在过去的几个月里，我一直在谈论使用标准 Linux 发行版裸安装来作为路由器。我已经在 Ars Technica 上写过相关文章，我在Great Wide Open 上做过一个演讲，下周我还将在SouthEast LinuxFest 上再做一个。我必须告诉你，自制路由器是我写过和讲过的最具争议的话题之一——有些人喜欢这个想法，但那些不喜欢的人似乎真的、真的很讨厌它。
公平地说，从通用服务器发行版设置自己的路由器并不是一个适合所有人的项目。无论是在构建过程中还是完成后，它肯定都不易于使用。虽然它不是非常复杂，但它绝对是神秘的，一路没有任何手把手的指导。如果你还没有非常丰富的 Linux 经验，你可能会感到困惑（甚至可能会咒骂几句）。完成后，你也不会得到一个功能超级丰富的版本——除非你为你的构建做了比我的更多的东西，否则你不会有花哨的服务质量特性、使用情况图表，或者除了一个精简（尽管非常高性能）的路由器之外的任何其他东西，它可以分发 IP 地址、解析 DNS 记录、连接到 Internet，并使数据包到达它们应该去的地方。
我不反对任何人指出任何这些。事实上，我自己就指出了所有这些，而且通常是在前几段中。但是，让我摇头的是常见的抱怨：“这将非常不安全，并且会让你被 root，这就是为什么你应该运行专门构建的路由器发行版。” 等等——什么？
好的，让我们谈谈安全问题。安全不是事后才附加的东西，也不是用几千行代码构建的东西。安全是一种心态，是一种设计——它是你从基础上构建的东西。事实上，提高安全性是我首先构建自己的裸 Linux 路由器的全部原因。
我的职业迫使我对信息安全保持警惕，这就是为什么我首先想要构建一个裸 Linux 路由器。专有路由器固件通常几个月甚至几年才升级一次——而且当它确实升级时，它更频繁地是为了在 UI 中添加一些闪亮的东西——更有可能引入更多的错误——而不是为了修复安全问题。开源固件实际上也没有好到哪里去。DD-WRT 是最流行的之一，虽然它每隔几周就会发布一个新的（并且充满错误的）测试版，但该项目已经八年没有稳定版本了。八年！pfSense 几乎是业界的最爱，理应如此——但它仍然是一个庞大而复杂的活动部件堆，带有 Web 界面、漂亮的图形以及可以切换的各种小部件，你永远无法真正了解它所做的一切——你在 Web UI 中单击复选框，然后假设它正在按照你告诉它的那样做，这已经与底层配置的实际情况相去甚远。它也需要几个月（或更长时间）才能提供固件更新，并且（同样）没有真正的保证，更新不会更改 UI 和功能的关键部分，而不仅仅是修复错误。
对于很多人——以及企业，别误会我的意思——这完全没问题。对于我自己的个人网络，这已经不够好了。我想要一些最小化的东西，在其中我知道实际配置的每一寸，因为我自己编写了它。我想要真正频繁的安全更新，以及主要发行版带来的那种质量保证和测试。那些小型专业路由器发行版不可避免地也会落后。
这就是我的自制路由器的由来。不，它并不比路由器发行版“更不安全”——它的活动部件少得多，而且我很了解所有这些部件。除了我的实际配置文件之外，它的每一部分每天都会自动获得安全更新。如果 dhcpd 中存在一个小的安全问题，那么它的补丁不会一直排队，直到“有足够的东西可以麻烦”进行完整的固件升级发布。它会立即通过 unattended-upgrades 服务自动获取并进行修补，就像它应该做的那样。
我不必担心是否因为忘记单击正确的复选框而意外地将 Web 界面暴露给外部世界——因为根本没有 Web 界面。同样，我也不必担心 Web 界面中的一个错误是否会做类似的事情，即使我选中了一个框——因为没有复选框，我所做的配置是对实际服务的真实配置，而不是一个抽象和简化的版本，它必须由几千行 PHP 代码进行翻译，而这些代码的审查者要少几个数量级。
因此，这又回到了自制路由器适合或不适合哪些人的话题。它适合一个忙碌的管理员，但他们并不精通命令行级别的 Linux 网络知识，包括 dhcpd、iptables 和 bind 吗？可能不适合——他们没有时间处理所有这些。它适合一个不是对这些事情感兴趣的业余爱好者的家庭用户吗？同样，可能不适合——他们会对配置的神秘（但最终很简单）的性质感到沮丧。
但是，自制 Linux 路由器适合于一个真正对这些东西在底层如何工作感兴趣的业余爱好者或初级系统管理员。设置和管理一个路由器会教会你很多东西。它也非常适合一个已经了解大部分系统并且只需要温习一两件事才能感到舒适的资深系统管理员——原始性能简直令人惊叹，并且该系统的简单性质将使资深系统管理员可以自由地以他们已经非常舒适的方式来管理和备份它。最后，它非常适合那些非常担心信息安全的人（不幸的是，也包括现在的我），因为它的精简性质使他们能够绝对确定他们了解它正在做什么和没有做什么，并在规划他们的安全设置时相应地进行规划。
如果你是一个感兴趣的业余爱好者或系统管理员，并且认为这听起来像是一个你想要投入的项目——或者甚至是那些认为这听起来完全疯狂，但可能花一个小时来思考会很有趣的人——今年来夏洛特（北卡罗来纳州）参加 SouthEast LinuxFest 吧！该活动将于 6 月 10 日至 12 日举行，我的演讲应该在6 月 11 日星期六上午 9 点到 10 点进行。
16 条评论