在过去的几个月里，我一直在讨论使用标准 Linux 发行版的裸安装作为路由器。我 在 Ars Technica 上写过关于它的文章，我在 Great Wide Open 上做过一次演讲，下周我将在 SouthEast LinuxFest 上做另一次演讲。我必须告诉你，自制路由器是我写过和演讲过的最具争议的话题之一——有些人喜欢这个想法，但那些不喜欢的人似乎真的、真的讨厌它。
公平地说，从通用服务器发行版设置你自己的路由器并不是适合每个人的项目。无论是在构建过程中还是在完成后，它肯定都不方便用户使用。虽然它不是特别复杂，但它绝对是神秘的，一路上没有任何手把手的指导。如果你还没有非常丰富的 Linux 经验，你可能会挠头思考（也许会咒骂几句）。一旦你完成了，你也不会得到一个超级功能丰富的构建——除非你为你构建做的比我做的更多，否则你不会有花哨的服务质量功能、使用情况图表，或者除了一个裸机（虽然非常高性能）路由器之外的任何东西，它可以分配 IP 地址、解析 DNS 记录、连接到互联网，并使数据包按照它们应该去的地方进行传输。
我不反对任何人指出任何这些。 实际上，我自己指出了所有这些，通常在最初的几段中。 但是，让我摇头叹息的常见抱怨是：“这将非常不安全，并且会让你被 root，这就是你应该运行专门构建的路由器发行版的原因。” 等一下——什么？
好吧，让我们谈谈安全性。 安全性不是事后才添加的东西，也不是用几千行代码构建的东西。 安全是一种心态，它是一种设计——它是你从基础上构建的东西。 提高的安全性实际上是我首先构建自己的裸机 Linux 路由器的整个原因。
我的职业迫使我对信息安全保持警惕，这就是为什么我首先想构建一个裸机 Linux 路由器。 专有路由器固件通常在升级之间间隔几个月甚至几年——而且当它确实升级时，它更频繁地是为了在 UI 中添加一些闪光点——更可能引入更多的错误——而不是为了修复安全问题。 开源固件的情况也好不到哪里去。 DD-WRT 是最流行的固件之一，虽然它每隔几周就会发布一个新的（且充满错误的）测试版，但该项目已经八年没有稳定版本了。 八年！ pfSense 几乎是该行业的宠儿，这是理所当然的——但它仍然是一个庞大而复杂的移动部件堆，带有 Web 界面和漂亮的图表以及可以切换的零碎东西，你永远不会真正知道它在做什么——你单击 Web UI 中的框，然后假设它正在执行你告诉它的操作，这已经与底层配置的现实相去甚远。 它还在固件更新发布之间间隔数月（或更长时间），并且（再次）没有真正的保证更新不会更改 UI 和功能的主要部分，而不仅仅是修复错误。
对于很多人——以及企业，别误会我的意思——这完全没问题。 对于我自己的个人网络，这已经不够好了。 我想要一些最少的东西，在其中我知道实际配置的每一寸，因为是我自己编写的。 我希望获得真正频繁的安全更新，并具有主要发行版带来的那种质量保证和测试。 那些小的专业路由器发行版也只能是二流货色。
这就是我的 自制路由器 的用武之地。 不，它并不比路由器发行版“更不安全”——它的移动部件少得多得多，而且我非常了解所有这些部件。 除了我的实际配置文件外，它的每一部分每天都会自动获得安全更新。 如果 dhcpd 中存在次要的安全问题，它的补丁不会坐在队列中，直到“有足够的东西可以麻烦”进行完整的固件升级发布。 它会立即通过 unattended-upgrades 服务自动获取并修补。
我不必担心是否因为忘记单击正确的复选框而意外地将 Web 界面暴露给外部世界——因为根本没有 Web 界面。 同样，我不必担心 Web 界面中的错误是否会做类似的事情，尽管我已经选中了一个框——因为没有复选框，我所做的配置是对实际服务的真实配置，而不是一个抽象的和简化的版本，必须由几千行 PHP 代码来翻译，而这些代码得到的审查次数要少几个数量级。
因此，这让我们回到了自制路由器适合或不适合谁的话题。 它是否适合一个繁忙的管理员，他不熟悉命令行级别的 Linux 网络，包括 dhcpd、iptables 和 bind？ 可能不适合——他们没有时间处理所有这些。 它是否适合一个不是对这些东西感兴趣的爱好者的家庭用户？ 同样，可能不适合——他们会对配置的神秘（但最终很简单）的性质感到沮丧。
但是，自制 Linux 路由器适合一个真正对这些东西在底层如何工作感兴趣的爱好者或初级系统管理员。 设置和管理一个路由器将教会你很多东西。 它也非常适合一个已经了解大部分系统并且只需要复习一两件事就可以熟悉它的资深系统管理员——原始性能简直令人瞠目结舌，并且系统的简单性将使该资深系统管理员可以自由地以他们已经非常熟悉的方式管理和备份它。 最后，它非常适合那些极其喜欢戴锡箔帽的人（不幸的是，也像现在的我一样），因为它的精简性质使他们绝对确定他们了解它正在做什么和没有做什么，并在规划他们的安全设置时相应地进行计划。
如果你是一个感兴趣的爱好者或系统管理员，并且认为这听起来像是你想要着手的项目——或者甚至是那些认为这听起来完全疯狂，但可能花一个小时思考一下会很有趣的人——今年来夏洛特的 SouthEast LinuxFest 吧！ 该活动于 6 月 10 日至 12 日举行，我的演讲应该在 6 月 11 日星期六上午 9-10 点 举行。
16 条评论