שוחררה גרסה חדשה OpenWRT - 25.12

[DanielGR]

שוחררה גרסה 25.12 של OpenWRT, ההכרזה והפרטים כאן:

https://forum.openwrt.org/t/openwrt-25- ... ase/247228

עריכה: 19/3/2026

שוחררה גרסת תיקוני באגים 25.12.1, ה- Release notes כאן:

https://openwrt.org/releases/25.12/notes-25.12.1

[DanielGR]

רושם מאד חלקי וראשוני:

בסך הכל השידרוג עבר באופן תקין בנתבים שבדקתי, ( BPI-R64 ,Ax6s, Ax6, Ax3600, Redmi AC2100, EdgeRouter X, BPi-R4 ) למעט הסייגים הבאים, בתקווה שיעזור למישהו:

BPI-R3 - הקונפיגורציה של הגרסה החדשה איננה תואמת אחורה, צריך לשדרג מבלי לשמור הגדרות ולשחזר לאחר מכן. הסיבה: חלק משמות ה- Interfaces השתנו

X86: לאחר השידרוג המיפוי של הממשקים הפיזיים לשמות השתנה. כלומר, eth0 שהיה ממופה ל- br-lan ו-eth1 ל- wan פשוט התחלפו... זה קורה גם אם משדרגים ללא שמירת הגדרות ומשחזרים את ההגדרות הקודמות. הפיתרון: עריכה ידנית של etc/config/network והחלפה של שמות הממשקים, לאחר מכן עובד כמצופה

[rafi_d]

חושב שהיא בשלה כבר לא Flint2? יש טעם להסתכן בשדרוג שלו?

[DanielGR]

חושב שהיא בשלה כבר לא Flint2? יש טעם להסתכן בשדרוג שלו?

...

אין שינויים מאד משמעותיים, והביצועים - לפחות בהתקנים שבדקתי הם דומים עד זהים לגרסה 24.10 כך שאין דחיפות, ואפשר לעקוב אחרי הפידבק בפורומים לפני החלטה על שידרוג.

[sys_admin]

כבר שדרגתי ברוב המקומות שיש לי את FLINT2

עובד יציב לגמרי. רוב החידושים הם אלה שראיינו כבר בגרסאות RC לפני זה. למשל נוח מאוד מנגנון של שדרוג אוטומטי, שגם בודק, אם קיימת גרסת תוכנה חדשה באתר של OPENWRT ומעדכן בלחיצת כפתור, כולל גם את כל החבילות המותקנות.

[tolaat01]

כבר שדרגתי ברוב המקומות שיש לי את FLINT2

עובד יציב לגמרי. רוב החידושים הם אלה שראיינו כבר בגרסאות RC לפני זה. למשל נוח מאוד מנגנון של שדרוג אוטומטי, שגם בודק, אם קיימת גרסת תוכנה חדשה באתר של OPENWRT ומעדכן בלחיצת כפתור, כולל גם את כל החבילות המותקנות.

...

היי
יש דרך למנוע את המנגנון של שדרוג אוטומטי - לפעמים יש חבילות שאני מעדיף שלא ישודרגו (קליינט של טורנט לדוגמא)?

[sys_admin]

אם לא מאשרים, אז השידרוג לא מתבצע מעצמו.

[DanielGR]

דעתי: אני מודאג לא ממה שאני רואה, אלא ממה שלא רואה, כי לזה אי אפשר להתכונן, או לתכנן. לכן רצוי לעקוב אחרי הפורומים למי שלא רוצה הרפתקה.

הנושא של מיפוי שמות לממשקים (שדיווחתי בשירשור) הוא מרגיז, המשמעות היא שאם מבצעים שידרוג מאבדים גישה למכשיר או למכונה הווירטואלית וצריך גישת קונסול כדי לתקן את זה. לא סיפור כזה גדול אם מבינים מה לעשות, אבל אם יש מכונה עם מספר ממשקים פעילים, לא רק wan ו-lan זו יכולה להיות טירחה מיותרת.

כשלעצמו זה בוודאי לא Show stopper, מה עוד יש שם? לא ייקח הרבה זמן לדעת.

גם עם BPI-R3 לא הלך חלק.

[rafi_d]

יש אפשרות ליבוא וויצוא של קונפיגורציה ? זה בכלל עובד אחרי שדרוג?

[DanielGR]

יש אפשרות ליבוא וויצוא של קונפיגורציה ? זה בכלל עובד אחרי שדרוג?

...

כן, בוודאי, ומומלץ לעשות את זה לפני שידרוג:

וברוב המכריע של המקרים זה עובד, ודווקא עם המזל שלי נתקלתי בשני מקרים שלא עבד, במקרה של BPI-R3 הקונפיגורציה החדשה לא תואמת אחורה (מאד נדיר) ובמקרה של x86 המיפוי של שמות הממשקים השתנה ולכן שיחזור לא יעבוד.

ניתן גם לשמור קונפיגורציה על ידי UCI

קוד: בחירת הכל

uci export <filename>

ולהעתיק את הקובץ על ידי sftp או scp

[sys_admin]

דעתי: אני מודאג לא ממה שאני רואה, אלא ממה שלא רואה, כי לזה אי אפשר להתכונן, או לתכנן. לכן רצוי לעקוב אחרי הפורומים למי שלא רוצה הרפתקה.

הנושא של מיפוי שמות לממשקים (שדיווחתי בשירשור) הוא מרגיז, המשמעות היא שאם מבצעים שידרוג מאבדים גישה למכשיר או למכונה הווירטואלית וצריך גישת קונסול כדי לתקן את זה. לא סיפור כזה גדול אם מבינים מה לעשות, אבל אם יש מכונה עם מספר ממשקים פעילים, לא רק wan ו-lan זו יכולה להיות טירחה מיותרת.

כשלעצמו זה בוודאי לא Show stopper, מה עוד יש שם? לא ייקח הרבה זמן לדעת.

גם עם BPI-R3 לא הלך חלק.

...

יש לא מעט שיטות איך להתמודד עם כל ההפתעות של דברים חדשים ושונים בדורות חדשים של תוכנה. למשל, אם מדובר על מכונה וירטואלית, אז לפני שמבצעים שדרוג, אז עושים SNAPSHOT של כל המכונה עובדת, דבר שלוקח כמה שניות בודדות ואחרי השדרוג, גם, אם שום דבר לא עובד ולא יודעים איך להתגבר על זה, אז משחזרים תוך כמה שניות את המכונה מה SNAPSHOT שעשינו לפני זה.
עם מדובר על מכשיר פיזי, שזה נניח סבונייה בגרוש וחצי, אז תמיד אפשר להחזיק אחת כזו ספיר עם הגדרות תקינות ועם אחרי השדרוג של המכשיר שהשתמשנו בו, שום דבר לא עובד, אז משתמשים במכשיר רזרבי. או שבכלל את השדרוגים וניסיונות עושים מלכתחילה על מכשיר רזרבי שלא משפיע על כל הרשת ורק אחרי שרואים שהכל בסדר ומובן, אז ממשיכים למכשיר שמחבר את הרשת לעולם הגדול.

בכל מקרה, בדיוק בשביל זה שחודשים רבים לפני שמשוחררת גרסת Stable Release משתחררות גרסאות שהן RC, למשל ל 25.12, היו חמישה כאלה ואת כל הדברים שיבואו עליינו לטובה בגרסה סדירה אפשר לנסות לפני זה בגרסאות קדם.

יתרה מכך, בעתיד בכל מקרה צריך יהיה לשדרג כך או כך את התוכנות למכשירים קיימים ישנים והדברים שהשתנו בתוכנה חדשה, כבר לא יחזרו אחורה, כך שעדיף להתחיל ללמוד ולהכיר אותם כמה שיותר מוקדם.

למשל, כרגע, כל השינוי שמות של ממשקי רשת והמנגנון החדש בטיפול של חבילות זה שינוי קטן ביחס לשינויים שהיו לפני שנים מספר.
לדוגמה, לפני שנים רבות, כל הגישה של עבודה עם VLANs ב OpenWRT הייתה כגישה להגדרה של מתג רשת, שהממשק גרפי שלו היה נראה כך:

ומגרסה מסוימת היא עברה לגישה של עבודה עם גשר רשת. שהממשק גרפי שלו נראה היום כבר כך:

דבר ששונה לגמרי מבחינת בגישה לוגית ומכניס שינויים רבים בתצורה של המכשיר. אבל, אם רוצים להתקדם, אז אין שום ברירה וחייבים לשנות את ההגדרות הנדרשות. מן הסתם שמבחינת ממשק CLI, זה עוד יותר שונה.
גם בתחומים אחרים, כמו למשל, שימוש בפרוטוקולי ניתוב דינמי, כמו OSPF ו BGP, ב OpenWRT בגרסאות אחרונות היו שינויים רבים ומן הסתם שנדרש היה לשנות לגמרי את התצורה בכדי להישאר מעודכנים.

כך שאין ברירה, בכדי להישאר עם מערכת מעודכנת, ללא חורי אבטחה ועם אפשרויות חדשות נדרש ללמוד כל פעם מחדש את השינויים וחידושים שמופיעים בגרסאות הבאות.

[DanielGR]

אין מחלוקת על כך שצריך להתקדם, והשינויים מייצגים ערך אמיתי ותועלת. זה גם חשוב משום שחולשות אבטחה מתוקנות x גרסאות אחורה, ועדיף לא להשאיר את זה כך. (אגב, יש יצרנים המבססים את תוכנת הנתב על גרסאות ישנות ולא נתמכות של OpenWRT).

על זה יש תמימות דעים. השוני בדעות הוא לגבי העיתוי: האם נכון לשדרג מיד שהגרסה זמינה רישמית או להמתין מעט ולראות את התגובות בפורומים ואז להחליט. לא מדובר בקבועי זמן מאד ארוכים.

[sys_admin]

(אגב, יש יצרנים המבססים את תוכנת הנתב על גרסאות ישנות ולא נתמכות של OpenWRT).

...

יש באמת יצרנים כאלה, ואפילו גדולים ואפילו לא רק בהקשר של נתבים, אלה גם שמענו על יצרן כזה של מודולי SFP לרשת PON. אחד בשם NOKIA.

אבל, אחד ההיבטים החשובים, חוץ מכאלה, כמו גמישות, cross platforming, אפשרויות ותקנים מתקדמים, תמיכה לאורך שנים לחומרה ישנה, וכו', שבגללם נולדה ומתפתחת כבר כמה עשורים מערכת של OpenWRT, זה עדכוני אבטחה כמעט מיידיים ושימוש במודולים תוכנה עכשוויים.
כל זה, בניגוד גמור למה שמספקים יצרני סבוניות בגרוש וחצי לשוק הבייתי, ששם חוץ מהממשק הצבעוני, שתוכנן לשימוש של עקרות בית נואשות, שמסתכם בכפתורים גדולים עם אותיות קידוש לבנה עם כיתוב: התחל, הבא, הבא וסיום, אין ולא יכול להיות בהגדרה כלום. וזה מסיבה שפיתוח תוכנה מתקדם יותר לסבוניות מסוג זה, לא מתוקצב אצל יצרנים אלה. מבלי כבר לדבר על עדכונים וסגירה של פרצות אבטחה בהמשך.

בגלל זה, גם, מי שמשתמש בתוכנות כמו OpenWRT, זה לרוב אנשים שיש להם כבר אוריינות דיגיטלית, רקע מינימלי בשימוש באינטרנט ובהכרת המחשב, שרוצים ללמוד דברים חדשים, שיודעים בדיוק מה הם יכולים לקבל ממערכת כזו, ושמודעים מה בם סיכוני אבטחה ואיך מצמצמים אותם.
זו הסיבה, גם שמי שמשתמש במערכת תוכנה זה, גם מתנסה בכל החידושים בה, אפילו בסביבת פיתוח בהתחלה אחרי זה גם מעדכן את כל הציוד הנדרש שהוא מתחזק לעצמו, לעסק או לחברים.

כמובן, שמי שעושה את זה במסגרת עבודה, אז עושים את זה לא כמו ברשת ביתית ולא מגדירים או מעדכנים מכשיר, מכשיר בנפרד, אלה שמתכננים מערכת שו''ב מרכזית, שמייצרת פרופיל מוגדר אוטומטי לכל מכשיר בנפרד, לפי סוג חומרה, שימוש וכו' ומעדכנת אותם גם בצורה אוטומטית, אחרי אישור של מנהל מערכת.

[DanielGR]

בגלל זה, גם, מי שמשתמש בתוכנות כמו OpenWRT, זה לרוב אנשים שיש להם כבר אוריינות דיגיטלית,

...

ביטוי יפה ״אוריינות דיגיטלית ״

[sys_admin]

מנגנון העדכונים האוטומטיים החדש של OpenWRT גם הפעם עובד בצורה נוחה וכך גם מי שאין לו מערכת שו''ב שהוא התקין, גם מקבל שידרוגים זמינים, כולל כל שמירה על החבילות מותקנות וההגדרות. למשל, גרסה חדשה של OpenWRT מלפני יום:

וכך נראה ה IMAGE מתואם אישית שנוצר לעדכון:

[DanielGR]

שימו לב בבקשה כי הגרסה העדכנית היא 25.12.1, לא 25.12.0 ששוחררה במקור.

Release notes:

https://openwrt.org/releases/25.12/notes-25.12.1

זה מדגיש את הנקודה שכדאי לחכות לפידבק לפני שמשדרגים גרסה שהיא Major release. גרסה כזו לאחר ימים בודדים משיחרור הגרסה הקודמת מהווה למעשה Hot fix, אפילו אם לא קראו לזה כך.

הפוסט הפותח את השירשור עודכן

עריכה: תיקונים חשובים, מספר CVE

[sys_admin]

כפי שכבר כתבתי, העדכונים התכופים שפותרים את הבעיות האבטחה שמתגלים, מתקנים בעיות שמתגלות בגרסאות הקודמות ומוסיפים יכולות חדשות למכשירים קיימים הם אחד מן מהיתרונות הרבים של OpenWRT ודבר שמבדיל את המערכת תוכנה זו מתוכנות המקוריות שמשוחררות על ידי היצרני ציודים אלה שעליהם ניתן להתקין את OpenWRT.
ותמיד גם מומלץ לעדכן את ה OpenWRT לגרסה האחרונה שזמינה בשלב זה. כרגע זה גם הרבה יותר פשוט לעשות ממה שזה היה בעבר ומערכת גם מתריעה על כך שיש גרסת תוכנה זמינה.
כמובן, שמי שמנהל כמות של הציודים עם OpenWRT שמותקנת עליהם יעדיף לעשות את זה בצורה מרוכזת דרך מערכת שו''ב מתאימה. למשל, יש גם מערכות חינמיות פשוטות כאלה, כמו openwisp למשל, שיש לה גם סוכן נדרש מובנה ל OpenWRT.

כך נראה למשל ממשק ניהול ראשי של מערכת זו:

מערכת זו יכולה לנהל בצורה מרוכזת התקנים של מספר רב של אתרים ורשתות נפרדות שונות.

[DanielGR]

כנראה שלא הסברתי את עצמי כראוי ואנסה שוב:

אין מחלוקת על כך שרצוי לעדכן וזו ההתנהלות הנכונה, מכל הסיבות שהוזכרו, אין צורך לחזור על כך.

השאלה היא רק מתי, ואיך לעשות את זה. דעתי היא שרצוי לעבור על הפידבקים בפורום של OpenWRT ולהעריך האם יכולות להיות בעיות. עצם העובדה שמספר ימים לאחר ששוחררה גרסת Major שוחררה גרסה נוספת עם תיקונים משמעותיים היא בדיוק דוגמא מדוע נכון לנהוג כך.
אם השידרוג יתעכב בשבועיים שלושה השמיים לא ייפלו.

[sys_admin]

כמובן שמומלץ בחום לקרוא את התגובות של המשתמשים בפורומים הרלוונטיים על החוויות מן העדכונים שהם ביצעו. וגם כדאי מאוד לדעת לברור שם את המוץ מהתבן ולהבין מה מהתגובות אלה שלהם זה דברים אמיתיים של מומחים ומה תגובות על הבעיות שלא קיימות של משתמשים שפשוט לא הצליחו לעשות הגדרות בצורה נכונה או לא הבינו איך לעשות דבר מה בצורה נכונה.

כמובן גם שהעדכונים של גרסאות בחלק גדול מהמקרים יכולים להמתין גם שבועיים שלושה וגם חודשיים. אבל, יש מקרים רבים, כמו למשל אחד המקרים מלפני שנים שהתגלתה אז חולשה משמעותית במודול של OpenSSL שיצרה פירצת אבטחה במערכות שונות, שכללו גם את OpenWRT. ופירצה זו שזכתה לכינוי בשם heartbleed הייתה איום אבטחה מיידי לשירותים רבים שהיו קיימים על OpenWRT ויצרו סכנה של ממש שאם לא מעדכנים מייד את המערכת, אז הנוזקות שסרקו את כל האינטרנט היו מזההים את המערכת חשופה זו ונותנים כלים לגורמים זדוניים לתקוף אותה.
וזה רק מקרה בודד מן הרבים מן העבר, שבו היה צורך בעדכון מיידי של גרסת תוכנה חדשה ביותר.

[DanielGR]

אכן כן, תודה.

יש ספקות האם המנגנון של Build on demand עובד כמו שצריך בכל המקרים. דוגמא מעכשיו:

BPI-R3 עם תוספת מודולים - kmod-nvme, samba וכו'. בוצעה בקשה ל-build, ומתקבלת אפשרות להתקין את ה- Image או להוריד. התקנה נכשלת עם Image checksum failed, ואילו התקנה ידנית של ה- Image שהורד נותנת את ההודעת שגיאה הבאה:

זה מוזר... ההודעה הזו התקבלה בשידרוג מגרסה 24.10.5, אבל מאז שדרגתי ל-25.12.0 ולכן הקונפיגורציה אמורה להיות בגרסה 1.3 ולא אמורה להיות בעיה. המקור לאזהרה הוא שינוי בשמות הממשקים בין גרסה 24.10 ל- 25.12.
במקרה הזה ניתן לבחור ב- Forced upgrade (בדרך כלל רצוי להימנע מזה) וההתקן יעלה כרגיל.

דיון: התופעה הנ"ל לא בהכרח מצביעה על בעיה במנגנון השידרוג החדש אלא ייתכן שזו בעיה ב- Image הספציפי של BPI-R3. מה שכן הטיפול בשגיאות של המנגנון החדש כנראה זקוק לשיפור משום שבמקום הודעה גנרית של Checksum failed ניתן היה לתת את ההודעה המפורטת שניתנת כאשר מנסים לשדרג ידנית.