Primeras tareas después de instalar OpenWRT

Agregar una contraseña root

Abrimos una cli y ejecutamos:

passwd

Escribimos dos veces la contraseña y ya tendremos cambiada la contraseña root.

Darle una IP WAN a OpenWRT

Editamos el archivo /etc/config/network con:

vim /etc/config/network

…borramos todo lo posterior a la interfaz de loopback, es decir, borramos lo siguiente:

config globals 'globals'
  option ula_prefix blablabla

config interface 'lan'
  option type 'bridge'
  option ifname 'eth0'
  option proto 'static'
  blablabla
  blablabla
  blablabla

Y agregamos lo siguiente:

config interface 'wan'
  option ifname 'eth0'
  option proto 'static'
  option gateway '192.168.0.1'
  option ipaddr '192.168.0.2'
  option netmask '255.255.255.0'
  list dns '1.1.1.1'

Donde 192.168.0.2 es la IP que va a tener el router OpenWRT en la red local (puede ser DHCP, pero es este caso la configuraremos manualmente) y 192.168.0.1 es la IP del router al que va a estar conectado OpenWRT.

El aspecto final del archivo quedará así:

config interface 'loopback'
  option ifname 'lo'
  option proto 'static'
  option ipaddr '127.0.0.1'
  option netmask '255.0.0.0'

config interface 'WAN'
  option ifname 'eth0'
  option proto 'static'
  option gateway '192.168.0.1'
  option ipaddr '192.168.0.2'
  option netmask '255.255.255.0'
  list dns '1.1.1.1'

Reiniciar el sistema de redes

Reiniciamos el sistema de networking con:

service network reload

Instalar paquetes que considero básicos

Instalamos los siguientes paquetes:

opkg update
opkg install mc nano pciutils

Poner LUCI en español

opkg update
opkg install luci-i18n-base-es
opkg install luci-i18n-firewall-es

Instalar algunas apps intersantes de LUCI

opkg update
opkg install luci-i18n-adblock-es
opkg install luci-i18n-qos-es
opkg install luci-i18n-wifischedule-es
opkg install luci-i18n-wireguard-es
opkg install luci-i18n-wol-es

Instalar algunos complementos para AdBlock

opkg update
opkg install tcpdump msmtp ca-bundle ca-certificates libustream-openssl

Instalar paquetes inalámbricos

opkg update
opkg install hostapd-openssl #(Necesario para wpa3, instala también hostapd-common)
opkg install kmod-mac80211 #(Instala también kmod-cfg80211)

Instalar drivers ath9k para tarjetas inalámbricas

opkg update
opkg install kmod-ath9k

Instalar drivers ath10k de CandelaTech para tarjetas inalámbricas

opkg update
opkg install kmod-ath10k-ct

Instalar el firmware de CandelaTech para las tarjetas Atheros 9984/9994

La instalación de alguno de los dos firmwares siguientes requiere el módulo del kernel kmod-ath10k-ct que instalamos antes. No funcionan con la versión kmod-ath10k normal. Son preferibles a la versión normal (ath10k-firmware-qca9984) porque activan IBSS y otras funcionalidades.

Instalar la versión normal de firmware de CT:

opkg remove ath10k-firmware-qca9984 ath10k-firmware-qca9984-ct-htt
opkg update
opkg install ath10k-firmware-qca9984-ct

O instalar la versión HTT, que usa HTT TX data path for management frames, lo cual mejora la estabilidad en redes con mucho tráfico y puede que sea requerido para la autenticación .11r:

opkg remove ath10k-firmware-qca9984 ath10k-firmware-qca9984-ct
opkg update
opkg install ath10k-firmware-qca9984-ct-htt

Apagar el sistema para instalar tarjetas

Apagamos el sistema con:

poweroff

Le metemos las tarjetas, y lo volvemos a arrancar.

Crear la interfaz LAN

Aquí tenemos dos opciones:

1 – Crear la interfaz LAN para usar OpenWrt como punto de acceso sin interfaces ethernet más que la propia de la WAN:

2 – Crear la interfaz LAN para usar OpenWrt como router con interfaces ethernet (eth1, eth2, etc) y también como punto de acceso:

Editamos el archivo /etc/config/network con:

nano /etc/config/network

…y agregamos los siguientes cambios:

config interface 'LAN'
  option type 'bridge'
  option ifname 'eth1 eth2 eth3 eth4'
  option proto 'static'
  option ipaddr '192.168.1.1'
  option netmask '255.255.255.0'
  list dns '1.1.1.1'
  option delegate '0'
  option force_link '0'

Crear el archivo para poner nombre fijo a las interfaces

mkdir -p /etc/udev/rules.d/
touch /etc/udev/rules.d/70-persistent-net.rules

Editar el archivo con

nano /etc/udev/rules.d/70-persistent-net.rules

…y meter lo siguiente dentro:

SUBSYSTEM=="net", ACTION=="add", ATTR{address}=="00:00:00:00:00:00", KERNEL=="eth*", NAME="eth0"
SUBSYSTEM=="net", ACTION=="add", ATTR{address}=="00:00:00:00:00:00", KERNEL=="eth*", NAME="eth1"
SUBSYSTEM=="net", ACTION=="add", ATTR{address}=="00:00:00:00:00:00", KERNEL=="eth*", NAME="eth2"
SUBSYSTEM=="net", ACTION=="add", ATTR{address}=="00:00:00:00:00:00", KERNEL=="eth*", NAME="eth3"
SUBSYSTEM=="net", ACTION=="add", ATTR{address}=="00:00:00:00:00:00", KERNEL=="eth*", NAME="eth4"

SUBSYSTEM=="net", ACTION=="add", ATTR{address}=="00:00:00:00:00:00", KERNEL=="wlan*", NAME="wlan0"
SUBSYSTEM=="net", ACTION=="add", ATTR{address}=="00:00:00:00:00:00", KERNEL=="wlan*", NAME="wlan1"

Modificando las macs según nuestros dispositivos

Crear zonas WAN y LAN en el cortafuegos en LUCI

En LUCI ir a Red >> Firewall y crear dos zonas, una para WAN y otra para LAN. Permitir el forwarding entre ambas y activar el enmascaramiento en la zona que va de LAN a WAN.

Reiniciar

En la cli ejecutamos:

reboot

[/groups_member]

Borrar todos los paquetes Wifi

opkg update
opkg remove ath10k-firmware-qca9984-ct-htt
opkg remove ath10k-firmware-qca9984-ct
opkg remove ath10k-firmware-qca9984
opkg remove kmod-ath10k-ct
opkg remove kmod-ath
opkg remove kmod-mac80211
opkg remove hostapd*
opkg remove kmod-cfg80211

opkg remove wpad*

Instalar todo de nuevo

opkg update
opkg install hostapd-openssl #(instala también hostapd-common)
opkg install kmod-mac80211 #(Instala también kmod-cfg80211)
opkg install kmod-ath
opkg install kmod-ath10k-ct
opkg install ath10k-firmware-qca9984-ct-htt

Configurar WireGuard

Mediante este hack.