Настройка прошивки dd wrt для роутера

DD WRT — это прошивка для маршрутизаторов, созданная на основе Unix. Она используется для моделей, работающих на процессорах BroadCom, Atheros, Xscale и PowerPC, и расширяет их стандартный функционал. Опытному пользователю, которому нужно создать и настроить локальную сеть, почти всегда не хватает обычных настроек роутера для реализации всех задач, потому эта прошивка отлично подойдёт тем, кому нужная тонкая настройка функций и параметров домашней сети.

Возможности прошивки

Помимо обычных настроек, предлагаемых официальным программным обеспечением роутера, DD WRT обеспечивает следующий функционал:

• доступ по Telnet и SSH;
• настройка планировщика задач Cron;
• удалённый запуск (Wake-on-Lan);
• настройка Samba;
• виртуальные точки Wi-Fi;
• PPTP, VPN — сервер и клиент;
• другие варианты гибкой настройки роутера.

Порядок настройки маршрутизатора с DD-WRT

Для открытия страницы настроек маршрутизатора, прошитого DD WRT, нужно настроить автоматическое назначение IP и других значений на сетевом адаптере ПК, с которого будете настраивать. Затем нужно зайти в настройку роутера по IP, изначально указанному в инструкции. Здесь система предложит вам поменять админские логин и пароль на более надёжные. Придумайте новые данные для входа, введите и запомните их — они ещё не раз пригодятся при работе с другими функциями роутера.

При желании можно поменять язык пользовательского интерфейса. Дальнейшие инструкции мы приводим на примере русского. На странице «Administration» — «Management» нужно найти пункт «Enable Info Site» и поставить метку Disabled. Здесь же в пункте Language Selection выбрать русский язык. Нажать Save.

После этого начинается непосредственно настройка.

Статический IP

1. На вкладке «Установка» — «Основные установки» выбрать «Тип соединения» — «Статический IP».
2. Внести IP и другие данные, предоставленные поставщиком услуг.
3. Снять отметки в пунктах «Использование DNSMasq для DHCP» и «… для DNS». Сохранить параметры.
4. Перейти на вкладку «Службы», отключить «DNSMasq». Сохранить параметры.

Маршрутизация

Далее — настройка маршрутизации:

1. Перейти на страницу «Установка» — «Маршруты».
2. Назначить название и номер маршрута (своё для каждой из созданных подсетей).
3. «Сеть назначения» — 172.17.0.0 (или ваш диапазон подсети).
4. «Маска подсети» — 255.255.0.0
5. «Шлюз» — IP-шлюза, выданный провайдером.
6. «Интерфейс» — WAN.
7. Сохранить введённые значения, повторить действия для создания следующего маршрута.

Подключение по VPN (PPTP)

1. Открыть вкладку «Службы» — «PPTP».
2. Включить «Опции клиента PPTP».
3. «IP или имя DNS-сервера» — ввести цифровой или буквенный адрес.
4. «MPPE-шифрование» — пустое.
5. Пользовательское имя и пароль — из договора.
6. Сохранить.

Подключение PPPoE

В DD WRT есть некоторые сложности с реализацией протокола PPPoE, поэтому понадобится прописать некоторые параметры вручную:

1. На вкладке «Службы» — «PPTP» отключить «Опции клиента PPTP».
2. На вкладке «Установка» — «Основные установки» выбрать тип подключения «PPPoE».
3. Логин-пароль взять из договора.
4. «Имя службы» —
5. «Статический DNS1» — 172.17.0.2.
6. Снять отметки напротив «DNSMasq для DHCP» и «DNSMasq для DNS».
7. Сохранить.

Чтобы внешняя и локальная сети роутера под DD WRT корректно работали одновременно, необходимо настроить PPPoE Dual Access. Это делается в виде текстовых команд:

1. Зайти на страницу «Тех. обслуживание» — «Команды».
2. В текстовое поле ввести (vlan2 — имя интерфейса, выделенного для локалки):

ifconfig vlan2 [ip-адрес] netmask [маска подсети] up
route add -net 172.17.0.0 netmask 255.255.0.0 gw [адрес шлюза]

Повторить для 172.18.0.0 и 172.24.0.0

Нажать «Сохранить параметры запуска».

1. В текстовое поле «Команды» ввести:

iptables -t nat -A POSTROUTING -o vlan2 -j MASQUERADE

iptables -t nat -A POSTROUTING -o vlan2 -j SNAT —t WAN_IP

Далее — «Сохранить брандмауэр».

1. После перезагрузки устройство соединится по PPPoE.

Сеть Wi-Fi

Последний штрих — настройка вай-фай-сети:

1. Вкладка «Wi-Fi» — «Основные настройки».
2. Тип беспроводной сети — Точка доступа.

Режим беспроводной сети — Смешанный.

Ширина канала — 20 Мгц.

SSID передаётся в эфир — Включить.

Конфигурация сети — В мосте.

1. Чтобы назначить пароль на Wi-Fi-сеть, нужно перейти на вкладку «Безопасность», выбрать Режим безопасности — WPA Personal и ввести новый ключ в «Общий ключ WPA».
2. Сохранить параметры и перезагрузить роутер.

Заключение

Опытному пользователю, которого не удовлетворяют стандартные функции роутера для удобной работы домашней сети, мы предлагаем попробовать поработать с роутерами, прошитыми DD WRT. Широкий функционал и правильная настройка этой прошивки позволит вам использовать функции маршрутизатора гораздо шире, чем со стандартным ПО. Попробуйте наше пошаговое руководство по настройке DD WRT и поделитесь своим результатом в комментариях. Там же можно задать нам вопросы по теме статьи.

From DD-WRT Wiki

Jump to: navigation, search

Installing DD-WRT on a router in most cases is almost as simple as installing a program onto your computer. However, doing it incorrectly can leave you with a router that you have to throw away. Installing programs on a router, known as firmware, are achieved by a method called flashing. This article helps you determine which installation process is for you on your supported router, as well as giving router suggestions and information about flashing each one.

[edit] Choosing the Correct Firmware — Extremely Important

[edit] Is Your Router Supported?

Please check the router database first: http://www.dd-wrt.com/site/support/router-database.

If your router is not listed there, check the wiki page.

For a list of devices working with DD-WRT, please see wiki page Supported Devices.

For a list of devices not working with DD-WRT please see wiki page Known incompatible devices.

If your device is supported, you may find specific information in the Hardware-specific page for your router. However, to avoid Bricking your router, please finish reading this entire page first. You will then want to follow what is written for your particular device.

[edit] Which router should I buy?

For a list of recommended devices for installing DD-WRT, please see Which router should I buy?

[edit] Before You Download, Upgrade, or Flash

Before you try to take any actions, including loading any firmware to your router….read the English Broadcom Forum Announcement entitled Peacock Thread It contains more information than just for those who are having problems. BROADCOM ONLY INFO MOSTLY. Unfortunately, skipping this step leads many to brick (break) their routers.

Start there… do some research… then ask questions. Don’t just load V24-Final or SP1. (Read the English Broadcom Forum Announcements referenced above to find out why). The user-friendly dd-wrt download page will help you identify the correct «killer» and dd-wrt firmware versions (as applicable) for your device as needed. However, you must use the peacock thread and use the information in the Hardware-specific page to accurately identify your hardware and not create a problem that renders your router useless.

After you have read THIS page, and gotten some background on the peacock page, the Hardware-specific page may be the most useful page for you in terms of identifying your router, figuring out what files you need to download (including instructions), and figuring out the correct installation procedures.

[edit] Identifying Your DD-WRT Firmware

• Use the brand-specific information in the Hardware-specific page to accurately identify which model you have. Start with the main brand heading (ie, «Linksys»). Use that information — instead of just going by what model you think you have — clock.
• As the peacock thread mentions, using the incorrect file is one of the worst things you can do. Fortunately, dd-wrt has simplified this immensely with their search format. Once you have identified your router accurately, you may be able to go straight to DD-WRT Downloads page and find the files you need. Again, check the Hardware-specific page for links to detailed instructions that may indicate how many files you need, etc (- clock).
• Some newer routers are not supported by the latest stable release. Check the Supported Devices list for the minimum required DD-WRT version for your device. You may need to use an SVN or experimental build.
  • For a comparison of the builds, see Version Features.
  • Updating through the Web GUI (ie, the routers’s online interface) means you need to use the _generic version.
  • Use the _mini version when upgrading from original Linksys firmware. You need the _micro version if your hardware has 2 MB of flash (WRT54G v5 through v8 for instance). Use the «_mini» firmware if your hardware has 4 MB or more of flash (WRT54GL for instance). The maximum filesizes in Bytes are listed here under Maximum firmware size. (Again, use the download page’s search function for help here — clock).
• Read the Changelog, the timeline and all other information files on the download pages. They contain important information!

[edit] Downloading Your DD-WRT Firmware

See: Where do I download firmware

[edit] Precautions

If still running OEM firmware version on an old router (usually with 2MB flash), a «kill» firmware program file may be required first. The process of installing that firmware is probably covered in the Hardware-specific page under your device. It will be similar to simply repeating the overall installation process below, but using the specific «kill» file.

Follow all the instructions precisely, or you may run into trouble. Incorrectly flashing can brick your router!

NOTE: See Web Interface — Username and Password for information about valid password characters.

[edit] Do Prior Research

Read the Firmware FAQ.

1. Failing to prepare and do your background research can cause considerable frustration, wasted time, and render your router useless (bricked). In other words, you may have to literally throw it away and/or spend a lot of time recovering it. With some research, you’ll save hours of time and frustration.
2. It is recommended that you first read your specific device wiki, if available. For Broadcom devices read the [1] Peacock announcement] as a pre-ARM reference.
3. Be careful about implementation (actually flashing) on this wiki as compared to what is recommended as a guide for your router under Hardware-specific. However, reviewing this wiki will be important for overall understanding.

[edit] General

1. Do not skip resets before or after firmware updates unless you know what you’re doing.
2. Do NOT flash your firmware over an SSL (HTTPS) connection. Make sure you are using HTTP.

[edit] Prepare to Go Offline

1. You will not have internet access through the router during the process of replacing the firmware. You are going to do almost everything offline with a LAN connection to your router (how to Disable your wireless). Given the many types of problems you can encounter that can prohibit you from getting help, the process of reactivating and deactivating your security settings if you actually can get back online, and the likelihood for browser crashes if you try to just keep the pages up, you will need to download everything you need before you start. This will allow you to review the information offline in the event that something goes wrong.
2. Windows Vista users may need to Disable Compound TCP.
3. Note or screenshot the current settings for future reference, especially if you have static IP addresses.
   1. It can be essential to record your current WAN MAC address. Some ISPs do not allow an immediate change of the routing hardware without a phone call. Check the GUI and router label for the WAN MAC.
4. Have a secondary router or internet connection available while experimenting with your router’s firmware, to expedite any trouble shooting and remove the risk of becoming stranded.
   1. If you have a cable modem which connects to your router with ethernet, you can plug your PC straight into the modem should you have any problems. Your PC will be assigned your external IP with DHCP, and you will be on the net. Remember to use a software firewall.
5. Recommended: PDF or save the following for offline reference e.g. File->Save As to html (NOT a bookmark)
   • The installation page for your specific router as found though the Hardware-specific page.
   • The [2] Peacock announcement.
   • This Installation wiki.
   • Recover from a Bad Flash.
   • FAQs [3]
   • Tftp Flash instruction [4] if applicable. It describes how you may have to enable Tftp, which is very quick and easy (just one check box). You may need to be prepared to use Tftp even if you do not plan to use it.
   • The Wikipedia instructions for Compound TCP, if applicable (Vista, etc), available at: [5].
6. In addition, you will probably also need:
   • The Tftp.exe file, if applicable (execute it from the Tftp [6] link above, and just leave it open).
   • First («killer») flash file, if applicable.
   • Second (DD-WRT) flash file. (In some cases, this may be the only file you need.)

[edit] Going Offline/Before Implementation

1. Do NOT use a wireless connection to GUI upload firmware. Use a wired (LAN) connection.
2. Disable any wireless adapters (see the right way to do it) on your system to ensure that none are used for the transfer.
3. Recommended: AFTER you are offline, disable your anti-virus software, as as a false positive detection could interrupt the upload. Disable all firewalls and security (see Disable Security. Restore security measures before going back online.

[edit] Flashing Your Router with DD-WRT Firmware

Three methods of flashing are covered below: using the router’s online interface (Method 1), via TFTP (Method 2), and with the Command Line Interface (Method 3 — use this if wirelessly connected). The router model and/or location may dictate what you use.

[edit] Method 1: Flashing with Web GUI

These instructions are very generic. Search the wiki, Supported Devices, and DD-WRT download page for your specific device.

1. Reset your router
   1. This is probably not needed, but if the memory or nvram is almost full, a firmware update can brick it. Thus it is recommended at least until are familiar with the particular device.
   2. See Reset And Reboot and note the default IP address. If not listed on the router label see [wikidevi.com Wikidevi]
   3. Perform a GUI reset (Administration->Factory Defaults in DD-WRT) or use an alternate method:
      • Hard reset. WARNING: some devices should not use 30/30/30, including all ARM devices.
      • Reset button: with the router running normally, hold the reset button until the lights flash (or up to 30 sec). Be careful when using this method! Research the functionality of your current firmware to be safe.)
2. Log in to the Web GUI
   1. Javascript is required for the Web interface. Try a different browser if having issues.
   2. Access the GUI via the router IP address. The default for DD-WRT and many devices is [192.168.1.1], or see [wikidevi.com Wikidevi]. If the IP address is unknown, see Obtaining Router IP. If still having issues, erase the nvram.
   3. You will be prompted for username and password. (If your router already has a DD-WRT versions starting with 2006-Feb-28, the default username is root. Prior versions have a blank username by default. For Linksys firmware, the default username can be left blank or set to anything. For both DD-WRT and Linksys firmware, the default password is admin. Search online for other defaults on other routers).
3. Upload the Firmware
   1. NOTE: Multiple flashes may be needed if flashing from OEM firmware. See the FAQ download file details.
   2. WARNING:DO NOT interrupt the setup while the router is being flashed and rebooted. Do not turn off the computer, close the web browser, or turn off the router during this process!
   3. This section is written for the DD-WRT GUI. An OEM firmware interface will be different. See Precautions.
      1. Click the «Administration»->»Firmware Upgrade» tab.
      2. Optional: select the option to Reset to Defaults after flashing (NOTE: this can cause flashing issues)
      3. Click the «Browse» button and select the DD-WRT .bin file you downloaded and confirmed.
      4. Click the «Upgrade» button and wait for a redirect page confirming successful upload.
      5. Now wait at least 5 minutes before clicking «Continue». This varies with the hardware.
      6. If flashed successfully you will now be able to access the DD-WRT web interface at [192.168.1.1].
4. Reset Again
   1. Do this only after you have confirmed that the firmware upgrade is working.
   2. This is required if flashing from OEM firmware! See the above section again.
   3. For DD-WRT upgrades, this should only be needed if making large build jumps, changing kernel version (e.g. 2.4 to 2.6 or 2.6 to 3.10), or if having issues. For the latter, reset, retest, and then search the forum before making a new post.
5. Possible Errors with Uploading Firmware
   1. If the DD-WRT web interface is not accessible after 10 minutes, try clearing the browser cache, renewing the IP address («ipconfig -renew» in a Windows command prompt window), another reset, or power cycle.
   2. Ping the router: a TTL=64 response indicates normal operation, while TTL=100 usually indicates a TFTP server awaiting firmware upload. TFTP usually only is available in the first couple seconds at power-up, and may time out if the file upload is larger than OEM versions. See Tftp_flash, and note only OEM firmware may work for TFTP, possible trailed builds.
   3. Search the forum, wiki, Supported Devices, and DD-WRT download page for your specific device.
   4. The firmware upload process may respond with «Upload Failed» if using the wrong file type, kernel, or size of DD-WRT (or may just brick). E.g. This may occur through the web GUI if you use a *wrt54g.bin version when you should have selected the generic version. It may also be that your router requires the mini version to be flashed before the full version. Ensure you have the right version, as described in the first section.
   5. See Recover from a Bad Flash or try a different internet browser to upload the firmware.
   6. If logging in fails with the default username/password, reset again.

[edit] Method 2: Flashing with TFTP

TFTP is generally a safe method to flash many routers. However, it is not preferred method for flashing most devices. In the Hardware-specific section you may be advised to use this method if it is the preferred or only method for your brand or type of device. Normally, the GUI flashing method should be used, as it is adequate for the vast majority of standard situations, but refer to the Hardware-specific section to be sure.

Tftp is easy: if often requires one quick box uncheck and a quick click — then you are good to go. It is great for instances when web GUI malfunctions or the router appears to be (but is not) bricked.

If you still wish to flash with TFTP, see the articles TFTP flash, Asus TFTP Flash and Recovering with TFTP.

[edit] Method 3: Flashing with Command Line

This is only available on routers that already have DD-WRT installed and Telnet/SSH enabled. It is the *ONLY* recommended method to upgrade the router wirelessly because the file is transferred from the DD-WRT servers to the router and the checksum is verified to ensure that the file is not corrupt. Other flashing methods transfer the file from your PC to the router (which would go over the wireless which is not as reliable) and do nothing to verify that the file is not corrupted.
NOTE: Builds after 47381 do not have ftp support compiled in to busybox wget; use curl intead.

First Telnet or ssh into DD-WRT.

1a. Download the firmware to the router’s /tmp directory with wget (http or ftp), curl (http or ftp), scp, or a mounted share.

cd /tmp
wget http://download1.dd-wrt.com/dd-wrtv2/downloads/betas/{year}/{build}/{platform}/{firmware}

Or:

curl http://download1.dd-wrt.com/dd-wrtv2/downloads/betas/{year}/{build}/{platform}/{firmware} -o {firmware}

• The {platform} refers to architecture or router model and version. See #Downloading_Your_DD-WRT_Firmware for details.

Note: To download from login/password protected sites (like BS’ ftp for testers), use the following syntax:

wget ftp://{login}:{password}@{download location}/{firmware}

Or:

curl -u {login}:{password} ftp://{download location}/{firmware} -o {firmware}

1b. Optional: Compare the MD5 checksum [obsolete] of the original and the downloaded file.

• For modern builds, one can also download the file to another directory (or device) and check the md5sum for both downloads:

md5sum {firmware}

2. Now write the firmware to flash (do NOT use mtd write):

write {firmware} linux &

• The ampersand backgrounds the write command to protect against connection loss, as the shell would otherwise abort it.

Note: some routers can have more than one firmware partition: e.g. linux and linux2

• For an example on how to check and switch boot partitions, see here.

3. Optional: Reset nvram (if having issues or for large version changes) via erase nvram or nvram erase
The latter is for builds after 18 Apr 2018 (35770 and later). See Erasing NVRAM for details.

4. When completed without error, finally:

reboot

[edit] Other Notes

[edit] Upgrading to a Newer Version of DD-WRT

If DD-WRT is already installed on your router, you can simply upgrade to a new version via the web interface or TFTP. However, it is highly recommended that you restore the router to defaults using the reset button before and after flash. Never restore old backups from previous versions! Skipping these steps could lead to a bricked device!

[edit] If you can’t wget the firmware

NOTE:On routers without OpenSSL (e.g. 4MB models), the https link won’t work: use HTTP or FTP.

If you don’t ordinarily use DNSmasq for local DNS (perhaps because you run another DNS server), then the CLI commands may not be able to resolve addresses, so wget may fail. This can be hard to troubleshoot since the busybox commands don’t return errors. Possible workarounds:

• Enable DNSmasq just while getting the file

nvram set dns_dnsmasq=1
stopservice dnsmasq
startservice dnsmasq
nvram set dns_dnsmasq=0

• Use nslookup on another host to get the IP address of ftp.dd-wrt.com, then download from

  ftp://<ip>/<path>

  • Note: HTTP won’t work (the download1 vhost needs the «Host» header to give you the file, and the stripped-down DD-WRT wget doesn’t have the —header option).

• You can optionally use the following workaround as well:

cd /tmp
echo "nameserver {ip of your local nameserver / gateway router}" > /tmp/resolv.conf
wget http://download1.dd-wrt.com/dd-wrtv2/downloads/betas/{year}/{build}/{platform}/{firmware}

OR

curl http://download1.dd-wrt.com/dd-wrtv2/downloads/betas/{year}/{build}/{platform}/{firmware} -o {firmware}

OR

curl --ipv4 http://download1.dd-wrt.com/dd-wrtv2/downloads/betas/{year}/{build}/{platform}/{firmware} --output {firmware}

[edit] Configuration Notes

• You must start to configure router from scratch. Do not try to use config files from older firmware versions.

• It is strongly advised that you do not disable the «Boot Wait» option under the «Administration» tab. Boot Wait allows you recover if you flash your router improperly.

[edit] If something goes wrong

• If your router fails to reboot (power light doesn’t stop flashing, no web interface, etc) you will need to Recover from a Bad Flash. Additional help can be found by doing a forum search.
• The peacock thread’s section on bricked routers ([7]) can help you to identify if you have a real problem or not.

Свободная альтернативная прошивка DD-WRT для роутеров поможет превратить даже бюджетный маршрутизатор в настоящего аса с богатыми функциональными возможностями, причем совершенно бесплатно. Она также позволит изменить настройки мощности сигнала Wi-Fi и использовать новые протоколы безопасности. Кроме того, в отличие от стандартных прошивок, роутеры под управлением DD-WRT могут выступать не только как VPN-клиенты, но и как серверы. Единственный минус: не всегда понятно, какие настройки нужно активировать, поэтому мы расскажем о самых основных параметрах.

Начальные настройки

Суперпрошивка устанавливается на маршрутизатор так же, как и обычное обновление прошивки. Установочный файл нужно скачать на сайте dd-wrt.com в разделе «Router Database», выбрав свою модель роутера. Если захотите когда-нибудь вернуться к оригинальной прошивке, вам понадобится файл прошивки от производителя устройства. Чтобы установить DD-WRT на свой роутер, обычно диалогом обновления, предоставляемым оригинальной прошивкой. После перезагрузки войдите в веб-интерфейс (192.168.1.1), введя логин «root» и пароль «admin».

Конфигурация сетевых подключений

Когда откроется интерфейс DD-WRT, вам будет предложено задать новый пароль и имя пользователя для доступа к маршрутизатору — все как в обычной прошивке, за исключением того, что некоторые модели роутеров не предполагают смену имени пользователя. Вместе с тем, изменение стандартного имени пользователя повышает уровень безопасности. Логин и пароль затем можно будет изменить в разделе «Administration | Management | Router Password».

Далее на вкладке «Administration | Management» вы можете переключить стандартный язык с английского на русский: прокрутите страницу до нижней трети, в «Language Selection» выберите «Russian» и сохраните настройки, нажав «Save» в самом низу страницы. Соединение WAN (Wide Area Network), обеспечивающее доступ к Интернету, маршрутизатор обычно устанавливает сам. Но на всякий случай до обновления прошивки зайдите в соответствующий раздел веб-интерфейса роутера и запишите старые настройки.

Проблема может возникнуть только в том случае, если для соединения WAN вы используете другой модемный маршрутизатор, то есть подключение к Интернету происходит не прямо с устройства с прошивкой DD-WRT. Заключается она в том, что в пределах диапазона IP-адресов локальной сети может возникнуть конфликт адресов, когда IP-адрес одного из пользователей сети повторяет уже существующий.

В таком случае в меню «Setup | Basic Setup | WAN Connection Type» нужно прописать для маршрутизатора DD-WRT статический IP-адрес. Для этого нужно изменить последнюю часть заданного IP-адреса, прибавив к числу единицу. Не забывайте сохранять каждое изменение нажатием «Save» и в заключение нажать кнопку «Apply».

Оптимальная настройка беспроводной сети

За установлением соединения WAN следует очередь WLAN. DD-WRT позволяет разворачивать не просто беспроводную домашнюю сеть. Можно, например, создавать отдельные сети для гостей, для мультимедийных устройств или для чего-нибудь другого. Преимущества такого подхода заключаются в том, что устройства, попадающие в сферу Интернета вещей и наиболее подверженные риску взлома, будут работать в своей сети, из которой доступа к остальным домашним сетям не будет. Потом можно будет задать приоритет отдельно взятых сетей по пропускной способности (см. далее раздел «Оптимизация производительности»).

В первую очередь нужно настроить параметры физических беспроводных сетей. Для маршрутизаторов с поддержкой современного стандарта 802.11ac их три: по одной для полос 2,4 ГГц и 5 ГГц и комбинированная сеть Dualband для 2,4 и 5 ГГц. Для этих сетей в меню «Wireless | Basic Settings | Wireless Network Name» нужно задать одно имя — таким образом обеспечивается оптимальное подключение всех домашних уст­ройств к маршрутизатору. Для сети IoT используйте полосу 2,4 ГГц. Для создания дополнительной сети щелкните в разделе «Virtual Interfaces» по кнопке «Add» и задайте индивидуальное имя сети.

Безопасность

Помимо создания идеальной безопасности в беспроводной сети следует воспользоваться дополнительными функциями DD-WRT, чтобы, например, иметь возможность подключаться к Интернету по зашифрованному VPN-соединению или ограничить определенным пользователям или устройствам доступ к вашей домашней сети. Далее мы расскажем, как защитить свою сеть от возможных нападок хакеров.

Защита беспроводной сети

Сделайте свою домашнюю беспроводную сеть невидимой и защитите ее от взлома. Если злоумышленники даже не смогут обнаружить ее, она не сможет стать объектом атаки. Чтобы не высвечивать название сети, откройте на интерфейсе DD-WRT вкладку «Wireless | Basic Settings» на которой отображаются все сети маршрутизатора — как правило, это одна сеть 2,4 ГГц и одна 5 ГГц.

Для обеих переключите опцию «Wireless SSID Broadcast» в положение «Disable». Теперь ваша сеть невидима для других пользователей, кроме вас. Чтобы подключиться к сети через ОС Windows, откройте список беспроводных сетей, выберите сеть со скрытым именем (SSID) и введите имя сети и пароль.

Далее вам нужно указать, каким устройствам открыт доступ к сети, путем выбора MAC-адресов из списка сетевых устройств. Эти адреса вносятся в белый список маршрутизатора. Для активации белого списка в меню «Wireless | MAC Filter» для нужной сети требуется выбрать значение «Enable» и далее «Permit only clients listed to access the wireless network». Эта настройка отвечает за MAC-адреса WLAN, для которых открыт доступ к беспроводной сети.

Зашифрованный веб-серфинг

Для безопасного анонимного веб-серфинга требуется стабильное VPN-соединение. Для начала нужно получить доступ к сервису VPN. В качестве примера мы взяли NordVPN, с другими сервисами настройка происходит аналогичным образом. В меню «Setup | Basic Setup | Network Address Server Settings (DHCP)» для «Static DNS 1» введите адрес DNS-сервера — в нашем случае это 162.242.211.137. Затем для «Static DNS 2» введите «78.46.223.24». Нужные адреса серверов предоставит провайдер услуги VPN.

Затем установите флажки возле пунктов «Use DNSMasq for DHCP», «Use DNSMasq for DNS» и «DHCP-Authoritative». Сохраните параметры, перейдите в меню «Setup | IPV6» и нажмите здесь «Disable». Сохранив настройки, откройте меню «Services | VPN». Включите клиент OpenVPN, нажав «Start OpenVPN Client», и для параметра «Server IP/Name» задайте значение «nl1-ru1.nordvpn.com» для российского IP-адреса. Для опции «Encryption Cipher» используйте шифрование «AES-256-CBC», для алгоритма хеширования «Hash Algorithm» укажите значение «SHA1».

Далее включите функцию аутентификации пароля пользователя «nsCertType verification» и откройте «Advanced Options». В качестве имени пользователя и пароля введите логин NordVPN. Далее для параметра «Use LZO Compression» установите значение «Enable» и активируйте опцию «NAT». Для параметра «Additional Config» введите без кавычек следующие команды одну под другой: «persist-key», «persist-tun», «tlsclient» и «remote-cert-tls server».

В заключение вам нужно настроить сертификаты для VPN, которые должен предоставить провайдер — в нашем случае с NordVPN они доступны на странице https://nordvpn.com/profile, которая станет доступна после регистрации и авторизации. Извлеките сертификаты из архива ZIP и скопируйте содержимое файла CA.CRT в поле «CA Cert» в настройках маршрутизатора. Содержимое файла TLS.KEY перенесите в «TLS Auth Key» и сохраните изменения.

Защита от взлома DNS

Один из новых способов взлома с использованием подмены IP-адресов DNS-серверов, ведущей к незаметной для жертвы переадресации запросов с реального сайта на замаскированный под него фишинговый, заключается в преобразовании доменного имени в IP. Чтобы исключить возможность подобных манипуляций, следует разрешить только определенные DNS-сервера. На вкладке «Services | Services» в разделе «DNSMasq» активируйте опции «DNSMasq» и «Local DNS». Для «Additional DNSMasq Options» введите следующие четыре строки: «no-resolv», «strict-order», «server=208.67.222.222» и «server=208.67.222.220». Затем сохраните настройки, нажав «Save», и активируйте конфигурацию («Apply Settings»).

Оптимизация производительности

Правильные настройки производительности позволят найти самый лучший канал домашней сети, оптимизировать мощность радиомодуля, а значит, и повысить скорость передачи данных. Кроме того, можно распространить беспроводную сеть в такие уголки квартиры, которые до сих пор находились вне зоны ее действия.

Покрытие до последнего уголка

Для улучшения покрытия сети нужно точно выставить мощность передатчика роутера. В меню «Wireless | Basic Settings» для нужной сети выберите «Advanced Settings». Здесь для увеличения мощности сигнала в опции «TX Power» можно ввести нужное значение в децибелах относительно милливатта (дБм). В России «потолок» для устройств 802.11ac составляет 23 дБм, в США — 30 дБм. Значения по умолчанию в целях безопасности выставляются ниже максимально допустимых, что отражается на мощности передаваемого сигнала. Для обеспечения наилучшего покрытия сети установите максимальные значения.

Подключение старых WLAN-устройств к новой сети

В современных маршрутизаторах предусмотрен механизм защиты, позволяющий оптимально работать в сети даже старым устройствам с поддержкой стандарта 802.11b — например, в случаях, когда устройства 802.11b и 802.11g одновременно отправляют данные на роутер по одному и тому же каналу. Перед началом информационного обмена устройство 802.11b отправляет короткий сигнал запроса на передачу (RTS — Request to Send), а маршрутизатор отправляет сигнал разрешения на отправку (CTS — Clear to send). Этот механизм предотвращает конфликты обращения двух устройств к третьему, но снижает скорость.

Если вы не используете в домашней сети устройства 802.11b, можете полностью отключить в меню «Wireless | Basic Settings» DD-WRT функцию защиты. Для этого в дополнительных настройках установите для функции «Protection Mode» значение «None». Однако оптимизировать скорость можно даже в том случае, если вы используете устройства 802.11b. Установите для «Protection Mode» значение «RTS/CTS» и активируйте опцию «RTS Threshold», установив ее на уровне 2340.

Оптимальное распределение полосы пропускания

Вкладка «NAT/QoS» позволяет определить доступную пропускную способность для разных сетей и устройств. Например, можно урезать пропускную способность для сети IoT, а для смартфона задать приоритет. Запустите службу QoS, щелкнув по разделу «QoS» на вкладке «NAT/QoS», и для опции «Start QoS» установите значение «Enable». Для поля «Port» задайте значение «WAN», для «Packet Scheduler» — «HTB». Для параметра управления потоками «Queueing Discipline» установите значение «FQ_CODEL».

Далее введите для «Downlink» и «Uplink» значение, равное 95% максимальной пропускной способности интернет-соединения. Остальные пять процентов следует оставить на случай сбоев, если соединение окажется перегружено. Иначе в условиях полной загруженности соединения вы не сможете ни загружать что-либо, ни менять параметры настройки.

Входящую и исходящую скорость вы можете измерить с помощью соответствующих онлайн-сервисов, таких как, например, speedtest.net/ru. А чтобы установить для беспроводной сети пропускную способность, в разделе выбора приоритетов служб «Services Priority» выберите нужную сеть, нажмите «Add Service» и введите желаемые значения скорости.

Чтобы задать определенную пропускную способность для определенного устройства, используйте опцию «MAC Priority». Введите нужные MAC-адреса и задайте требуемые значения. MAC-адреса устройств находятся в меню «Status | Wireless | Wireless Nodes».

Дополнительные функции

Кроме управления внешними накопителями и функций мультимедийного сервера, DD-WRT умеет делать еще кое-что, чего маршрутизаторы с заводскими настройками не предлагают: блокировать следящие скрипты сервисов рекламы.

Файловый сервер из маршрутизатора

Чтобы подключить внешние диски и USB-флешки к домашней сети при помощи роутера с DD-WRT, в меню «Services | USB» активируйте опции «Core USB Support», «USB Storage Support» и «Automatic Drive Mount». После сохранения и применения конфигурации вставьте внешние накопители в USB-порт маршрутизатора.

Затем откройте меню «Services | NAS» и активируйте опцию «Samba». Для строки сервера «Server String» задайте имя сети маршрутизатора на выбор, для «Workgroup», соответственно, имя рабочей группы. Для «File Sharing | Path to Files» выберите внешний накопитель и задайте объекту имя.

Файлы, находящиеся в общем доступе, можно найти в Проводнике Windows 10, зайдя в «Мой компьютер». Щелкнув левой кнопкой мыши по опции в верхнем меню «Подключить сетевой диск», можно присвоить букве диска папку с открытым доступом. К слову, объем дискового пространства можно увидеть со смартфона или умных часов: приложение DD-WRT доступно для скачивания в официальных магазинах приложений Apple и Google.

Доступ к хранящимся на внешних накопителях данным DD-WRT умеет предоставлять как DLNA-сервер — то есть сервер для вещания мультимедиа. Умные телевизоры таким образом получают контент прямо от накопителя.

Блокировка рекламы для всех устройств

Теперь для отключения агрессивной рекламы больше не понадобится сторонний блокировщик — это будет делать маршрутизатор. В меню «Services | Adblocking» активируйте опции «Privoxy» и «Transparenter Mode» и в белый список внесите сайты, рекламу на которых блокировать не нужно (например, ichip.ru), а затем сохраните конфигурацию и примените созданные изменения, нажав «Apply». Чтобы убедиться, что блокировка рекламы срабатывает должным образом, введите в браузер URL config.privoxy.org. Если открывается страница блокировщика — значит, все в порядке.

Читайте также:

Тест скорости интернета

Время на прочтение
11 мин

Количество просмотров 312K

Прошивка DD-WRT на домашнем роутере

Это обзорная статья о том, какие возможность существуют у пользователя обычного домашнего роутера, и как этими возможностями воспользоваться.

Рано или поздно каждый пользователь интернета покупает себе домой роутер, поскольку количество устройств, требующих интернета, растёт. А у многих растут дети, которые тоже требуют подключения к интернету Но мне больно и обидно видеть, что люди не всегда понимают, что можно и нужно делать для достижения максимального комфорта.

Небольшой дисклаймер (не знаю как это по-русски).
Я буду употреблять слово «правильно» в том смысле, что я сам считаю правильным для себя. Пройдя путь от «нуба» в Линуксе до уровня «могу советовать другим», я считаю, что мои советы по крайней мере не хуже других советов, которые можно встретить на различных форумах.

Речь пойдёт о прошивке роутера на основе известного дистрибутива DD-WRT. Это прошивка, превращающая роутер в «обычный» линукс-сервер с весьма жёсткими ограничениями памяти и быстродействия. Несмотря на это, функционал такого сервера может получиться весьма богатым.

Вот только некоторые из возможностей:

• SSH
• FTP server
• HTTP server
• OpenVPN
• QoS management
• Transmission
• PHP
• MySQL
• RADIUS
• Asterisk
• etc etc

— Давайте же начнем! — сказал Морж, усаживаясь на прибрежном камне. — Пришло время потолковать о многих вещах… (c)

1) Выбор оборудования

Первая и наиболее важная задача — выбрать правильную модель роутера, так как это — «билет в один конец». Оценивая свои финансы и свои амбиции, важно выбрать золотую середину. Возможным фактором риска могла бы быть боязнь «запороть» дорогой роутер своими неправильными действиями. Я сам, покупая дорогую вещь, опасаюсь что-то с ней делать, особенно если нет опыта. Однако могу вас заверить: шансы убить роутер новыми прошивками практически равны нулю. Современные модели имеют режим восстановления, и надо очень сильно захотеть, чтобы угробить роутер (и то не навсегда — просто потребуется специальное оборудование для реанимации).

Назову 2 «правильных» модели, которые я выбрирал для себя.

1. Linksys WRT-54GL, модель начального уровня, зато непревзойдённая по надёжности. Покупалась более 3 лет назад, до сих пор в строю, «ни единого разрыва»… Характеристики: WiFi (b/g) + 4 LAN 10/100, 4Mb flash, 16Mb RAM, no USB.
2. Asus WL-520GU, современный и весьма дешёвый роутер, 3 месяца в строю, также нет нареканий по работе. Характеристики: WiFi(b/g) + 4 LAN 10/100, 4Mb flash, 16Mb RAM, 1 USB.

Основными критериями выбора моделей являются:

• Совместимось данных моделей с прошивками DD-WRT. Возможности «родных» прошивок не рассматривались вообще: зачем выбирать цвет обоев в новой квартире, если впереди — всесокурушающий ремонт?
• Объем памяти RAM. Почти все современные роутеры имеют 16Mb RAM. Этого как раз хватает для нормальной работы, но, как известно, каждая программа стремится захватить весь доступный объём памяти. Если есть желание выжать максимум из своего роутера или есть лишняя сумма денег, лучше найти модель с 32Mb памяти.
• Наличие портов USB, ибо весь расширенный функционал удобнее всего ставить именно на внешнем носителе, т.к. flash-память роутера не сможет вместить всех новых программ. Мой первый роутер не имел USB, поэтому приходилось немного изгаляться и «работать напильником».

2) Прошивка роутера

Прошивка — это совсем не больно! Это на самом деле простая операция, ну такая как перректальное удаление гланд… Нет, правда ничего сложного.
При самой первой смене прошивки потребуется чуть больше усилий, зато каждая следующая пойдёт всё легче и легче.
Не следует опасаться, что смена прошивок будет происходить регулярно. Выбрав для себя набор программ, входящих в одну из готовых прошивок, можно на этом успокоиться и наслаждаться жизнью. Если понадобится дополнительный функционал — всегда можно установить новые программы отдельно, для этого существует специальный механизм. Но на первых этапах может случиться так, что выбор прошивки окажется неудачным, например в прошивке не окажется такой нужной возможности как поддержка SAMBA. Не беда, скачиваем другую прошивку, 2 движения мышкой — вуаля!

Некоторые модели роутеров (в частности Asus) перед прошивкой на DD-WRT требуют специальных действий (очистка памяти или что-то в этом роде). Внимательно следуйте инструкциям на конкретную модель роутера! Особенно внимательно нужно отнестить к требованиям «выждать 5 минут после окончания прошивки». Я был немного самоуверен и, перепрошивая своему коллеге роутер, слегка поторопился выключить питание после окончания прошивки. Результат — процедура восстановления и всё по-новой.
Если сказано «подождите 5 минут» — возьмите песочные часы на 5 минут и ждите! Это серьёзно.

Я не буду рассматривать сам процесс перепрошивки (tftp, смена адреса на 192.168.0.1, интерфейс и т.д.) — это всё изложено на форумах DD-WRT.

Но, наконец, вы закончили с прошивкой, и перед вами — чудесный новый WEB-интерфейс вашего роутера. Что дальше?

3) Подготовка к установке OPTWARE

Базовый функционал вы уже получили, выбрав версию прошивки. Осталось настроить параметры подключения к вашему провайдеру (DHCP, PPTP etc), и уже можно начинать бороздить просторы вселенной. Многим домашним пользователям этого уже будет достаточно.
Настройки параметров безопасности, управление маршрутеризацией и прочие стандартные для роутеров «фишки» я также описывать не буду. Без этого всё равно не обходится ни один «нормальный» роутер.
Но ведь можно же сделать ещё лучше! Продолжим процесс.

Все дополнительные программы объединены общим понятием Optware. (они ставятся в каталог /opt, который автоматически создаётся роутером и всегда доступен для записи). Однако сам каталог /opt пуст и фактически расположен в RAM — то есть, там очень мало места и всё, что туда попадает, будет потеряно при перезагрузке. Что же делать?

Выход следующий: нам нужно постоянное место на каком-нибудь «диске». И хотя описываемые хранилища не имеют формы диска в геометрическом смысле (скорее это кристаллы кремния в пластиковых корпусах с металлическими выводами), будем всё же называть их дисками.

JFFS

Если flash-память роутера достаточно большая, а размер прошивки меньше общего размера flash-памяти, то оставшееся место можно использовать для хренения данных. Если выбрать прошивку с поддержкой JFFS, то в зависимости от версии, можно получить от 0.5 до 3Mb «диск» прямо внутри роутера. Такой диск будет автоматически примонтирован как /jffs при старте.

Главной неприятностью при работе с flash-дисками является их быстрая деградация при записи. Если количество перезаписей сектора «диска» превысит некий порог (от 10 до 100 тысяч циклов), то диску придёт конец. Всё плохо…

Если с внутренним диском произойдёт такое, действительно будет плохо. Но если это внешний USB диск, то лёгким движением руки заменяем USB-флешку на новую — и снова в бой. Ведь USB-флешки давно уже расходный материал, не так ли? Тем более что достаточна флешка объемом 1 или 2Gb. Главное, как обычно, вовремя делать бекапы.

USB

Как вы уже поняли, основным местом установки Optware является внешний USB диск. Важно иметь в виду, что USB должен быть определённым образом отформатирован перед установкой в роутер. Как минимум, должен присутствовать первичный раздел, отформатированный как ext2 или ext3.

Более «правильной» является следующая схема:

1. раздел ext2, размер ~400Mb — основной раздел Optware, монтируется как /opt
2. раздел swap, размер ~24Mb — для свопинга, позволяет работать таким «тяжеловесным» приложениям как RADIUS, MySQL, Apache…
3. раздел ext2, размер ~400Mb — резервный раздел Optware (офлайновое зеркало)
4. раздел ext2 или fat32, всё остальное место — для пользовательских данных

Форматирование USB лучше всего выполнять на Linux-машине любыми подручными утилитами, например GParted.

CIFS

Если роутер не имеет аппаратного USB, а установить Optware всё-таки хочется, то можно воспользоваться замечетельной возможностью Linux работать с диском через сеть. Для этого нам потребуются 2 вещи:

• постоянно работающий где-то в сети сервер (или NAS, или просто десктоп-машина, даже ноутбук) с поддержкой SAMBA
• прошивка с поддержкой CIFS/SAMBA

Если в доме уже есть компьютеры (а они есть, ведь роутер без компьютеров смотрится как-то нелепо), то один из домашних компьютеров будет выступать в роли «сетевого диска» для роутера.
Роутер при загрузке будет монтировать расшаренную папку как /opt, а дальше — никаких отличий в работе Optware, кроме скорости первоначальной загрузки через сеть. Конечно, для случая CIFS лучше использовать не WiFi, а Ethernet подключение.

Чтобы всё заработало, достаточно в настройках роутера в разделе CIFS указать сетевой адрес и логин/пароль для доступа к расшаренной папке, и при следующей перезагрузке роутер автоматически примонтирует сетевой диск в папку /tmp/smbshare.

SD/MMC

Предположим, что у нас нет ни свободного места в flash-памяти роутера, ни USB, ни сервера. А нам очень нужно установить Optware. Что же делать?

Как обычно, «у нас с собой было» (это мой любимый девиз). Если совсем ничего нет, то придётся немного поработать напильником.

Для некоторых моделей (среди которых WRT-54GL) доступен так называемый SD/MMC mod. Достаточно приклеить куда-либо SD или MMC карту и припаять 6 проводков, и можно получить место для установки Optware и хранения пользовательских данных.

Именно такой мод я в конце концов и сделал, чтобы из старого роутера получить автономную точку доступа под WiFi Hotspot Chilli. Это — тема отдельного поста, возможно скоро соберусь и даже сделаю мини-сайт. Если кого-то ещё эта тема интересует, напишите в приват.

4) Определение точки монтирования, startup, shutdown

В зависимости от выбранного «диска» точка монтирования будет разной. Для внутренней flash-памяти это будет /jffs, для USB это будет /mnt (если разрешить автоматическое монтирование), для CIFS это будет /tmp/smbshare, для SD/MMC это будет /mmc.

Если выбран вариант USB, то следует запретить автоматическое монтирование — мы сами будем это делать «правильным» образом.
Как я уже сказал, Optware устанавливается в строго определённое место — каталог /opt. Этот каталог уже есть, нужно только примонтировать к нему реальный «диск».

Монтирование можно (нужно) делать в процессе начальной загрузки роутера. Для автоматизации в роутере предназначены несколько предопределённых скриптов, которые выполняются при старте и завершении работы.

Нам понадобятся как минимум 2 скрипта:

• .rc_startup
• .rc_shutdown

Первый скрипт будет выполнять монтирование внешнего «диска» и запуск Optware, второй соответственно — останов Optware и размонтирование.

Для начала надо разрешить доступ к роутеру по telnet или по SSH протоколу.
Рекомендую настроить доступ по SSH, так как это безопаснее и просто удобнее (можно настроить авторизацию по ключевому файлу и даже не вводить каждый раз пароль при доступе). А доступ нам понадобится неоднократно, чтобы устанавливать программы и смотреть, WTF, почему они не хотят правильно работать.

Сервер SSH уже присутствует и работает во всех версиях прошивок роутера. Нужно только создать пару ключей, один из которых (публичный) загрузить в роутер, а другой (приватный) положить на ноутбуке рядом с программой Putty и WinSCP. Про ключи тоже писать не буду, везде это достаточно подробно расписывается.

Создадим скрипт .rc_startup, который пока будет делать только одно: монтировать внешний «диск» в папку /opt.
Варианты:

Сохраним его в роутере кнопкой

Save startup

, перезагрузим роутер (возможно, он перезагрузится сам) — после этого у роутера должен появиться каталог /opt, куда теперь можно записывать файлы. Проверим?

telnet router
cd /opt
echo "OK" >opt.ok
cat opt.ok

если получилось «OK» — значит всё ОК, если нет — значит что-то не так… Гуглим, ищем где ошибка, повторяем…

5) Установка Optware — первый шаг

Ну вот, всё позади, у нас в сети — роутер с возможностью установки Optware. Приступим.

Т.к. у меня на ноутбуках Windows, я использую Putty (telnet или SSH) для доступа к консоли роутера и WinSCP для копирования и редактирования файлов.

Подключаемся через WinSCP к роутеру и создаём в папке /tmp следующий скрипт:
opt-inst.sh

Подключаемся через Putty к роутеру и выполняем скрипт:

cd /tmp
chmod 740 ./optw-inst.sh
./optw-inst.sh

В результате работы скрипта будет создана начальная конфигурация Optware и программа-установщик opt-inst. Теперь можно приступать к установке всех остальных пакетов программ.

6) Установка первых пакетов

Для начала установим какой-нибудь совсем простой пакет, например rsync. Он нам пригодится в дальнейшем для настройки резервного копирования.

cd /opt
ipkg-opt update
ipkg-opt install rsync

Если всё прошло успешно и нет никакой ругани в консоли, то можно продолжить установку.

Среди пакетов «первой необходимости» я бы назвал следующие:

• mc — Midnight Commander
• tcpdump — сбор и анализ сетевого трафика
• busybox — расширенные версии основных утилит Linux

Некоторые пакеты будут требовать установки других (через механизм зависимостей) — так и надо, пусть они ставятся сами. Обычно всё что требуется — нажимать «y» и соглашаться.

7) Окончательная настройка

Осталось настроить роутер так, чтобы запуск, работа и останов нужных сервисов происходил полностью автоматически. Для этого нужно исправить скрипты .rc_startup, .rc_shutdown, возможно, запустить процесс cron, и наслаждаться.

Тут следует сделать некоторые замечания. В разных версиях прошивок процедура запуска и останова почему-то отличается, причём в существенной части, а именно — запуск пользовательских скриптов из init.d.

В более новом роутере (версия прошивки 13972) пользовательские скрипты
/opt/etc/init.d/S* автоматически вызываются после завершения работы системного .rc_startup, и аналогично, /opt/etc/init.d/K* перед запуском .rc_shutdown. Поэтому для запуска и оснанова нужных сервисов достаточно, чтобы их соответствующие S* и K* скрипты находились в папке запуска /opt/etc/init.d

Однако и тут (по крайней мере в моём случае) не обошлось без «подводных граблей» (чьё-то меткое выражение). По законам жанра, запуск скрипта S* должен быть с параметром start, а запуск K* — с параметром stop. Но DD-WRT почему-то не передаёт start при старте, хотя и передаёт stop при останове. Пришлось делать некий work-around:

Системный скрипт .rc_statup (создаётся при запуске в /tmp и запускается силами процесса init) выглядит примерно так (некоторые подробности опущены, полный код доступен здесь):

# /tmp/.rc_startup:

Каждый S* и K* скрипт содержит примерно такой код:

if [ -n "$1" ]; then
    OP=$1
else
    OP=$(cat /tmp/.rc_stage)
fi

Системный скрипт .rc_shutdown (создаётся при перезагрузке в /tmp и запускается по команде reboot) выглядит примерно так (некоторые подробности опущены, полный код доступен здесь):

# /tmp/.rc_shutdown:

В более старом роутере (версия прошивки 13064) S* и K* скрипты вообще не вызываются автоматически, поэтому пришлось делать так:

Системный скрипт .rc_statup копирует и стартует (в фоновом режиме) скрипт запуска optware:

# /opt/.startup - скрипт запуска Optware
CFG=/mmc # или /mnt, или /jffs, или /tmp/smbshare
if [ -x $CFG/opt/.startup ]; then
    cp $CFG/opt/.* /tmp
    echo "startup: switch to optware" >>/tmp/log
    /tmp/.startup start $CFG &
else
    echo "startup: optware not found" >>/tmp/log
fi


А уже optware-скрипт /opt/.startup делает всё остальное, а именно — запускает S* скрипты.

Аналогично устроен и системный скрипт .rc_shutdown: (только запускает /opt/.shutdown не в фоновом режиме, а непосредственно)

# /opt/.shutdown - скрипт останова Optware
CFG=/mmc
if [ -x $CFG/opt/.shutdown ]; then
    cp $CFG/opt/.* /tmp
    . /tmp/.shutdown stop $CFG
fi


На этом пока всё.