把 OpenWrt 刷进 ZTE ZXHN E2631：升级包格式、A/B 槽回退与 Wi-Fi 的全过程

7.1 拓扑#

PC 192.168.1.177，默认网关 192.168.1.1 —— 而 192.168.1.1 的 ARP 是 f8-73-1a-d3-ef-a8，就是盒子自己的 LAN MAC（铁证：它 br-lan 的链路本地地址 fe80::fa73:1aff:fed3:efa8 正是这个 MAC 的 EUI-64），家里路由器在 WAN 侧：

1
br-lan 192.168.1.1/24（成员 lan1 lan2 lan3）
2
wan    192.168.5.18/24  default via 192.168.5.1  dns 192.168.5.1
3
wan    inet6 2409:8a4c:...:fa73:1aff:fed3:efa9/128（动态，全球地址）

LAN 侧只有 ULA fdf7:c5eb:3647::/60 —— 上游没委派 PD，所以 LAN 客户端拿不到全球 IPv6。

NAT 是通的（ping 223.5.5.5 3/3、RTT 35 ms、nf_conntrack_count=159）。

7.2 软件路径的 ~300 Mbit/s 封顶（v1.2 时点，诊断仍成立）#

每流 209,715,200 B，从 PC 的 HTTP 服务拉，HZ=100：

原因全在驱动的卸载位上（ethtool -k lan1）：

1
rx-checksumming: off [fixed]
2
tx-checksum-ip-generic: off [fixed]
3
tx-scatter-gather: off [fixed]
4
tx-tcp-segmentation: off [fixed]
5
receive-hashing: off [fixed]

ethtool -l/-C 也不支持 ⇒ 单 RX 队列、无 RSS、无校验和/TSO/SG 卸载，每个包都要在一个核上走完 IP/TCP 处理。双核是活的，但 NET_RX 软中断计数是 14150 : 282 这种量级差。这段诊断到今天仍然成立——它描述的是CPU 软件转发路径的真实成本。

当时还有一条”改 uci 就能试”的候选：fw4 里没有 flowtable 对象、defaults 里没有 flow_offloading，而 /proc/modules 里 nft_flow_offload 等模块都已加载。这条在 v1.3 兑现了，见下节。

7.3 PPE 硬件流卸载打通（v1.3）#

真相是：平台驱动 zx279128s-ppe.c 一直带着完整的 PPE 硬件流卸载实现（分类器规则、流表、trap 全是真编程），缺的只是 nft flowtable 的用户态语句包和防火墙开关。v1.3 补上 kmod-nft-offload + flow_offloading=1（含 hw），硬件路径就通了。

验证用的是三重铁证（OPPO 商城 CDN、32 线程、真机实测）：

1
395 Mbps 持续下载
2
CPU 占用 7%
3
WAN 软件计数器纹丝不动

第三条最关键：PPE 直转的包不过 CPU 网络栈，/proc/net/dev 的 WAN 计数不动恰好证明流量真的在硬件里走。395M 是 CDN 给单 IP 的上限，不是路由器的——LAN↔WAN 千兆满载数字仍待一台不限速的服务端来测。

还有一条架构性边界：Wi-Fi 客户端的流被 PPE 拒绝（ppe_add_skip：入口必须是交换引擎自己的口），所以无线侧永远走 CPU 软路径、~200M 封顶——这是 mt76 开源栈与原厂私有引擎的架构差距，不是调参能解决的。原厂千兆 Wi-Fi 靠的是 IDM/NPP 直通，那些二进制模块绑死它私有的 4.1 内核，搬到 6.18 没有可能。

8.1 曾经卡住的两件事，现状#

① 冷启动后第一次固件下载，约 1/3 抽签 —— 这条仍然是 open。同一个镜像三个不同 boot 的手动 bind：up=251 挂、up=336 成、up=307 挂，与”绑得早晚”无关；成功那次从打完 WA 版本号到注册 led 只隔约 0.1 秒。v1.0～v1.2 的交付形态因此是射频默认不上（kmod-mt7915e 的 AutoProbe 被删掉）：把不确定性和”进不去系统”解耦，基线开机是确定性的。v1.3 换了策略——自启默认开，但带自保护：上次启动没完成就落一个 pending 标记，下次跳过自启，任何一次挂死只损失一次断电重上，不会把 ssh 关在门外。

② 客户端关联整机硬死 —— 这条在 v1.3 里未再复现。当时的形态很凶：心跳服务在 up=159.49 之后整条消失，aer= 一直是 0，没有 oops、没有 RCU stall，死的时候 sta=0（死在关联握手中）。v1.3 长时间日常使用（多客户端、双频）再没出现过。诚实地说没有做对照实验，不知道该归功给 country=CN、延迟绑定、PL310 I/O 读取保护（v1.3 合入）中的哪一个，还是它们的组合。

8.2 v1.3 的无线交付形态#

• 开机自启：START=95 + 延迟 25 s（时序方案来自社区贡献者 tigaotg 的交接 PR，在此致谢），真机验证双频自动广播、改 SSID/密码后重启保留配置。不想自启：touch /etc/e2631-wifi-noautoload。
• 首次开机的 SSID 从原厂 tag 分区读这台机器自己的出厂名（本机为 ChinaNet-ygckk9 / ChinaNet-ygckk9-5G，成对识别、自校验、不钉死字节偏移）。首刷版曾因 busybox tr 对字符类补集静默无效回退成 E2631——改成八进制区间 \40-\176 后真机复测通过。
• 首启开放网络、无密码，管理员密码同样留空由用户自己设——不再搞 MAC 派生密码那套。
• 5G 发射功率 20 → 23 dBm：mt76 默认 country 00 全频封 20dBm，两条配置路径都写 country=CN 后 5G 解锁。
• 校准数据一直从原厂 wifi 分区运行时读取（11-mt76-caldata 挂载 mtd JFFS2 抽 caldata 文件），无烘焙副本。

8.3 排障：手动拉起射频（两道闸门）#

镜像里有两道独立的闸门：驱动不自动加载（AutoProbe 被删）、以及 squashfs 里默认没有 /etc/config/wireless。所以”起驱动”和”发射”是两件事，排障时照这个顺序敲（已实测出 SSID）：

1
/sbin/e2631-wifi-on 0        # 门 1：stage caldata -> 关 autoprobe -> modprobe mt7915e -> 只 bind 14c3:7906
2
iw phy                       # 见到 Wiphy phy0/phy1 才算这一步成功
3

4
wifi config                  # 门 2：让 netifd 生成 /etc/config/wireless
5
for d in $(uci show wireless | sed -n 's/^\(wireless\.[^=]*\)=wifi-device$/\1/p'); do uci set $d.disabled=0; done
6
for s in $(uci show wireless | sed -n 's/^\(wireless\.[^=]*\)=wifi-iface$/\1/p'); do
7
    uci set $s.disabled=0; uci set $s.mode=ap; uci set $s.network=lan
8
    uci set $s.ssid=E2631; uci set $s.encryption=none
9
done
10
uci commit wireless
11
wifi down; sleep 1; wifi up; sleep 3
12
iw dev                       # 期望 phy1-ap0  type AP  ssid E2631  channel 36 (5180 MHz)

起来之后盒子侧和手机侧各看一眼：

三个只在真机上才暴露的细节，都写进脚本了：生成器写的是命名段 radio1/default_radio1 （不是匿名 @wifi-iface[n]），而且因为本机 board.json 没有 wlan.defaults，生成的接口带 disabled '1'； 启用必须 wifi down; wifi up，裸 wifi reload 会把接口拆掉不重建（症状是 iw dev 空，但 phy 和 固件都好着，极像”卡掉线”）；同一 phy 上再建第二个 band 的 radio 时，path 要用不带 +N 后缀的那条， 复制 5G 的 +1 会让两个 radio 抢同一条 phy（LuCI 显示”类型 unknown / 信道 0”，都不发射）。

另外，镜像里的 /sbin/e2631-fwstate（读 MT7916 的 FW_STATE 位）在这个内核下用不了： 它要 /dev/mem，而本内核没开 CONFIG_DEVMEM（报 fwstate: no /dev/mem）。看驱动状态请用 iw phy / dmesg / cat /proc/interrupts；免刷机的替代是下面那个探测模块。

8.4 被证伪的假设（都是拿真机烧出来的）#

8.5 不刷机就能读芯片寄存器的办法#

/dev/mem 这条路走不通：出厂内核 .config 里就是 # CONFIG_DEVMEM is not set，而 generic 与 target 两个片段都写着 CONFIG_DEVMEM=y，全树没有任何片段要求它是 n（drivers/char/Kconfig:311 只是 bool / default y）—— 请求是在 kconfig 解析阶段被丢掉的，原因未查清。busybox 也没编 devmem applet。

于是写了个探测模块（out/regprobe/，构建脚本 build/wsl/build-regprobe.sh）。两个关键细节：

读到的基线：上电后从未绑过驱动时 MMIO 读得动，MT_TOP_MISC=0x00000000、FW_STATE=0（INITIAL），第二个功能也是 0 ⇒ 卡死之前总线是活的，死的是”第一次下载”这个动作本身。

9.1 LED 灯控重写#

原守护脚本的 find_led 按”颜色结尾”匹配，而 LED 通道名是”颜色<功能>”格式（red:status、green:wan-online）——从第一天起就是空操作，灯语从来没真正执行过。修复成双向匹配后重写整套状态机：

• 开机 < 45 s：红灯慢闪（600 ms）；
• 有默认路由（联网）：绿灯常亮；
• 无默认路由：红灯常亮；
• 联网状态变化时红→绿自动切换（2 s 轮询默认路由）。

/etc/diag.sh 用 overlay 覆盖：启动段慢闪、done 态不再无条件点绿灯（把”是否在线”的语义留给状态机）。

9.2 时区与 NTP#

时区钉死 Asia/Shanghai（CST-8），NTP 源换国内（ntp.aliyun.com / cn.pool.ntp.org）。之前系统跑在 UTC 上，时间相关的一切（cron、日志、LuCI 显示）都要手动掰 8 小时。

9.3 主题与登录页白屏（两个 CRLF 坑）#

默认主题恢复为 Argon（上游 ucode 模板 + 草地背景 bg1.webp）。这一路踩了两个同根不同形的坑，都记进了失误清单：

1. vendor 化主题时对全目录 sed -i 's/\r$//' 清 CRLF，没排除二进制——PNG 签名 89504e47 0d0a 被砍成 0a、WebP 的 RIFF 头短 2 字节，所有图片损坏，登录页白屏；
2. 修上条时改成”按扩展名白名单清 CRLF”，又漏掉无扩展名的 uci-defaults 脚本（30_luci-theme-argon 带 CR 执行失败 → 主题不生效，登录页再次白屏回落 Bootstrap）。

教训一句话：清 CRLF 只能按二进制扩展名黑名单排除，不能按文本扩展名白名单包含。

9.4 LuCI：备份/升级页四标签 + 在线升级#

系统 → 备份/升级页改造成 4 个标签：本地刷写 / 在线升级 / 槽位管理 / 配置备份。槽位管理页一键切回原厂，不用再敲命令行。

• 在线升级（e2631-upgrade check / run）：GitHub Release 检查 → 下载 → sha256 + fwslot check 双校验 → sysupgrade → platform.sh → fwslot flash --slot 1。除槽 1 外不写 flash 任何区域，原厂槽永远安全；ghproxy 镜像加速可配（uci set e2631.upd.mirror=...）。
• 配置备份改为用户自行下载/上传（整槽重写会连 overlay 一起清掉，自动迁移反而是坑）。
• 两个实现层面的坑：rpcd 后端脚本必须实现 $1=list（方法表）和 $1=call $2=方法 的 shell 协议，写错则 ubus list 有对象但调用 Not Found；LuCI 自定义 section 必须走 NamedSection.prototype.render.apply 再 appendChild，直接覆盖 render() 会丢标签容器、内容泄漏到第一个标签。

9.5 47 MiB userdata 分区（可选 extroot）#

分区表新增 userdata（0x3f00000..0x6e00000），这个窗口在四个原厂版本（4B4/6B5/7B5/8B8）下都验证过空闲（升级包头槽表一致、原厂内核分区止于 0x2fc0000、编程器全片 dump 中该区间擦空）。挂载采用三重门控：

1. preinit 只挂 UBI，不格式化；
2. /etc/init.d/e2631-userdata 只有读到 UBIFS 超级块魔数（设备上没有 od/hexdump，用 md5 常量 2c877f78… 判）才把 fstab 挂载项置为 enabled——开机永远不会格式化这个分区；
3. /sbin/e2631-userdata-init 初始化需要显式 E2631_CONFIRM。

心跳诊断保持 opt-in（touch /etc/e2631-hb-enable）。槽位工具在 /usr/sbin（不是 /sbin，这个路径坑过 sysupgrade，见失误清单）。

9.6 网络微调与兜底#

fw4 每次 ifup 重载 flowtable 时，驱动会把 rps_cpus 重置回 1——解法是 iface hotplug 快路径重新应用 + cron 定时跑 /sbin/e2631-netune-apply 兜底（最后写者赢）。同时：PAUSE 帧通告关闭、RPS/XPS 指到 CPU1、gmac IRQ 亲和中。