslo roota
passwd
# vypnout firewall
/etc/init.d/firewall disable
# vypnout dhcp server
/etc/init.d/odhcpd disable
# vypnout dns server
/etc/init.d/dnsmasq disable
# vypnout vychozi konfiguraci site (lan a wan)
/etc/init.d/network disable

Do /etc/rc.local si dát veškerou konfiguraci po startu, u mě:

# loopback 
ifconfig lo 127.0.0.1
# eth0 static
ifconfig eth0 10.107.218.24 netmask 255.255.255.240
route add default gw 10.107.218.17

Pokud je /etc/resolv.conf jen link, tak smazat a založit normální soubor:

rm /etc/resolv.conf
touch /etc/resolv.conf

Do /etc/resolv.conf nastavit správně DNS:

nameserver 10.107.4.100
nameserver 10.107.4.129