Mit der kostenlosen Firmware-Alternative OpenWRT erweitern Sie das Einsatzspektrum vieler WLAN-Router und Access-Points um zahlreiche Profi-Funktionen und viele nützliche Dienste.

Linux-Enthusiasten sagt man nach, dass sie das freie Betriebssystem am Liebsten auf sämtlichen Geräten des Alltags betreiben möchten – Toaster und Kaffeemaschine inbegriffen. In den letzten 15 Jahren hat Linux den Weg auf verschiedenste Geräte gefunden. Bekannt geworden ist die D-Box 2, auch für Apples iPod gibt es Linux-Portierungen. Spätestens seit Android kann jeder Linux stets dabei haben – und zusätzlich zu den Hersteller-Firmwares kursieren diverse alternative Versionen.

Verschiedene Wireless-LAN-Accesspoints stützen sich ebenfalls auf Firmware, die auf Linux aufbaut. Und wie nicht anders zu erwarten, haben sich findige Entwickler auch hier daran gemacht, die vorhandene Firmware aufzubohren. Auf diese Weise entstand das OpenWRT-Projekt, das eine Aftermarket-Firmware für verschiedene WLAN-Geräte anbietet.

Der Name OpenWRT weist noch auf die Anfänge des Projekts hin. Diese liegen acht Jahre zurück: Linksys, das damals noch nicht zu Cisco gehörte, vertrieb den WLAN-Router WRT54G mit Linux-Firmware, stellte aber deren Quellen nicht zur Verfügung und verstieß damit klar gegen die GPL. Nachdem einige Entwickler davon Wind bekamen, appellierten sie öffentlich an Linksys und wurden schließlich erhört: Das Unternehmen veröffentlichte fast den vollständigen Quelltext der Router-Firmware und legte damit den Grundstein für die Bastler. Seit 2004 gibt es offiziell das OpenWRT-Projekt, und die Firmware hat seither einige Sprünge nach vorn gemacht, was Funktionen und Qualität angeht.

Eigentlich trifft der Name OpenWRT nur noch teilweise zu: Freilich gibt es aktuelle OpenWRT-Versionen auch für den Veteran von Linksys, aber die Macher von OpenWRT vergrößerten das Spektrum der unterstützten Geräte über die Jahre kontinuierlich. Viele WLAN-Router und Access-Points setzen intern auf die gleichen Komponenten: Geräte von Cisco und Asus können beispielsweise völlig unterschiedlich aussehen, verwenden aber unter der Haube exakt die gleiche Technik.

Die passende Hardware

Um herauszufinden, ob OpenWRT das eigene Gerät unterstützt, empfiehlt sich ein Blick auf die Website des OpenWRT-Projekts [1]. Dort findet sich eine ausführliche Liste aller unterstützter Devices nebst Zusatzinfos. Möchten Sie sich einen Router oder AP speziell für OpenWRT kaufen, gehen Sie am besten mit einem Smartphone in der Tasche zum Elektronikmarkt Ihres Vertrauens und vergleichen vor Ort anhand der genannten Liste Preise und Funktionen.

Vorsicht ist geboten, denn der Teufel steckt im Detail: Allein von Linksys’ WRT54G (und dem verwandten WRT54GS) gibt es gut zwei Dutzend Hardware-Revisionen, von denen längst nicht alle mit OpenWRT funktionieren. Deshalb gilt: Unbedingt auf das Etikett achten, das auf der Verpackung des Geräts prangt – darauf steht üblicherweise die Hardware-Revision. Alternativ gibt der Sticker auf der Unterseite des Routers ebenfalls Auskunft über Modell und Revision.

Im Folgenden verwendet dieser Artikel einen Asus WL500G Premium. Das Gerät gehört zur “Oberklasse” und bringt außer den üblichen LAN-Anschlüssen auch zwei USB-Ports mit, die sich noch als sehr nützlich erweisen werden.

OpenWRT installieren

Haben Sie sich dazu entschlossen, OpenWRT eine Chance zu geben, stehen Sie gleich vor der ersten Herausforderung: der Auswahl der passenden Variante. Aktuell ist die OpenWRT-Version 10.03, die auf den Codenamen “Backfire” hört. Die Entwickler empfehlen allerdings dringend, die Release-Candidate-Version der nächsten Version 10.03.1 zu verwenden.

Im Download-Bereich der OpenWRT-Website finden sich für das Testgerät zwei verschiedene Firmware-Varianten: Eine namens brcm-2.4 und eine namens brcm47xx. Der Unterschied liegt vor allem darin, dass die erstgenannte einen Linux-Kernel in Version 2.4 nutzt, die zweite dagegen einen Kernel 2.6. Für die Hardware-Revision v2 des WL500GP empfehlen die Entwickler auf der Wiki-Seite für das Gerät [2] die Variante mit dem 2.4er-Kernel, für die Revision v1 darf es ruhig auch der aktuellere Betriebssystemkern sein.

Welche Firmware für das eigene Gerät passt, finden Sie am schnellsten über das Wiki von OpenWRT und dort über die Geräte-Seite heraus. Meistens geben die Entwickler eine eindeutige Empfehlung ab. Verlinkt ist auf den Geräteseiten allerdings meist nur das Stable-Release. Wer auf den Release-Candidate der nächsten Version setzen möchte, muss dann noch einen kleinen Trick anwenden, um wirklich die richtige Datei zu erhalten.

Zuerst brauchen Sie dazu den Link zur aktuellen stabilen Firmware von der Wiki-Seite des eigenen Geräts. Im Falle des WL500GP lautet der richtige Link:

http://downloads.openwrt.org/backfire/10.03/brcm47xx/openwrt-brcm47xx-squashfs.trx

Im Anschluss gibt die “Backfire”-Downloadseite [3] den Blick auf alle vorhandenen Versionen von OpenWRT frei. Hier gilt es, die aktuelle Version von 10.03.1 herauszufinden – Ende Oktober 2011 war das die 10.03.1-rc5. Im Link zur stabilen Firmware von der Geräteseite ersetzen Sie dann einfach die Versionsnummer – also 10.03 – durch die neue, also 10.03.1-rc5. Der vollständige Link für den Asus WL500GP lautet also:

http://downloads.openwrt.org/backfire/10.03.1-rc5/brcm47xx/openwrt-brcm47xx-squashfs.trx.

Der Artikel bezieht sich im Folgenden auf den zu Redaktionsschluss letzten Release-Candidate von OpenWRT 10.03.1, die Version rc5.

Steht die passende Firmware-Variante fest und haben Sie die zugehörige Datei auf der Platte – die Firmware-Files enden auf .trx – dann geht es mit der Installation weiter. Auch bei diesem Punkt gibt es einige Unterschiede zwischen den Routern verschiedener Hersteller. Glücklich dürfen Sie sich schätzen, wenn Sie OpenWRT einfach mittels der Update-Funktion des Webinterfaces der Hersteller-Firmware installieren können. Das klappt gerade bei älteren Geräten sehr zuverlässig.

Neuere Modelle oder Router mit aktueller Hersteller-Firmware sind so einfach nicht zu überlisten. Die Hardwarebauer haben ihre neueren Firmwares nämlich mit Funktionen ausgestattet, die das Flashen von “falscher” Firmware verhindern. Im Rahmen der regulären Updates hatte mancher Images aufgespielt, die für andere Geräte gedacht waren, und damit seinen AP “gebrickt”.

Dieser Begriff “to brick” und das Wort “brick” – also Ziegelstein – im Allgemeinen bezeichnet in der Entwicklergemeinde übrigens jeden Vorgang, der aus dem teuren Gerät einen extravaganten Briefbeschwerer macht, ihn also dauerhaft zerstört. Um das zu verhindern, haben die Hardware-Hersteller die Funktionen für das Firmware-Update in ihrer Software entsprechend angepasst und sperren so ärgerlicherweise auch OpenWRT aus.

Die TFTP-Methode

Der WL500GP im Test ist so ein Fall: Das Flashen von OpenWRT per Webinterface der Originalfirmware verweigert dieselbe konsequent. Wer vor diesem Problem steht, sollte die Flinte aber noch nicht ins Korn werfen, denn mit TFTP lässt sich OpenWRT sicher installieren.

Prinzipiell funktioniert das so: Die APs und Router haben einen eigenen Modus für das Aufspielen neuer Betriebssysteme. Er heißt Diag-Modus. Ein Gerät im Diag-Modus reagiert auf TFTP-Befehle. Bei TFTP handelt es sich um einen Abkömmling des FTP-Protokolls, der wiederum speziell für Aufgaben wie diese entwickelt wurde.

Am Anfang des Vorgangs steht die Installation von tftp, dem Kommandozeilen-Client für TFTP, der im gleichnamigen Paket steckt. Es ist sinnvoll, das Programm aus dem Ordner heraus zu starten, in dem schon das OpenWRT-Image für das Device liegt.

Im nächsten Schritt versetzen Sie den AP oder Router in den Diag-Modus, was von Gerät zu Gerät unterschiedlich funktioniert. Deshalb sei an dieser Stelle ein weiteres Mal auf die Geräte-Seite im OpenWRT-Wiki verwiesen. Um den WL500GP in den Diag-Modus zu bekommen, müssen Sie zuerst den Netzstecker ziehen. Dann stecken Sie bei gedrückt gehaltenem Restore-Schalter (auf der Rückseite des Geräts) das Stromkabel wieder ein. Sobald die Power-LED langsam blinkt, ist der Diag-Modus aktiv.

Jetzt kommt TFTP ins Spiel: Mittels tftp IP-Adresse bauen Sie eine TFTP-Verbindung mit dem Gerät auf – die IP des Routers lautet 192.168.1.1, falls Sie keine andere vergeben haben. Die Befehle binary, trace und put Firmware-File erledigen den Rest. Für Firmware-File setzen Sie den Name der geladenen Firmware-Datei ein.

Nach dem ersten Start

Ganz gleich, welche IP-Adresse vor dem Flashen der neuen Firmware auf dem WLAN-AP konfiguriert war: Nachher lautet die IP-Adresse des Gerätes in jedem Fall 192.168.1.1. Um das Gerät nun zu konfigurieren, ist es daher zumindest kurzzeitig notwendig, dem eigenen Rechner eine IP-Adresse in eben diesem Netzwerk zuzuweisen. Anschließend steht dem ersten Login nichts mehr im Weg.

Üblicherweise folgt an dieser Stelle ein Kulturschock: Frisch installiert verfügt OpenWRT zwar bereits über ein Webinterface, das Login funktioniert aber nur mit telnet: Für den Systemadministrator root ist noch kein Passwort gesetzt, ohne das die Anmeldung via Webinterface aber nicht funktioniert. Nach dem ersten Login per Telnet, bei dem Sie tunlichst ein Passwort für root setzen, funktioniert dann ausschließlich SSH für Remote-Logins. Ab dann steht auch das Webinterface LuCi zur Verfügung (Abbildung 1).

Abbildung 1: So präsentiert sich das OpenWRT-Webinterface LuCi nach vor dem ersten Login.

Die erste Anmeldung erfolgt also per telnet; das Programm liegt allen Distributionen bei, Sie müssen es aber eventuell nachinstallieren. Das Kommando telnet 192.168.1.1 stellt die Verbindung her und startet eine Shell. Danach setzen Sie mittels passwd ein neues Passwort für root. Außerdem deaktiviert OpenWRT nun auch Telnet und startet stattdessen den SSH-Daemon, um verschlüsselten Login zu ermöglichen.

Ab jetzt wartet auch das Webinterface unter der Adresse http://192.168.1.1 auf Verbindungen. Der Benutzername lautet root, das Passwort ist das vorher per telnet gesetzte. Nach der erfolgreichen Anmeldung landen Sie auf der Hauptseite des Webfrontends.

Das Webinterface

Das Webinterface von OpenWRT haben die Entwickler in den aktuellen Release-Candidates von 10.03.1 ordentlich aufpoliert. Zwei Menüleisten bieten Zugriff auf sämtliche wichtigen Funktionen. Die erste, obere beschreibt die verschiedenen Kategorien von Einstellungsmöglichkeiten; jeweils darunter gibt die zweite den Zugriff auf sämtliche Details frei.

Ein Klick auf Network | Interfaces öffnet die Netzwerkkonfiguration (Abbildung 2). Verwendet Ihr Netzwerk nicht den Adressraum 192.168.1.0/24, ändern Sie hier die IP-Adresse des Gerätes. Ein Klick auf das Icon, das ein Blatt mit Stift zeigt und rechts neben dem lan-Interface zu sehen ist, führt zum dazugehörigen Dialog. Bei IPv4-Address, IPv4-Netmask und IPv4-Gateway geben Sie dann die entsprechenden Werte an.

Network | Interfaces lassen sich die Eigenschaften des LAN-Interfaces des OpenWRT konfigurieren.” width=”300″ height=”165″ /> Abbildung 2: Über Network | Interfaces lassen sich die Eigenschaften des LAN-Interfaces des OpenWRT konfigurieren.

Soll der Router selbst die Verbindung ins Netz herstellen, konfigurieren Sie auch die PPPoE-Verbindung auf dieser Seite. Dazu passen Sie das WAN-Interface entsprechend an. Es empfiehlt sich dringend, dazu die Zugangsdaten Ihres Providers griffbereit zu haben. Ein Klick auf Save & Apply speichert und aktiviert die Änderungen.

Soll das OpenWRT-Gerät als DHCP-Server im eigenen Netzwerk fungieren, gilt es nun noch dhcpd einzurichten. Bei Disable DHCP for this Interface in der Netzwerkkonfiguration der lan-Schnittstelle muss dann der Haken weg. Das Konfigurationsmenü Network | Wifi erlaubt zudem, die WLAN-Eigenschaften der Box festzulegen. Dazu gehören der WLAN-Name (ESSID) sowie der verwendete Verschlüsselungsmechanismus. Möchten Sie einen bestimmten Kanal für die Funkverbindung verwenden, ist das Wifi-Menü ebenfalls der richtige Ort, um das anzugeben.

Im Menüpunkt System können Sie einen anderen Hostnamen als den vorgegebenen eintragen. Alle Änderungen speichern Sie jeweils via Save in der unteren, rechten Ecke. Haben Sie den Router entsprechend der lokalen Voraussetzungen konfiguriert, sorgt ein Reboot dafür, dass alle Änderungen tatsächlich auch greifen.

VPN-Verbindungen

Ein wirklich praktisches Feature von OpenWRT stellt die Möglichkeit dar, VPNs direkt am Router einzurichten. Wer ein VPN benötigt, konfiguriert dieses im Normalfall direkt auf seinem Desktop-PC und stellt die Verbindung zwischen VPN-Server und dem eigenen Client direkt her. Der Nachteil: Meist muss die VPN-Verbindung dabei durch ein Netz, das NAT verwendet. NAT ist für Client-to-Client-Verbindungen gelegentlich ein Problem. Indem die VPN-Verbindung direkt am Router eingerichtet ist, umgeht man das NAT-Problem – der Router hat schließlich direkten Netzzugang. Angenehmer Nebeneffekt: Nicht nur ein einzelner PC kann auf den VPN-Server zugreifen, sondern sämtliche Rechner im lokalen Netzwerk.

OpenWRT unterstützt clientseitig sowohl OpenVPN als auch IPSec. Allerdings lässt sich nur OpenVPN ordentlich in das Webinterface LuCi integrieren (Abbildung 3). Mit IPSec kann LuCi nicht umgehen, Sie müssen es auf der Kommandozeile konfigurieren. Haben Sie bisher IPSec noch nie “zu Fuß” eingerichtet – also ohne die in den heutigen Distributionen typischen GUIs – stehen Sie hier mithin vor einer echten Herausforderung – aber einer, die sich meistern lässt.

Abbildung 3: Durch die Installation des OpenVPN-Plugins für LuCi wird der VPN-Dienst über das Webinterface konfigurierbar.

OpenVPN und Openswan

Die OpenWRT-Entwickler bieten fertige Pakete an, mit denen sich OpenVPN einrichten lässt. Um die benötigten Komponenten zu installieren, steht zuerst ein Login per SSH auf dem Router an. Der Username lautet wie gehabt root.

Einmal auf der Shell, genügt der Befehl opkg update (Abbildung 4), gefolgt von opkg install openvpn, um OpenWRT die passenden Pakete installieren zu lassen. Im Anschluss steht die Installation des LuCi-Plugins für OpenVPN an. Der Befehl

opkg install luci-app-openvpn

erledigt das Gewünschte. Mittels reboot starten Sie nun OpenWRT neu, und nach dem erneuten Login im Webinterface finden Sie im Menüpunkt Services | OpenVPN die OpenVPN-Konfiguration.

opkg, einem Abkömmling von Debians Paketmanager dpkg, lassen sich Pakete auf der Kommandozeile nachinstallieren.” width=”300″ height=”172″ /> Abbildung 4: Mittels opkg, einem Abkömmling von Debians Paketmanager dpkg, lassen sich Pakete auf der Kommandozeile nachinstallieren.

OpenVPN lässt sich hier wahlweise als Server oder als Client einrichten; die zwei Beispieleinträge sample_client und sample_server sind am Anfang bereits vorhanden. Ein Klick auf das Icon mit Blatt und Bleistift führt zur Konfiguration des jeweiligen Eintrags, und über den Link Switch to advanced configuration justieren Sie bei Bedarf praktisch jede Schraube der OpenVPN-Verbindung nach. Wenn die OpenVPN-Konfiguration passt, genügt ein Klick auf Save, um sie dauerhaft einzurichten.

Die Installation von Openswan, einer IPSec-Implementierung, die auf OpenWRT verfügbar ist, verläuft wie die von OpenVPN. Nach dem Login als root holen Sie mit opkg install openswan das passende Paket mitsamt seiner Abhängigkeiten auf das System. Dessen Konfigurationsdatei heißt /etc/ipsec.conf, zusätzliche Konfigurationsdateien liegen im Ordner /etc/ipsec.d. Die Einrichtung entspricht jener der Openswan-Konfiguration auf einem Linux-PC. Deren Beschreibung würde den Rahmen des Artikels sprengen, eine ausführliche Anleitung finden Sie jedoch bei unserer Schwesterzeitschrift Linux-Magazin [4].

Man spricht Deutsch

Übrigens: LuCi bietet auch eine deutschsprachige Übersetzung, die es aber erst zu installieren gilt. Ein Login per SSH auf dem Router, gefolgt von

$ opkg update && opkg install luci-i18n-german

behebt dieses Problem, und nach einem Reload des Webinterfaces erscheint es vollständig in deutscher Sprache (Abbildung 5).

luci-i18n-german zeigt sich das OpenWRT-Webinterface in deutscher Sprache.” width=”300″ height=”176″ /> Abbildung 5: Nach der Installation des Pakets luci-i18n-german zeigt sich das OpenWRT-Webinterface in deutscher Sprache.

Platzprobleme

OpenWRT beherrscht viel mehr Funktionen als die im Artikel genannten. Es fällt allerdings ausgesprochen schwer, auf einem typischen OpenWRT-System sämtliche Möglichkeiten auszuschöpfen: Der durchschnittliche WLAN-Router kommt mit 8 MByte Flash-Speicher daher, in die Programme wie Asterisk, Cups oder Samba schlicht nicht hineinpassen.

Wohl dem, der einen Router mit USB-Anschluss sein Eigen nennt – mittels der Extroot-Funktion und eines externen Speichers wie eines USB-Sticks lässt sich das Platzproblem nämlich elegant lösen. Das Prinzip: Das gesamte System landet auf dem externen Speicher; der Bootloader, der am Anfang OpenWRT startet, verwendet den USB-Stick als Hauptgerät, und schon ist das Platzproblem keines mehr.

USB-Stick präparieren

Um die Extroot-Lösung umzusetzen, brauchen Sie zuerst ein USB-Stick, der mit dem Dateisystem Ext3 oder Ext4 formatiert ist. Das Formatieren kann auf jedem Linux-System geschehen. Angenommen, auf dem USB-Stick sei eine einzelne Partition eingerichtet und der USB-Stick sei das Gerät /dev/sdb: Dann wäre der passende Befehl für die Formatierung mit Ext3 mkfs.ext3 /dev/sdb1. Das Beispiel nutzt im weiteren Verlauf als Dateisystem ebenfalls Ext3.

Der nächste Schritt besteht darin, die OpenWRT-Installation entsprechend vorzubereiten. Sämtliche benötigten Programme und Werkzeuge installiert das Kommando

$ opkg update && opkg install block-mount block-hotplug block-extroot kmod-usb-storage kmod-fs-ext3 tar nano

Nun müssen Sie den USB-Stick in das Dateisystem von OpenWRT einhängen, um im nächsten Schritt das gesamte System darauf zu kopieren. In unserem Beispiel heißt die Hauptpartition des USB-Sticks /dev/sda1 – entsprechend legen die drei Befehle aus Listing 1 den passenden Mountpoint an, hängen den USB-Stick in das Dateisystem ein und kopieren die Daten.

# mkdir /mnt/sda1
# mount /dev/sda1 /mnt/sda1
# tar -C /overlay -cvf - . | tar -C /mnt/sda1 -xf -

Die Konfiguration von extroot in der Datei /etc/config/fstab schließt den Vorgang ab. Der Befehl nano /etc/config/fstab öffnet die Datei im Editor Nano. Der mit config mount überschriebene Abschnitt ist der wirklich interessante: Den Eintrag in der Zeile option target ändern Sie von /home auf /mnt. In die Zeile option device gehört der Gerätename, den Sie bereits beim Kopieren im Schritt zuvor verwendet haben, im Beispiel also /dev/sda1. Bei option enabled wird aus der 0 eine 1. Am Ende des Eintrags ergänzen Sie die Zeile option is_rootfs 1. Mit [Strg]+[X] verlassen Sie nun den Editor und bestätigen dabei mit [Y], dass Nano die Änderungen speichern soll.

Nach einem Neustart über reboot sollte die Ausgabe von df -h – wieder auf der Kommandozeile – in etwa so aussehen wie in Abbildung 6. Die Zeile mit /dev/sda1 ist die wichtige – ist sie vorhanden, bedeutet das, dass der extroot-Mechanismus funktioniert.

Abbildung 6: Die Anzeige der Storage-Geräte beweist: Auf diesem Router ist die Extroot-Funktion aktiv, das System nutzt einen USB-Stick als “Platte”.

Fazit

Mit der alternativen Firmware OpenWRT erweitern Sie den Funktionsumfang vieler WLAN-Router beträchtlich. Dabei reicht die Bandbreite des Gebotenen von nützlichen Kleinigkeiten über sichere Kommunikation bis hin zu echten Profi-Funktionen. Das alles gibt es zum Nulltarif, es erfordert lediglich etwas Fleiß bei der Suche nach der passenden Firmware-Version und ein wenig Arbeit auf der Kommandozeile. Das Ergebnis ist den Aufwand aber allemal wert. 

OpenWRT-Alternative DD-WRT

Dieser Artikel beschäftigt sich mit der Aftermarket-Firmware OpenWRT. Es soll aber nicht unter den Tisch fallen, dass es auch andere Firmwares gibt, die als Alternative zum Herstellerprodukt zum Einsatz kommen können. Einen Namen hat sich beispielsweise DD-WRT gemacht, dessen Fokus darauf liegt, diverse Funktionen unter einer einfachen und intuitiven Oberfläche zu vereinen (Abbildung 7). Die DD-WRT-Firmware findet sich auf der Homepage des gleichnamigen Projekts [5].

Abbildung 7: Die OpenWRT-Alternative DD-WRT nimmt für sich in Anspruch, ein wesentlich besseres Webinterface anzubieten.

DD-WRT unterscheidet sich von OpenWRT insbesondere im Hinblick auf die Zielgruppe: Während OpenWRT erst in den letzten Jahren tatsächlich auch für weniger versierte Anwender überhaupt benutzbar wurde – bis vor zwei Jahren kam es ganz ohne Webinterface daher – war DD-WRT von Anfang an auch für Nicht-Profis gedacht. In Sachen unterstützter Hardware steht DD-WRT dem OpenWRT-Projekt kaum nach; das Test-Gerät Asus WL-500GP ließe sich beispielsweise ebenso mit DD-WRT betreiben.

Aufwändige Änderungen können Sie allerdings auch in DD-WRT nur über die Kommandozeile realisieren, etwa um einen mit USB-Ports ausgestatteten Router zum Printserver zu befördern. Letztlich gibt die persönliche Präferenz den Ausschlag für oder wider eine der beiden Firmware-Varianten. Hinzu kommt, dass sowohl von OpenWRT als auch DD-WRT Forks existieren, die wiederum eigene Ziele verfolgen. Ausprobieren schadet nicht, und wie immer in der Open-Source-Welt gilt: Es gibt mehr als einen Weg, um etwas zu tun.