OpenWrt, c'est quoi ? Routeurs logiciels, passerelles annexes et routeurs VPN pour la Chine

Un routeur ordinaire est un produit fini : le fabricant associe un matériel dédié à son propre système. C'est lui qui décide des fonctions. C'est stable et peu exigeant, et vous ne pouvez pas changer grand-chose.

À l'origine, un routeur logiciel désignait un matériel généraliste — mini-PC, boîtier industriel, carte de développement, voire un vieil ordinateur ou une machine virtuelle — sur lequel on installe un système d'exploitation de routeur. Le matériel est puissant et bien pourvu en ports, le système se change librement, et les fonctions s'ajoutent sous forme de logiciels.

Dans l'usage courant en Chine, le terme s'est élargi : un routeur ordinaire flashé avec un système tiers comme OpenWrt est souvent appelé lui aussi routeur logiciel. Ce que les deux ont en commun : un système remplaçable et des fonctions qu'on peut ajouter, et c'est exactement ce qu'exige un VPN sur un routeur. Les firmwares d'origine l'intègrent rarement.

OpenWrt est un système d'exploitation libre pour routeurs, basé sur Linux et disponible pour un grand nombre de marques et de modèles. Comme un système de téléphone, il accepte des paquets à installer : répartition du trafic, filtrage des publicités et les différents protocoles VPN s'ajoutent tous ainsi.

Le firmware OpenWrt est compilé modèle par modèle. Chaque modèle, et chaque révision matérielle de ce modèle, a sa propre image, et les images ne sont pas interchangeables.

• Versions officielles : publiées par le projet OpenWrt, avec les fonctions de base uniquement. Tout le reste, vous l'installez et le configurez vous-même.
• Compilations communautaires : des images qui circulent sur les forums et les liens de partage de fichiers, avec des dizaines de modules préinstallés. Impossible de vérifier qui les a compilées ni ce qu'elles contiennent.
• Firmware dédié : compilé à partir d'OpenWrt par un service pour ses propres lignes, avec la connexion et la répartition déjà en place.
• Chaque octet envoyé par le foyer passe par le routeur : l'origine de son firmware doit être quelque chose dont vous pouvez répondre. Pour savoir comment en juger, voir Reconnaître une appli VPN risquée.

Routeur principal : le routeur logiciel se branche directement sur le modem, gère l'identification de la connexion et distribue les adresses ; tout le trafic du foyer passe donc par lui par construction. C'est la configuration la plus simple, et rien ne peut le contourner. Le revers : quand il tombe en panne, toute la maison est hors ligne, et tout le monde l'est aussi pendant que vous bricolez dessus.

Passerelle annexe (bypass gateway, appelée « routeur latéral » en Chine) : le routeur principal existant reste tel quel. Le routeur logiciel s'y raccorde par un seul câble, et on désigne celui-ci aux appareils comme passerelle et serveur DNS : le trafic fait un détour par lui avant de sortir. L'intérêt : le réseau existant n'est pas touché, et seuls certains appareils l'utilisent. Les inconvénients sont bons à connaître à l'avance :

• Quand la passerelle annexe est éteinte ou plantée, tous les appareils qui pointent vers elle sont hors ligne. Si la passerelle a été changée pour toute la maison sur le routeur principal, toute la maison est hors ligne alors que le routeur principal est en parfait état, ce qui rend la panne déroutante à diagnostiquer.
• L'IPv6 la contourne : le routeur principal distribue toujours des adresses IPv6 aux appareils, et tout ce qu'un appareil envoie en IPv6 sort par le routeur principal sans toucher la passerelle annexe. Le symptôme : ça marche une partie du temps. La parade habituelle consiste à désactiver l'IPv6 sur le routeur principal.
• Le trafic fait un saut de plus, et avec des réglages imparfaits on obtient des envois lents ou des applis qui se comportent mal — des pannes difficiles à cerner.
• La passerelle et le DNS doivent être modifiés, soit à la main sur chaque appareil, soit dans les réglages d'attribution d'adresses du routeur principal. Les deux demandent quelques connaissances en réseau.

La troisième configuration, c'est un second routeur. Un routeur avec le firmware installé se branche derrière la box ou le routeur principal existant et diffuse son propre Wi‑Fi. Les appareils qui doivent passer par la ligne le rejoignent ; tout le reste reste sur le réseau d'origine, et aucun côté n'affecte l'autre.

S'il tombe en panne, seuls les appareils qui y sont connectés sont touchés, et tous les autres restent en ligne. Les appareils qui y sont connectés n'ont aucune sortie qui le contourne : le problème IPv6 de la passerelle annexe ne se pose pas. Le revers : une couche de traduction d'adresses en plus, et la rare appli qui a besoin d'une redirection de ports doit être configurée à part.

Un routeur avec notre firmware peut servir de routeur principal ou se placer ainsi derrière un autre. Pour la configuration utilisée pour des parents et une télé, voir La télé et les grands-parents à la maison.

Plus un routeur a de mémoire flash et de mémoire vive, plus il reste de marge une fois les composants VPN installés et plus les mises à jour futures sont faciles ; les modèles avec seulement 16 Mo de flash en laissent trop peu, et notre firmware ne les prend pas en charge. Pour savoir si un modèle donné accepte notre firmware, consultez la liste de compatibilité sur la page Routeur.

• Mémoire flash : c'est là que résident le système et les paquets. S'il y en a trop peu, les firmwares récents ne tiennent pas, sans parler de fonctions supplémentaires.
• Mémoire vive : les listes de répartition et le suivi des connexions sont en mémoire. S'il y en a trop peu, le routeur rame ou redémarre dès que suffisamment d'appareils sont connectés.
• Processeur : c'est lui qui chiffre. Plus la connexion est rapide et plus il y a d'appareils actifs en même temps, plus il compte. Quand le débit de la ligne ne veut plus monter, la limite est souvent là, et pas dans la connexion.
• Révision matérielle : un même nom de modèle recouvre souvent v1, v2, etc., avec des puces et une mémoire flash différentes, et leurs firmwares ne sont pas interchangeables. Lisez l'étiquette sous l'appareil, et vérifiez avec un soin particulier en cas d'achat d'occasion.
• Ports et sans-fil : pour une connexion de plus d'un gigabit, cherchez un port 2,5G. Un mini-PC n'a généralement pas de Wi‑Fi et demande un point d'accès séparé.
• Les box fournies par les opérateurs ne peuvent généralement pas être flashées. Placez un second routeur derrière.

Pour ce que fait le firmware une fois installé, voir Ce que fait le firmware du routeur. Pour ce qu'une bonne répartition doit accomplir, voir Comment fonctionne la répartition sur un routeur VPN.

• Le monter soi-même : acheter le matériel, installer le système, installer les modules, saisir la configuration de la ligne, écrire les règles de répartition, puis gérer les mises à jour et les pannes par la suite. C'est la plus grande liberté, et le même boîtier peut aussi faire tourner le filtrage des publicités, les téléchargements et d'autres services. Chaque problème est aussi le vôtre à résoudre.
• Firmware dédié : la connexion et la répartition sont déjà dans l'image. Ici, cela signifie générer le firmware en ligne pour votre modèle — plus de 600 modèles OpenWrt sont pris en charge — ou acheter un routeur où il est déjà installé. Les composants de connexion et les listes de répartition se mettent à jour d'eux-mêmes, sans reflasher.
• Les deux voies ne diffèrent pas par le matériel. Elles diffèrent par qui configure, qui entretient, et vers qui vous vous tournez quand quelque chose casse.

• Vous voulez couvrir le foyer sans aucun entretien : achetez un routeur avec le firmware installé. Pour choisir le modèle, voir Choisir un routeur VPN.
• Vous avez déjà un routeur compatible OpenWrt : flashez vous-même notre firmware en suivant Flasher le firmware du routeur.
• Vous aimez bricoler et voulez d'autres services sur le même boîtier : montez un routeur logiciel et importez un profil OpenVPN pour la ligne. Voir Utiliser OpenVPN, et quand le choisir.
• Pour des parents, une télé ou une box de streaming : un routeur prêt à l'emploi derrière le réseau existant. Voir La télé et les grands-parents à la maison.
• Une chambre louée ou une résidence où le routeur principal est intouchable : un routeur portable derrière, en second routeur.
• Un ou deux téléphones et ordinateurs portables : pas besoin de routeur, un client est plus léger. Voir Quelle méthode de connexion pour quelle situation.