На основном канале обновлений Keenetic в сентябре вышли две версии: KeeneticOS 5.1.5 — 8 сентября и 5.1.6 — 24 сентября. Новых функций в них нет, обе про безопасность и исправления, и заметная часть касается того, что на роутере связано с туннелями и DNS.
Что в 5.1.5. Обновлён пакет strongSwan — на нём в KeeneticOS работает IPsec, — и вместе с ним закрыто семь уязвимостей с номерами CVE. Реализация IPsec доработана так, чтобы служба корректно перезапускалась. В приложение «OpenConnect VPN-сервер» добавлена проверка размера файлов cookie: по формулировке разработчиков, она предотвращает перезапись памяти и перезапуск процесса неавторизованными пользователями. Обновлена и библиотека GnuTLS, с ней ушло ещё одиннадцать уязвимостей.
Из исправлений в той же версии — работа правил маршрутизации, когда доступ к удалённым подсетям идёт через шлюз в локальной сети.
Что в 5.1.6. Библиотека OpenSSL обновлена до 3.5.8, утилита curl — до 8.22.0; в сумме это десять закрытых уязвимостей. Исправлена работа защищённых DNS-серверов по протоколу DNS-over-HTTPS в сетях IPv6 — сама поддержка адресов IPv6 для DoH и DoT появилась в ветке 5.1. Отдельной строкой исправлена обработка части запросов функции Ping Check.
Кого это касается. В первую очередь тех, у кого на роутере поднят VPN-сервер для доступа к домашней сети извне — по IPsec, включая IKEv2, или OpenConnect: исправления именно в этих компонентах, и сервер, открытый в интернет, стоит обновлять без задержки. Исходящее подключение WireGuard к внешнему сервису эти версии напрямую не меняют.
Исправление DoH касается тех, у кого провайдер выдаёт IPv6, а на роутере настроен защищённый DNS. Что именно работало неверно, в заметках не сказано, поэтому после обновления стоит убедиться, что запросы к именам действительно идут туда, куда вы их направили: как это проверяется и почему IPv6 — отдельный источник утечек.
Что сделать. Обновление ставится из веб-конфигуратора; если включена автоматическая установка, оно придёт само. По описанию производителя, небольшие обновления выходят на основном канале раз в две-три недели, так что догонять приходится нечасто. После перезагрузки проверьте, что туннель поднялся: если нет, а вручную включается сразу — это узнаваемая история про порядок запуска, а не поломка от обновления.
Как на Keenetic настраивается подключение к внешнему VPN-сервису — на странице VPN на Keenetic.