OpenWrt 25.12: безопасное обновление с 24.10

OpenWrt 25.12 — не обычное накопительное обновление. В этой ветке пакетный менеджер opkg заменён на apk, а Attended Sysupgrade включён в стандартные образы. Поэтому обновляться лучше не по привычке «залил файл и подождал», а по короткому проверяемому плану.

Ниже — порядок перехода с 24.10 на 25.12. Он рассчитан на официальный OpenWrt и не переносится автоматически на сборки производителя. Если на роутере стоит Routerich, GL.iNet, ImmortalWrt или другая производная, сначала проверьте инструкцию именно для этой прошивки.

Сначала выясните точную модель и текущую версию

Откройте LuCI и перейдите в «Состояние → Обзор». Запишите модель устройства, архитектуру, версию OpenWrt и объём свободного места. В SSH те же данные можно получить командами:

ubus call system board
cat /etc/openwrt_release
df -h /overlay

Название на корпусе недостаточно. У одного роутера бывают аппаратные ревизии с разными чипами и разметкой flash. Образ от похожей модели может пройти загрузку в интерфейс, но это не делает его совместимым.

Найдите устройство в официальной Table of Hardware и в Firmware Selector. Нужна поддержка именно текущей веткой 25.12 и точное совпадение ревизии. Если файл для модели отсутствует, не используйте образ от соседней ревизии и не снимайте проверку совместимости принудительно.

Если вы только выбираете железо, пригодится материал про роутеры с OpenWrt из коробки. Для уже установленного устройства главным источником остаётся страница его модели в базе OpenWrt.

Что меняется в OpenWrt 25.12

Переход с 24.10 на 25.12 официально предусмотрен для большинства поддерживаемых устройств. Прямой sysupgrade с 23.05 на 25.12 не считается поддерживаемым маршрутом. В таком случае сначала изучите примечания к релизу и предусмотрите чистую установку.

Сделайте две резервные копии

Первая копия — стандартный архив конфигурации. В LuCI откройте «Система → Резервная копия / Обновление прошивки» и скачайте архив. Через SSH:

sysupgrade -l
umask go=
sysupgrade -b /tmp/backup-$(hostname)-$(date +%F).tar.gz
ls -lh /tmp/backup-*.tar.gz

Скопируйте архив на компьютер и убедитесь, что он открывается. Хранить единственный бэкап в /tmp бессмысленно: этот каталог исчезнет при перезагрузке.

Вторая копия — список пакетов и собственных файлов. На 24.10 сохраните вывод:

opkg list-installed > /tmp/packages-24.10.txt
uci export network > /tmp/network.txt
uci export wireless > /tmp/wireless.txt
uci export firewall > /tmp/firewall.txt

Эти файлы нужны для сравнения, а не для слепого выполнения. Пакеты ядра и зависимости из 24.10 нельзя просто устанавливать поверх 25.12. Отдельно сохраните конфигурацию VPN, DNS-фильтра, Tailscale и других сервисов, если они лежат вне стандартных UCI-файлов.

Выберите способ обновления

Attended Sysupgrade в LuCI

Для обычной установки это самый удобный вариант. Модуль анализирует установленные пакеты и собирает совместимый образ. Перед запуском всё равно скачайте резервную копию и проверьте модель. Не закрывайте питание и не перезагружайте роутер, пока интерфейс явно не сообщил о завершении.

Обычный sysupgrade

Скачайте файл sysupgrade для точной модели и проверьте контрольную сумму по официальному файлу sha256sums. Сначала выполните только проверку:

sysupgrade -T /tmp/openwrt-25.12.x-DEVICE-squashfs-sysupgrade.bin

Если проверка успешна, можно запускать обновление с сохранением поддерживаемой конфигурации:

sysupgrade /tmp/openwrt-25.12.x-DEVICE-squashfs-sysupgrade.bin

Ключ -F принудительно отключает часть защитных проверок. Для обычного обновления он не нужен. Ошибка совместимости — повод остановиться и перепроверить образ, а не обходить предупреждение.

После перезагрузки не начинайте с установки пакетов

Подключитесь к роутеру по кабелю. Проверьте адрес LuCI, получение IP клиентом, доступ в интернет и DNS. Затем посмотрите журнал:

logread | tail -n 100
ip -br addr
ubus call system board

После этого проверьте Wi-Fi, VLAN, PPPoE, гостевую сеть и правила межсетевого экрана. Если используется раздельная маршрутизация, сравните поведение с инструкцией про VPN для выбранных сайтов и устройств. Один открывающийся сайт ещё не подтверждает, что все таблицы и метки маршрутизации восстановились.

Как пользоваться apk вместо opkg

Не запускайте массовый apk upgrade как аналог обновления обычного Linux-сервера. OpenWrt собирается как согласованный образ; безопасный способ перейти на новый набор системных пакетов — sysupgrade. Особенно опасны случайные обновления wpad, hostapd, модулей ядра и базовых библиотек.

Если после обновления нужен DNS-фильтр, не ставьте несколько решений одновременно. Сначала проверьте штатный dnsmasq, затем вернитесь к инструкции по AdGuard Home на OpenWrt.

Когда лучше выполнить чистую установку

• устройство переходило между несколькими неофициальными сборками;
• изменилась разметка flash или имена интерфейсов;
• в конфигурации накопились старые пакеты и ручные скрипты;
• страница устройства прямо требует обновление без сохранения настроек;
• после восстановления бэкапа появляются циклические ошибки сети.

Чистая установка требует больше времени, зато отделяет проблему новой версии от старой конфигурации. Подготовьте схему WAN/LAN, данные PPPoE, список VLAN, SSID и ключи заранее. Также проверьте способ восстановления: recovery-режим, TFTP, U-Boot или последовательную консоль.

Итоговая проверка

1. В ubus call system board указана ветка 25.12.
2. Клиенты получают адреса и правильный DNS.
3. WAN переподнимается после перезагрузки.
4. Оба диапазона Wi-Fi работают с ожидаемыми SSID.
5. VPN и отдельные таблицы маршрутизации проверены по нескольким назначениям.
6. В журнале нет повторяющихся ошибок драйвера, хранилища или firewall.

Отдельно проверьте сторонние пакеты

Самая частая проблема после перехода между ветками — не базовая сеть, а пакеты из чужих репозиториев. Перед обновлением выпишите нестандартные feeds и проверьте, существует ли сборка именно для 25.12 и архитектуры вашего устройства. Репозиторий для 24.10 нельзя оставлять «пока работает»: пакет может подтянуть несовместимую библиотеку или модуль ядра.

Особенно внимательно отнеситесь к VPN-клиентам, прокси, DNS-фильтрам, драйверам USB-модемов и пакетам с kmod-. Конфигурационный файл можно сохранить, но исполняемые файлы и модули должны быть собраны для новой ветки. После обновления сначала установите один сервис, проверьте журнал и только потом переходите к следующему.

Подготовьте план возврата

До sysupgrade найдите инструкцию восстановления для своей модели и сохраните её локально. Во время сбоя интернет может быть недоступен. Запишите заводской адрес роутера, способ входа в recovery, требуемое имя файла и статический адрес компьютера, если он нужен.

Не проверяйте recovery на основном роутере в рабочее время без запасного подключения. Но убедитесь хотя бы, что инструкция относится к вашей аппаратной ревизии и что заводской образ доступен. Для устройств с двумя разделами выясните, какой раздел активен и как переключение влияет на конфигурацию.

Что не переносит обычный бэкап

Архив sysupgrade сохраняет конфигурацию, но не является образом всего flash. Установленные пакеты, данные во временных каталогах и часть файлов вне списка сохранения исчезнут. Перед обновлением посмотрите вывод sysupgrade -l и добавляйте в /etc/sysupgrade.conf только те собственные файлы, смысл которых понятен.

Не включайте в бэкап каталоги с бинарниками старой версии и весь overlay целиком. Такой архив может вернуть несовместимые файлы и сделать диагностику сложнее. Для баз данных и сервисов используйте их собственный экспорт.

Хорошее обновление OpenWrt заканчивается не появлением новой цифры в LuCI, а повторяемой проверкой сети. Сначала совместимость и бэкап, затем sysupgrade, после — базовая связность и только потом дополнительные пакеты.