Firmware-update: Asuswrt-Merlin 388.1

Asus gebruikt voor zijn routers, zoals de RT-AC68 en RT-AX88, van een Tomato afgeleide firmware met de naam Asuswrt. Deze firmware is, op enkele drivers na, opensource, waarbij de gesloten binaries wel meegeleverd worden. Asuswrt-Merlin is op zijn beurt een aangepaste versie van de originele firmware van Asus. Het bevat onder meer bugfixes en kleine verbeteringen, maar probeert toch dicht bij het origineel te blijven, zodat het mogelijk blijft om nieuwe features die Asus introduceert, toe te voegen aan de code. Versie 388.1 is uitgekomen, een versie die alleen voor de AX-modellen geschikt is, en hierin zijn de volgende veranderingen en verbeteringen aangebracht:

Note:

• This release is only available for AX models. AC models will remain on the 386_xx release branch.

New:

• Add RT-AX86U_PRO support.
• Merged with GPL 388_20566 (RT-AX88U and GT-AX11000)
• Merged with GPL 388_21224 (all other AX models)
• Experimental ROG UI version for GT models, as a separate firmware image within the distribution archive, with "_rog" in the filename.
• (Asus 388) WireGuard client and server. The server uses the new 388 VPN server webui. Implemented a webui for clients, based on the early development UI from Asus.
  WG client routing is handled by VPN Director - you must configure redirection rules through it, same as on stock firmware which requires configuring rules through VPN Fusion.
  DNS handling will be identical to OpenVPN's Exclusive DNS mode, forcing clients to use the DNS provided by it (if any is provided).
  Note that enabling WireGuard will disable hardware NAT acceleration due to compatibility reasons.
• httpd support for EC certificates (Ivan Kruglov)

Updated:

• getdns/stubby to 1.7.2/0.4.2.
• zlib to 1.2.12 + backports.
• openssl to 1.1.1s.

Changed:

• Rebranded DNSFilter as DNS Director. This will prevent confusion with the company sharing the same name, and also better describes what the feature does.
• Setting an OpenVPN client to redirect all traffic while in "Exclusive" DNS mode will now force redirect ALL DNS traffic just like in VPN Director mode. While this will allow redirecting clients with hardcoded DNS servers, it also means that your whole LAN will lose the ability of doing local name resolution. It might be best to use VPN Director in that case to control which client should be involved in the DNS redirection, or use DNS Director instead of Exclusive DNS mode.
• (Asus 388) nvram storage increased to 192 KB on newer HND 5.04 devices like the GT-AXE16000.
• Reworked VPN Status page to only show currently active services.
• Reworked VPN Director page design, added buttons to access a client's settings page, and allow leaving both source and destination IPs empty (for "all").
• Optimized VPN Director WAN and DNS rule creation, so they no longer get re-created multiple times when editing VPNDirector rules.
• Switched generated self-signed certificate to an EC certificate.
• Disabled DSS key support in Dropbear SSH.

Fixed:

• Wrong temperatures used by the temperature graphs (386.8 regression)
• CVE-2022-37434 in zlib.
• GT-AXE16000 random reboots when using an OpenVPN client with VPN Director and Adaptive QoS.
• Clients connected to Guest Network 1 aren't redirected if NTP interception is enabled.
• Name was truncated to 31 chars when enabling OpenVPN client's Server Certificate Name Validation.

Removed:

• Interface selector on Speedtest page (no longer working, possibly due to an ookla client update)
• NAT Type setting on HND 5.04 devices (fullcone is not supported by kernel 4.19, so it wasn't working)

Versienummer	388.1
Releasestatus	Final
Website	Asuswrt-Merlin
Download	https://www.asuswrt-merlin.net/download
Licentietype	GPL

Reacties (9)

[snah001]

Ik heb aan de beta test meegedaan en de build werkt goed.
Probleem is dat de ontwikkelaar het moet doen met de closed sources die Asus aanlevert o.a. de drivers voor de Broadcom processor.
Deze versie ondersteunt eindelijk het Wireguard VPN protocol met de beperking dat als je die gebruikt de NAT acceleratie wordt uitgeschakeld omdat Asus c.q. Broadcom de drivers daarvoor niet heeft aangepast.
Door het missen van de hardware acceleratie is de bovengrens die je aan doorvoer kunt halen beperkt tot c.a. 500 Mbps.
Hier (AX-88U) haal ik op een Ziggo 350/35 lijn exact die snelheden met Wireguard.
Met OpenVPN haal je dat niet want dan is het maximum ca. 200 Mbps.
Deze build is dus aan te bevelen voor iedereen die Wireguard op zijn daarvoor geschikte router wil inzetten.

[Roel1966]

Door het missen van de hardware acceleratie is de bovengrens die je aan doorvoer kunt halen beperkt tot c.a. 500 Mbps.

Ik begrijp dat dit alleen het geval is wanneer je het Wireguard VPN protocol gebruikt want ik haal hier zonder VPN protocol tegen de 1000 Mbps ( AX-86U ) met een Gigabit abbo van Ziggo.

[MrFax]

NAT acceleratie hoeft inderdaad niet te worden uitgeschakeld. Zonder NAT acceleratie heb je krachtige hardware nodig om alle data te verwerken. Hoe sterker de SoC, hoe meer Mbps je uit je router haalt zonder NAT acceleratie.

Normaal gesproken moet een router op een ACK wachten voordat het een packet doorstuurt naar de juiste destinatie, met NAT acceleratie wacht de router niet (en leest alleen de IP header), en stuurt deze direct door naar de destinatie (dit is waarom de meeste QoS-technieken niet goed bruikbaar zijn met NAT acceleratie). Reden is dat het eigenlijk helemaal niet nodig is voor een router om packets te ACK'n, omdat de destinatie computer dit zelf ook al zal doen, maar bij de volledige TCP/IP-stack is dit wel standaard.

Zodra de router Wireguard/VPN gaat gebruiken is dit allemaal wat omslachtiger. Hoe dit met Wireguard precies z'n werk gaat, zou ik zelf nu ook niet weten. In ieder geval moeten de NIC drivers van de router geupdatet worden om dit weer goed werkend te krijgen.

[Reactie gewijzigd door MrFax op 22 juli 2024 22:05]

[Roel1966]

Helemaal duidelijk en uiteraard dank je voor de uitgebreide uitleg !

Het is dus nu eigenlijk wachten op Asus dat zij met een firmware uitkomen met NIC driver updates waarna Merlin deze dan weer in zijn firmware kan implementeren.

[snah001]

Precies!

[Roel1966]

Ik gebruik eigenlijk al bijna vanaf mijn 1ste Asus router Asuswrt-Merlin maar de laatste tijd ben ik wat meer van " if it aint broken, than not repair it". Vaak wacht ik een paar versies af of als ik iets vreemds merk qua snelheid van de router. Dit wel in tegenstelling tot eerder toen ik bijna altijd direct de firmware deed updaten als er een nieuwe uit kwam.

[Reactie gewijzigd door Roel1966 op 22 juli 2024 22:05]

[HollowGamer]

Wat is precies de reden dat het enkel voor AX-modellen is?

edit:

388.1 Release notes
This code base is only available for AX models, AC models will stay on the 386.x code base. Asus hasn't added any of these to their End-of-Life list as of now, so that means they will still get updates, just not as frequently. Most of these models being 5-7 years old now, having reduced support isn't unreasonable (as opposed to competitors typically completely dropping ALL support within 2-4 years). On my end, I currently don't plan to drop support for these AC models for the time being, but as with upstream updates, these older models will get less frequent updates from me as well.

[Reactie gewijzigd door HollowGamer op 22 juli 2024 22:05]

[Aardwolf]

Dank voor die toevoeging, vroeg me dat ook al eerder af. En wat als Asus ermee stopt, is het dan potentieel onveilig geworden of nog andere projecten/vrijwilligers die wel de noodzakelijke security patches doorvoeren?

[snah001]

Zoals geschreven wordt bij gebruik van het Wireguard protocol (in de router natuurlijk) automatisch de NAT acceleratie (flow cache) uitgeschakeld omdat Broadcom dit via hun closed source drivers niet ondersteunt.
Rmerlin, de dev, heeft daar wel met Asus contact over maar die hebben daar Broadcom voor nodig die de drivers moet aanpassen.
Of het ooit gaat gebeuren is nog maar de vraag.