O que é OpenWrt? Soft router, gateway paralelo e roteador VPN para a China

Um roteador comum é um produto fechado: o fabricante junta um hardware dedicado ao sistema dele. É o fabricante quem decide os recursos. É estável, não exige nada de você, e há pouco que você possa mudar.

Soft router, no sentido original, é um hardware de uso geral — um mini PC, uma caixinha industrial, uma placa de desenvolvimento, até um computador velho ou uma máquina virtual — com um sistema operacional de roteador instalado. O hardware é potente e tem bastante porta, o sistema pode ser trocado à vontade e os recursos entram como software.

No uso do dia a dia na China, o termo ficou mais amplo: um roteador comum com um sistema de terceiros, como o OpenWrt, gravado nele também costuma ser chamado de soft router. O que os dois têm em comum é um sistema que pode ser trocado e recursos que podem ser acrescentados — exatamente o que rodar uma VPN no roteador exige. O firmware de fábrica raramente traz isso.

O OpenWrt é um sistema operacional de código aberto para roteadores, baseado em Linux e disponível para uma enorme quantidade de marcas e modelos. Como o sistema de um celular, ele aceita pacotes instaláveis: roteamento inteligente, bloqueio de anúncios e os vários protocolos de VPN entram todos assim.

O firmware OpenWrt é compilado por modelo. Cada modelo, e cada revisão de hardware dele, tem a própria imagem, e as imagens não são intercambiáveis.

• Versões oficiais: publicadas pelo projeto OpenWrt, só com as funções básicas. Todo o resto você instala e configura.
• Pacotões da comunidade: imagens que circulam em fóruns e links de compartilhamento, com dezenas de complementos pré-instalados. Não dá para verificar quem montou nem o que foi colocado dentro.
• Firmware feito sob medida: compilado sobre o OpenWrt por um serviço para as próprias rotas, com a conexão e o roteamento inteligente já prontos.
• Cada byte que a casa envia passa pelo roteador, então a origem do firmware dele deve ser algo que você consiga explicar. Para saber como avaliar, veja Como reconhecer um app de VPN arriscado.

Roteador principal: o soft router fica ligado direto no modem, faz o login da banda larga e distribui os endereços, então todo o tráfego da casa passa por ele por construção. É o arranjo mais simples, e nada consegue contorná-lo. O preço é que, se ele falhar, a casa inteira fica sem internet — e todo mundo também fica enquanto você mexe nele.

Gateway paralelo (bypass gateway, o que na China chamam de “roteador lateral”): o roteador principal continua como está. O soft router fica pendurado nele por um único cabo, e os aparelhos são configurados para usá-lo como gateway e servidor DNS, então o tráfego faz um desvio por ele antes de sair. A vantagem é que a rede existente não muda e só alguns aparelhos precisam usá-lo. Os custos valem ser conhecidos antes:

• Quando a caixa paralela está desligada ou travou, todos os aparelhos apontados para ela ficam sem internet. Se o gateway foi trocado para a casa inteira no roteador principal, a casa toda fica offline com o roteador principal perfeitamente saudável, o que deixa a falha confusa de rastrear.
• O IPv6 passa por fora: o roteador principal continua entregando endereços IPv6 aos aparelhos, e o que um aparelho manda por IPv6 sai pelo roteador principal sem tocar na caixa paralela. O sintoma é que as coisas funcionam só de vez em quando. A solução de costume é desligar o IPv6 no roteador principal.
• O tráfego dá um salto a mais, e com configurações imperfeitas aparecem uploads lentos ou apps específicos se comportando mal — falhas difíceis de localizar.
• O gateway e o DNS precisam ser trocados, à mão em cada aparelho ou nas configurações de distribuição de endereços do roteador principal. As duas formas exigem algum conhecimento de redes.

O terceiro arranjo é um segundo roteador. Um roteador com o firmware instalado é ligado atrás do modem ou do roteador principal que já existe e transmite o próprio Wi‑Fi. Os aparelhos que devem usar a rota se conectam a ele; todo o resto fica na rede original, e um lado não afeta o outro.

Se ele falhar, só os aparelhos ligados nele são afetados e o restante continua online. Os aparelhos conectados nele não têm nenhuma saída que o contorne, então o problema de IPv6 do gateway paralelo não aparece. O custo é uma camada a mais de tradução de endereços, e um ou outro aplicativo que precise de redirecionamento de portas tem de ser configurado à parte.

Um roteador com o nosso firmware pode funcionar como roteador principal ou ficar atrás de um assim. Para o arranjo usado para os pais e a TV, veja VPN para a TV e para os avós em casa.

Quanto mais flash e RAM o roteador tiver, mais folga sobra depois de instalar os componentes da VPN e mais fáceis ficam as atualizações; modelos com só 16 MB de flash deixam pouco espaço, e o nosso firmware não os suporta. Se um modelo específico aceita o nosso firmware, quem responde é a lista de compatibilidade na página do roteador.

• Memória flash: onde ficam o sistema e os pacotes. Com pouca, um firmware mais novo não cabe, muito menos recursos extras.
• RAM: as listas do roteamento inteligente e o controle de conexões ficam na memória. Com pouca, o roteador engasga ou reinicia quando há aparelhos suficientes conectados.
• Processador: é ele que faz a criptografia. Quanto mais rápida a banda larga e mais aparelhos usando ao mesmo tempo, mais ele pesa. Quando a velocidade da rota não sobe de jeito nenhum, o limite muitas vezes está aqui, e não na internet.
• Revisão de hardware: um mesmo nome de modelo muitas vezes cobre v1, v2 e assim por diante, com chips e flash diferentes por dentro, e o firmware de um não serve no outro. Leia a etiqueta embaixo do aparelho, e confira com cuidado redobrado ao comprar usado.
• Portas e Wi‑Fi: para internet acima de 1 giga, procure uma porta de 2.5G. Um mini PC normalmente não tem Wi‑Fi e precisa de um ponto de acesso separado.
• Os modems-roteadores fornecidos pela operadora geralmente não podem ser regravados. Coloque um segundo roteador atrás deles.

Para o que o firmware faz depois de instalado, veja O que o firmware do roteador faz. Para o que um bom roteamento inteligente precisa entregar, veja Como funciona o roteamento inteligente num roteador VPN.

• Montar você mesmo: comprar o hardware, instalar o sistema, instalar os complementos, inserir a configuração da rota, escrever as regras de roteamento inteligente e, daí em diante, cuidar de atualizações e falhas. Dá a maior liberdade, e a mesma caixa ainda pode rodar bloqueio de anúncios, downloads e outros serviços. Só que todo problema também é seu.
• Firmware sob medida: a conexão e o roteamento inteligente já vêm na imagem. Aqui, isso significa gerar o firmware on-line para o seu modelo — são mais de 600 modelos OpenWrt suportados — ou comprar um aparelho com ele já instalado. Os componentes de conexão e as listas de roteamento se atualizam sozinhos, sem regravar.
• Os dois caminhos não diferem no hardware. A diferença está em quem configura, quem mantém e a quem você recorre quando algo quebra.

• Você quer a casa toda coberta e nenhuma manutenção: compre um roteador com o firmware instalado. Para escolher o modelo, veja Como escolher um roteador VPN.
• Você já tem um roteador compatível com OpenWrt: grave o nosso firmware você mesmo, seguindo Como gravar o firmware do roteador.
• Você gosta de mexer e quer outros serviços na mesma caixa: monte um soft router e importe um perfil OpenVPN para a rota. Veja Como usar o OpenVPN e quando escolher.
• Para os pais, uma TV ou um aparelho de streaming: um roteador pronto atrás da rede existente. Veja VPN para a TV e para os avós em casa.
• Quarto alugado ou alojamento onde não dá para mexer no roteador principal: um roteador portátil atrás dele, como segundo roteador.
• Um ou dois celulares e notebooks: não precisa de roteador; um cliente é mais leve. Veja Qual forma de conexão usar em cada situação.