OpenWrt如何通过浏览器访问终端？

Question

如何在OpenWrt中启用并配置Web终端（如ttyd），以便通过浏览器安全访问系统命令行？常见问题包括服务无法启动、页面显示空白或连接超时，可能由权限配置错误、防火墙规则限制或SSL设置不当引起。需确保ttyd正确安装、开机自启，并开放对应端口，同时避免与LuCI冲突。

Answer 1

如何在OpenWrt中启用并配置Web终端（如ttyd）以便通过浏览器安全访问系统命令行？

1. 背景与核心价值

在嵌入式网络设备管理中，OpenWrt因其高度可定制性被广泛用于路由器、网关等场景。然而，并非所有环境都支持SSH客户端直接接入，尤其在受限网络或移动设备上。此时，通过浏览器访问命令行的Web终端（如 ttyd）成为一种高效补充手段。

ttyd 是一个基于 WebSocket 的轻量级工具，能将 Linux 终端会话封装为 Web 服务，用户可通过浏览器实时交互执行 shell 命令，极大提升远程运维效率。

其主要优势包括：

• 无需安装额外客户端
• 跨平台兼容性强
• 支持多用户并发连接（需权限控制）
• 集成简单，资源占用低

2. 安装 ttyd 到 OpenWrt 系统

首先确认你的 OpenWrt 固件源已正确配置，并具备网络连接能力。

1. 更新软件包列表：
   opkg update
2. 安装 ttyd：
   opkg install ttyd
3. 验证是否安装成功：
   which ttyd 应返回 /usr/bin/ttyd
4. 检查依赖项是否完整：
   opkg list-installed | grep libwebsockets

注意：部分旧版 OpenWrt 镜像可能缺少 libwebsockets 支持库，需手动安装：

opkg install libwebsockets

3. 启动与基础运行测试

在正式配置前，先进行本地测试以排除运行时错误。

命令	说明
ttyd -p 7681 /bin/sh	启动 ttyd 服务，监听 7681 端口，使用 sh shell
ps | grep ttyd	查看进程是否存在
netstat -tuln | grep 7681	确认端口已监听

打开浏览器访问 http://<openwrt-ip>:7681，应能看到终端界面。若页面空白或超时，请进入下一节排查。

4. 常见问题分析与解决方案

以下是部署过程中常见故障及其根因与修复路径：

问题1：服务无法启动

原因可能是缺少动态库或权限不足。执行 ldd /usr/bin/ttyd 检查依赖完整性；确保运行用户有执行权限。

问题2：页面显示空白

通常由 WebSocket 协议未正确建立导致。检查浏览器控制台是否有 WebSocket connection failed 错误，确认防火墙未阻断 7681 端口。

问题3：连接超时

可能是 NAT 或防火墙限制。需在 OpenWrt 的 UCI 防火墙规则中显式放行目标端口。

问题4：SSL 设置不当引发安全警告

建议启用 HTTPS，使用 Let's Encrypt 证书或自签名证书配合 Nginx 反向代理增强安全性。

问题5：与 LuCI 冲突

LuCI 默认使用 80/443 端口，若 ttyd 也绑定相同端口会导致冲突。应避免共用端口，推荐使用非标准端口如 7681 或 8080。

5. 配置开机自启与系统集成

为确保 ttyd 在重启后自动运行，需创建 init 脚本或使用 UCI 配置方式注册服务。

# 创建 systemd 兼容服务脚本（适用于支持 procd 的 OpenWrt）
cat > /etc/init.d/ttyd << 'EOF'
#!/bin/sh /etc/rc.common

START=99
USE_PROCD=1

start_service() {
    procd_open_instance
    procd_set_param command /usr/bin/ttyd -p 7681 -a -c admin:password123 /bin/ash
    procd_set_param respawn
    procd_close_instance
}

service_triggers() {
    procd_add_reload_trigger "ttyd"
}
EOF

# 设置可执行权限并启用开机启动
chmod +x /etc/init.d/ttyd
/etc/init.d/ttyd enable
/etc/init.d/ttyd start

6. 防火墙与端口开放配置

必须通过 UCI 防火墙模块允许外部访问指定端口。

vi /etc/config/firewall 添加如下规则：

config rule
        option name 'Allow-TTYD'
        option src 'wan'
        option proto 'tcp'
        option dest_port '7681'
        option target 'ACCEPT'
        option family 'ipv4'

然后重启防火墙：

/etc/init.d/firewall restart

7. 安全加固建议

暴露 Web 终端存在风险，必须采取以下措施降低攻击面：

• 启用身份认证：-c username:password
• 限制访问来源 IP（通过 firewall 规则）
• 结合 SSL/TLS 加密通信（推荐使用 Nginx + Let's Encrypt）
• 禁用 root 登录或限制 shell 权限
• 定期审计日志：/var/log/ttyd.log

8. 架构整合流程图（Mermaid）

graph TD
    A[用户浏览器] -->|HTTP/WebSocket| B(Nginx 反向代理)
    B -->|SSL Termination| C[ttyd 服务]
    C --> D[/bin/ash 或 /bin/sh]
    E[OpenWrt Firewall] -->|放行 443/7681| B
    F[LuCI Web UI] -->|独立端口 80/443 分流| B
    G[System Init] -->|procd 管理| C
    H[认证模块] -->|Basic Auth| C

9. 进阶配置：Nginx 反向代理 + HTTPS

为实现统一入口和加密传输，建议将 ttyd 部署在内网端口（如 7681），并通过 Nginx 提供 HTTPS 接入。

server {
    listen 443 ssl;
    server_name terminal.yourdomain.com;

    ssl_certificate /etc/nginx/certs/fullchain.pem;
    ssl_certificate_key /etc/nginx/certs/privkey.pem;

    location / {
        proxy_pass http://127.0.0.1:7681;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_set_header Host $host;
    }
}

此方案可有效避免端口暴露、提升 TLS 安全性，并便于与 LuCI 共存于同一域名下通过路径分流。