追求绝对自由：极简路由器固件 libreCMC 深度解析
-
追求绝对自由：极简路由器固件 libreCMC 深度解析
目录- 一、 什么是 libreCMC
- 🔍 深入理解：什么是 GNU FSDG
- 🔍 核心技术：Linux-libre 内核
- 二、 为什么它是"最极简"的
- 📊 与 OpenWrt 的关键差异对比
- 三、 它的核心优势
- 🔐 隐私与安全
- ♻️ 硬件重生
- 🏛️ 数字主权
- 四、局限性：自由的代价
- ⚠️ 硬件支持极其有限
- 🔗 为什么 Atheros 如此特殊？—— ath9k 的故事
- 📶 无线性能限制
- 🖥️ 使用门槛较高
- 五、 版本演进与当前状态
- 📅 版本历史时间线
- 🔧 获取与安装方式
- 六、 谁适合使用 libreCMC？
- 七、 推荐硬件
- 🏆 首选推荐：ThinkPenguin 品牌路由器
- ✅ 其他兼容设备
- 八、实践建议与使用场景
- 场景一：🔒 安全 VPN 网关
- 场景二：📡 自由软件 Mesh 网络
- 场景三：🎓 网络协议教学实验平台
- 九、 libreCMC 的项目生态与参与方式
- 十、小结
在开源路由器固件的领域，如果说 OpenWrt 是灵活多变的"瑞士军刀"，那么 libreCMC 就是一把追求纯粹、毫无杂质的"手术刀"。它是为那些对隐私、安全和自由有近乎苛刻要求的用户而生的。
一、 什么是 libreCMC
libreCMC 是一个基于 OpenWrt 的派生发行版，但它有一个核心原则：100% 自由软件。
它被列入 自由软件基金会 (FSF) 认可的完全自由 GNU/Linux 发行版名单中。这意味着该固件中不包含任何闭源的二进制驱动 (Binary Blobs)、非自由软件或加密限制。
📌 名称溯源：libreCMC 中的 "CMC" 是 "Concurrent Machine Cluster"（并发机器集群）的缩写。这一命名暗示了项目最初不仅仅着眼于路由器，还希望能够服务于小型嵌入式集群计算场景。而 "libre" 在西班牙语和法语中意为"自由"，鲜明地表达了项目对软件自由的核心追求。
📌 项目定位：准确地说，libreCMC 目前已经是 OpenWrt 的一个硬分叉（hard fork），而非简单的下游衍生版。这意味着它拥有独立的代码仓库和开发路线，虽然在架构上沿袭了 OpenWrt 的构建系统，但在内核选择、软件包策略、代码审查流程上都执行着远比 OpenWrt 更为严苛的自由软件标准。
🔍 深入理解：什么是 GNU FSDG
要理解 libreCMC 的独特地位，必须先理解它所遵循的标准——GNU 自由系统发行版准则（GNU Free System Distribution Guidelines，简称 GNU FSDG）。这是由 GNU 项目维护的一套严格准则，用于判定一个可安装的系统发行版是否完全"自由"（libre）。
GNU FSDG 的核心要求包括：
- 🔹 所有软件必须自由 — 发行版中包含的所有"实用性信息"（软件、文档、字体等）都必须在自由许可证下提供源代码
- 🔹 不得推荐非自由软件 — 系统不能引导用户安装任何专有软件
- 🔹 不得包含非自由固件（Blobs） — 这是最关键也最难满足的一条。现代 GNU/Linux 系统中，
/lib/firmware/目录下往往包含约 3000 个二进制固件文件，用于驱动各类硬件。一个符合 FSDG 的发行版必须彻底清除所有这些专有固件 - 🔹 可自行构建 — 系统必须能够用自身提供的工具进行开发和构建（小型嵌入式系统可豁免此条，但必须能在另一个自由的完整系统上被构建）
- 🔹 善意努力 — 开发者需承诺尽最大善意排除非自由代码，并在发现后及时移除
截至 2025 年，全球仅有约八个 GNU/Linux 发行版获得 FSF 认可为完全自由，libreCMC 即是其中之一，也是其中唯一专注于嵌入式/路由器领域的发行版。其他知名成员包括 Trisquel、Parabola、PureOS、GNU Guix System 等。
🔍 核心技术：Linux-libre 内核
libreCMC 使用的不是标准的 Linux 内核，而是 Linux-libre 内核。这是理解其"100% 自由"承诺的关键技术细节。
Linux-libre 由自由软件基金会拉丁美洲分部（FSFLA）维护，核心维护者为 Alexandre Oliva。它基于上游 Linux 内核，通过一套自动化脚本系统性地移除以下内容：
- 🔹 二进制固件文件（Binary Blobs） — 硬件厂商提供的闭源固件
- 🔹 混淆代码（Obfuscated Code） — 虽以源代码形式存在但无法被人类有效审计的代码
- 🔹 专有许可证下的代码片段 — 任何不符合自由软件定义的代码
为什么标准 Linux 内核不够"自由"？
Linux 内核在 1992 年以 GPLv2 重新授权时，原本是完全自由的。但自约 1996 年起，内核开始接纳固件二进制文件。截至目前，一个典型的现代 GNU/Linux 安装中
/lib/firmware/目录可能包含约 3000 个二进制 Blob。这些 Blob 的不透明特性引发了严重的安全和可靠性担忧——第三方开发者无法审计其源代码，也就无从知晓其中是否包含后门、间谍功能或其他未披露的行为。使用 Linux-libre 内核的代价是显而易见的：如果你在普通电脑上用 Linux-libre 替换标准内核，音频、加速图形、WiFi、蓝牙以及大量 USB 设备可能会部分或完全失去功能。但在 libreCMC 的嵌入式路由器场景中，由于目标硬件被精心筛选（主要使用拥有开源驱动的 Atheros 芯片），这个代价被控制在了可接受的范围内。
二、 为什么它是"最极简"的
libreCMC 的极简不是刻意为之的"减法美学"，而是其自由软件哲学的必然结果——当你把所有不自由的东西都拿掉之后，剩下的自然就是最精炼的内核。
- 🧹 剔除所有非自由代码 — 相比 OpenWrt，libreCMC 删除了所有可能包含闭源风险的代码，包括但不限于：专有无线驱动、闭源固件加载器、含有混淆代码的模块、以及任何依赖非自由工具链才能构建的组件。这使得它的内核极其精炼
- 🎯 专注于基础 — 它的默认状态下非常纯净，只保留最核心的网络转发和安全功能。默认安装包含 LuCI Web 管理界面（基于 Lua 的轻量级 Web UI）、基础防火墙（iptables/nftables）、DHCP 服务器、DNS 转发器以及核心路由功能。没有花哨的流量统计仪表盘，没有一键翻墙插件，没有广告过滤预装——一切额外功能需要用户根据需求自行添加
- ⚡ 资源占用极低 — 由于去除了冗余驱动和复杂的图形化预装，它能在极低内存（如 64MB RAM / 8MB Flash
32MB 甚至更低）的老旧设备上流畅运行。需要注意的是，根据 libreCMC 官方文档，当前版本（v6.x 系列）已将最低硬件要求提升至 8MB Flash 和 64MB RAM。低于此规格的设备（如某些仅有 4MB Flash 的古董路由器）已被归入"遗留/不受支持"类别
📊 与 OpenWrt 的关键差异对比
特性 libreCMC OpenWrt FSF 认可 ✅ 是（2014 年 9 月获认可） ❌ 否 二进制 Blob 完全清除 包含部分闭源固件 内核 Linux-libre 标准 Linux WiFi 5 (802.11ac) 支持 ❌ 不支持 ✅ 支持 WiFi 6/7 支持 ❌ 不支持 ✅ 支持 软件包生态 较小，严格审核 ~8,000+ 可选软件包 社区规模 较小但专注 非常庞大 GNU FSDG 合规 ✅ 是 ❌ 否 目标用户 自由软件倡导者 / 安全敏感用户 通用技术用户 FSF 自身也是 libreCMC 的用户——2015 年，早期的 LibreWRT 项目被合并进 libreCMC，此后自由软件基金会的内部 WiFi 网络就一直运行在 libreCMC 之上。这或许是对其可靠性最有说服力的背书。
三、 它的核心优势
🔐 隐私与安全
没有闭源驱动意味着没有"黑盒"。你代码中的每一行都是透明的，彻底杜绝了厂商预留后门的可能。
这不是理论上的担忧。历史上已有多起嵌入式设备固件中暗藏后门的案例——从路由器厂商预留的远程管理接口，到芯片组固件中被发现的未记录功能。当固件是闭源的，用户对自己设备上运行的代码一无所知。libreCMC 通过消除所有不可审计的代码，从根本上解决了这一信任问题。
补充说明：二进制 Blob 的安全风险不仅仅是"可能包含后门"这么简单。由于第三方无法审计 Blob 的源代码，即使 Blob 中存在严重的安全漏洞，开源社区也无法自行修复——只能等待（或祈求）硬件厂商发布更新。而许多厂商在产品停产后就不再提供固件更新，导致大量设备永远暴露在已知漏洞中。
♻️ 硬件重生
它是许多"古董级"路由器（如著名的 Linksys WRT54G 系列）最后的避风港，能让这些老设备在现代网络环境下依然发挥余热。
更重要的是，libreCMC 让这些老设备在"发挥余热"的同时，还能保持安全更新。当原厂早已停止支持、OpenWrt 也因为设备资源不足而放弃支持时，libreCMC 精简到极致的固件体积可能仍然能够塞进这些设备的有限闪存中。这是对电子废弃物问题的一种务实回应——延长硬件寿命，就是最好的环保。
🏛️ 数字主权
你对硬件拥有绝对的控制权，不受任何商业公司的策略限制。
在 libreCMC 的语境下，"数字主权"不是一个空洞的口号。它体现在以下具体层面：
- 🔹 启动加载器自由 — libreCMC 搭配自由的 U-Boot 引导程序（ThinkPenguin 设备上使用的是由 libreCMC 维护者 Robert Call 定制的版本），确保从开机的第一条指令起，你的设备就运行在完全自由的软件栈上
- 🔹 无远程杀死开关 — 没有厂商能通过 OTA 更新远程禁用你的设备功能
- 🔹 完全可修改 — 你可以审计、修改、重新编译固件的任何部分，且不会违反任何许可证条款
- 🔹 无遥测与数据回传 — 不会有任何使用数据被发送回厂商服务器
四、局限性：自由的代价
追求 100% 自由意味着巨大的技术挑战：
⚠️ 硬件支持极其有限
由于现代大多数 WiFi 6/7 芯片（博通、高通等）都依赖闭源驱动，libreCMC 无法支持这些设备。它主要支持较旧的 Atheros (高通阿瑟罗) 芯片，因为这些芯片拥有高质量的开源驱动。
更具体地说，libreCMC 目前不支持 802.11ac (WiFi 5) 及以上标准——这意味着它的无线网络最高只能达到 802.11n (WiFi 4) 的速率水平。这是因为从 802.11ac 时代开始，几乎所有主流芯片厂商（Broadcom、Qualcomm、MediaTek、Intel）都转向了闭源驱动模式，开源社区已无法获得完整的驱动源代码。
这一局限正是 libreCMC 硬件支持列表如此短小的根本原因——不是技术能力不足，而是愿意提供完全开源驱动的芯片在市场上几乎灭绝了。
🔗 为什么 Atheros 如此特殊？—— ath9k 的故事
理解 libreCMC 为什么偏爱 Atheros 芯片，需要了解一段开源无线驱动的重要历史。
2008 年，Atheros Communications 做出了一个在无线芯片行业中几乎史无前例的决定：发布了完全自由的无线驱动程序 ath9k。这款驱动不需要任何专有的二进制 Blob，也不需要从用户空间加载任何固件。此前，Atheros 聘用了自由软件无线驱动社区的两位重要开发者 Luis Rodriguez 和 Jouni Malinen，并开放了其硬件抽象层（HAL）的源代码——这曾经是 MadWifi 驱动中唯一的专有闭源组件。
更进一步地，Qualcomm Atheros 后来还开源了 AR9271 和 AR7010 802.11n USB WiFi 芯片的固件源代码，采用 GPLv2 与 MIT 双许可证发布。这使得 ath9k 成为 Linux 生态系统中最为完整的全开源无线驱动栈之一。
自由软件基金会对此高度评价，时任 FSF 执行董事 Peter Brown 表示："Atheros 对无线驱动的增强支持，是朝着我们'一台只运行自由软件的笔记本电脑'这一愿景迈出的重大一步。"
正是 Atheros 这一独特的开源传统，使得基于 ath9k 驱动的芯片成为 libreCMC 能够支持的为数不多的无线芯片选择。遗憾的是，随着 Qualcomm 完成对 Atheros 的收购，以及无线技术向 802.11ac/ax/be 演进，这种开放精神并未在后续产品线中得到延续。
📶 无线性能限制
在某些设备上，由于无法使用厂商优化的闭源固件，无线信号强度或速率可能略逊于原厂系统。
实际影响举例：
- 🔹 最高无线标准为 802.11n (WiFi 4)，理论最大速率约 300Mbps（2T2R 配置），实际吞吐量通常在 80-150Mbps 之间
- 🔹 仅支持 2.4GHz 频段（多数 libreCMC 兼容设备不具备 5GHz 支持）
- 🔹 某些高级无线功能（如波束成形、MU-MIMO）由于依赖闭源固件优化而不可用
不过，对于 libreCMC 的目标场景——安全优先的网关/VPN 路由器——这些无线性能限制往往并不构成实质性障碍。许多用户会将 libreCMC 设备仅用作有线路由/VPN 网关，然后接一个单独的（可能运行 OpenWrt 的）无线 AP 来提供 WiFi 覆盖。
🖥️ 使用门槛较高
如果你习惯了图形化的一键设置，libreCMC 朴素的界面（或纯命令行操作）可能会让你感到挑战。
补充说明：虽然 libreCMC 默认包含 LuCI Web 界面（与 OpenWrt 相同），可以通过浏览器进行基础配置，但由于软件包仓库规模有限，很多在 OpenWrt 上一键安装的插件在 libreCMC 上可能需要手动编译。此外，社区规模较小意味着遇到问题时，可供参考的中文教程和论坛讨论也相对稀少，用户往往需要具备阅读英文文档和独立排错的能力。
五、 版本演进与当前状态
了解 libreCMC 的版本历史，有助于把握项目的发展脉络和当前活跃度。
📅 版本历史时间线
版本系列 基于 OpenWrt 时间跨度 状态 v1.0 - v1.4 OpenWrt 早期版本 2014 - 2018 🔴 已停止维护 v1.5.x (LTS) OpenWrt 19.07 2019 - 2023 🟡 长期支持（最后标记：v1.5.15-20231231） v6.0 新架构分支 2024 年 1 月 🟢 已发布 v6.1 — 2024 年 7 月 - 8 月 🟢 已发布（多个快照版本） v6.2 — 2024 年 12 月 🟢 已发布（v6.2-20241226） v6.3 — 2025 年 3 月 🟢 最新版本（v6.3-20250323） 📌 值得注意的是，从 v6.0 开始，libreCMC 的版本号出现了跳跃——直接从 v1.5 跃升至 v6.0。这反映了底层架构的重大变更。自 2020 年起，libreCMC 不再使用代号命名版本。
📌 项目仍然保持活跃更新。截至 2025 年 3 月，官方 Gogs 代码仓库已有 64 个标签和 3 个正式发布版本，最新的 v6.3-20250323 标签表明开发工作持续进行中。
🔧 获取与安装方式
libreCMC 提供三种主要获取途径：
- 📦 预装设备购买 — 最简单的方式。ThinkPenguin 出售的路由器（如 TPE-R1300、TPE-R1400）出厂即预装 libreCMC，开箱即用
- 💾 下载预编译固件 — 从 librecmc.org 官方网站下载适合你设备的固件镜像，然后通过以下方式刷入：
- ✅ Web UI 刷写 — 部分设备可直接通过原厂固件的 Web 管理界面上传刷写（最简单）
- ✅ TFTP 刷写 — 通过 TFTP 协议在启动阶段传输固件（中等难度）
- ✅ 硬件拆机刷写 — 需要打开路由器外壳，通过串口（Serial）或 SPI 编程器直接写入（最高难度，用于没有其他选择的设备）
- 🛠️ 从源代码自行编译 — 最灵活但也最复杂的方式。适合需要定制化固件的高级用户。构建流程类似 OpenWrt：
- 获取源码 → 更新 feeds → 配置目标设备和软件包 → 编译 → 刷写
六、 谁适合使用 libreCMC？
- 🛡️ 安全敏感型用户 — 如记者、隐私倡导者或处理机密数据的技术人员。特别是在高风险环境中工作的人员——调查记者、人权工作者、安全研究员等——对他们来说，网络基础设施中的每一个闭源组件都是一个潜在的攻击面
- 🧹 极简主义者 — 厌恶任何商业捆绑和臃肿功能的系统洁癖患者。如果你的理念是"我的路由器只需要做好路由这一件事"，libreCMC 是最纯粹的选择
- 📚 教育与研究者 — 想要深入学习网络协议和 Linux 内核的开发者。由于代码完全透明且规模精简，libreCMC 是研究嵌入式 Linux 网络栈的绝佳教学平台——你可以追踪一个数据包从进入设备到转发出去的每一步，而不会在某个闭源模块处遇到"黑箱"
- 🏛️ 自由软件运动实践者 — 如果你认同 Richard Stallman 和自由软件基金会的理念，希望在网络基础设施层面也贯彻"四项基本自由"（运行、研究、再分发、修改），libreCMC 是路由器领域唯一经 FSF 认可的选择
- 🏢 对合规有严格要求的组织 — 某些政府机构、军事部门或对供应链安全有极高要求的企业，可能需要确保网络设备上运行的每一行代码都可审计。libreCMC 的全透明代码库满足了这一需求
七、 推荐硬件
如果你想体验 libreCMC，以下设备是最佳切入点：
🏆 首选推荐：ThinkPenguin 品牌路由器
ThinkPenguin 是一家专注于自由软件兼容硬件的公司，是 libreCMC 生态系统中最重要的硬件合作伙伴。其路由器产品不仅预装 libreCMC，还通过了 FSF 的"尊重你的自由"（Respects Your Freedom，简称 RYF）认证——这是 FSF 对硬件产品的最高自由度认可。
型号 SoC RAM Flash 以太网 WiFi RYF 认证时间 参考价格 TPE-R1400 ⭐ Rockchip RK3328 1GB — 2× 千兆 可选配件 2023 年 4 月 ~$99 USD TPE-R1300 QCA9531 (650MHz) 128MB 16MB NOR + 128MB NAND 2× 百兆 802.11b/g/n 2.4GHz 2021 年 4 月 ~$66 USD TPE-R1200 — — — — 802.11b/g/n 2019 年 9 月 已停产 TPE-R1100 — — — — 802.11b/g/n 2016 年 3 月 已停产 📌 特别推荐 TPE-R1400：这是目前 libreCMC 阵营中硬件规格最高的设备，配备 1GB RAM 和千兆以太网口，非常适合作为 VPN 网关使用。WiFi 作为可选配件提供，如果你只将其用作有线路由/VPN 网关，可以节省这部分开支。
📌 所有 ThinkPenguin 路由器均搭载由 libreCMC 维护者 Robert Call（前 FSF 实习生）定制的自由 U-Boot 引导程序，确保从启动到运行的完整软件栈都是自由的。
✅ 其他兼容设备
根据 libreCMC 官方支持硬件列表（2025 年 1 月更新），以下设备也获得官方支持：
- 🔹 Netgear：WNDR3800（双频 Atheros 方案）
- 🔹 Buffalo：WZR-HP-G300NH
- 🔹 GL.iNet：GL-AR300M（便携式迷你路由器，适合旅行使用）
- 🔹 D-Link：DGL-5500 A1 — 需注意：此设备出厂自带非自由 WiFi 网卡，但它提供了 mini-PCI-e 插槽，用户可以自行更换为使用 ath9k 驱动的自由网卡
- 🔹 Qi-Hardware：Ben NanoNote（超小型开源硬件掌上电脑，非路由器用途）
⚠️ 刷机提示：不同设备的安装难度差异很大。刷机前请务必查阅官方支持硬件页面确认你的设备具体型号和版本号——同一型号不同硬件版本的兼容性可能完全不同。
八、实践建议与使用场景
📌 以下是几个 libreCMC 最典型的实际部署场景：
场景一：🔒 安全 VPN 网关
将 libreCMC 路由器（推荐 TPE-R1400）配置为 VPN 客户端网关。所有通过它的流量都经过 VPN 加密隧道，实现透明代理。后端接一个普通 WiFi AP 提供无线覆盖。这样既保证了网关层的代码完全可审计，又不牺牲无线性能。
场景二：📡 自由软件 Mesh 网络
使用多台 TPE-R1300 组建 CJDNS 或 Batman-adv Mesh 网络。ThinkPenguin 官方提供了详细的 Mesh 网络组建指南。这种方案适合社区网络、临时灾害通信等场景。
场景三：🎓 网络协议教学实验平台
利用 libreCMC 代码完全透明的特性，搭建网络课程的实验环境。学生可以追踪数据包在路由器内核中的完整处理流程，修改路由算法、防火墙规则，甚至定制 Linux-libre 内核——这一切都不会遇到闭源"黑箱"。
九、 libreCMC 的项目生态与参与方式
📌 作为一个小众但有影响力的自由软件项目，libreCMC 的生态值得了解：
- 🔹 核心维护者：Robert Call — 前 FSF 实习生，libreCMC 的创始人和主要维护者，同时也是 ThinkPenguin 路由器上自由 U-Boot 固件的作者
- 🔹 代码托管： 项目使用自托管的 Gogs 实例（gogs.librecmc.org），而非 GitHub——这本身就是践行自由软件理念的体现（Gogs 是自由软件，GitHub 不是）
- 🔹 许可证： GPLv2（与 Linux 内核一致），同时包含来自其他自由软件项目的代码
- 🔹 参与贡献： 可以通过提交补丁、测试新设备支持、完善文档、翻译等方式参与项目
十、小结
libreCMC 不是为了普罗大众设计的，它是开源精神在路由器领域的"麦田守望者"。如果你厌倦了商业固件的复杂与隐患，想找回那种"我的设备我做主"的掌控感，libreCMC 是你唯一的终点。
但也请务必理性看待：libreCMC 的意义更多在于"证明这是可能的"——在路由器这个闭源固件横行的领域，证明一个 100% 自由的替代方案确实存在并可用。它或许不适合作为你家里唯一的路由器（除非你愿意接受 WiFi 4 的速率），但它值得每一个关心数字自由的人了解、尊重，甚至在合适的场景中部署。
在一个越来越多的硬件变成"黑盒"的时代，libreCMC 提醒着我们：真正的自由，是从你网络中的第一个字节开始的。
📖 参考资源
-
0 回复
歡迎留言回复交流。
Log in to reply.