[20231230]分享LEDE/OPENWRT用作AP【访客网络】【无线隔离】方法

fengchen

20231230更新~

2203之后使用了nftables，需安装向下兼容的包才能继续使用原来的规则脚本。共需安装如下几个包
ebtables-legacy  ebtables-legacy-utils   ebtables-nft         kmod-ebtables         kmod-ebtables-ipv4     kmod-ebtables-ipv6


由于网页上firewall里面没有自定义脚本的地方了，需要自己添加开机启动
自启动添加

1. sh /etc/dosomething.sh &

复制代码

dosomething.sh内容如下
放了30s延时，文件放在/etc文件夹，备份时设置备份整个/etc，这样方便备份

1. sleep 30
   
2. sh /etc/firewall.user.sh

复制代码

firewall.user.sh也放在/etc，

firewall.user.sh和以前大致相同，无线网卡名和以前不同了，使用phyX-apY格式

1. GATEWAY_IP=192.168.50.1
   
2. GATEWAY_MAC=$(arp |grep "$GATEWAY_IP " |awk '{print $4}')
   
3. SUBNET=192.168.50.0/24
   
4. INTERFACE=phy1-ap0

复制代码

++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
20220329
最新版本openwrt在/etc/sysctl.conf关闭ipv6似乎不行了，就想到直接用ebtables的规则关闭ipv6
使用ebtables规则刚好只关闭访客网络的ipv6，其它网络正常使用ipv6

游客，如果您要查看本帖隐藏内容请回复

新的规则如下

1. ##########################################################
   
2. GATEWAY_IP=192.168.5.1
   
3. GATEWAY_MAC=12:23:34:45:56:67
   
4. SUBNET=192.168.5.0/24
   
5. INTERFACE=wlan1
   
6. 
   
7. ##########################################################
   
8. ebtables -t filter -F FORWARD
   
9. ebtables -t filter -F INPUT
   
10. ebtables -t filter -F OUTPUT
    
11. 
    
12. #########################################################
    
13. ebtables -t filter -A FORWARD -i $INTERFACE -p IPV6 -j DROP
    
14. ebtables -t filter -A FORWARD -o $INTERFACE -p IPV6 -j DROP
    
15. ebtables -t filter -A OUTPUT -o $INTERFACE -p IPV6 -j DROP
    
16. ebtables -t filter -A INPUT -i $INTERFACE -p IPV6 -j DROP
    
17. 
    
18. #########################################################
    
19. ebtables -t filter -A FORWARD -i $INTERFACE -p IPV4 --ip-protocol udp  --ip-destination $GATEWAY_IP --ip-destination-port 53 -j ACCEPT
    
20. ebtables -t filter -A FORWARD -i $INTERFACE -p IPV4  --ip-destination $GATEWAY_IP -j DROP
    
21. 
    
22. ebtables -t filter -A FORWARD -i $INTERFACE -d $GATEWAY_MAC  -j ACCEPT
    
23. ebtables -t filter -A FORWARD -i $INTERFACE -p IPV4 --ip-destination $SUBNET -j DROP
    
24. 
    
25. ebtables -t filter -A FORWARD -o $INTERFACE -s ! $GATEWAY_MAC -j DROP
    
26. 
    
27. #########################################################
    
28. ebtables -t filter -A OUTPUT -o $INTERFACE -p ARP -j DROP
    
29. ebtables -t filter -A OUTPUT -o $INTERFACE -p IPV4 -j DROP
    
30. 
    
31. #########################################################
    
32. ebtables -t filter -A INPUT -i $INTERFACE -p IPV4 -j DROP
    

复制代码

刚开始设置完规则，ipv6的FORWARD规则没有生效，不知道是因为什么，后来重启多次后莫明其妙地好了，
如果有问题大家一起讨论

===================================================================
2018.08.01
添加带独立交换芯片更改switch设置使用五口都是LAN的方法（即ap模式五口都可用）

有的第一行和第二行可能反过来

******************************************************************************************
2018.01.11

如果双频信号都开启无线隔离，可以如下设置firewall

游客，如果您要查看本帖隐藏内容请回复

===========================================================================================
2017.10.10
家里的无线网络连接的客户端比较多，经常有亲戚邻居的手机连接，而他们的手机上还经常会有“万能钥匙”这些软件。
被蹭网倒是其次，关键是连接wifi的手机经常使用支付宝、微信、网银等。为了安全给访客网络开启无线隔离，也就是连接访客网络的客户端间网络是不通的，访客网络和其它网络间也是不通的，只能访问外网。
而openwrt在作为ap时，官方没有可以无线隔离的方法，我用ebtables工具通过防火墙开启无线隔离。
接上次更新，防火墙custom rules支持shell，就设置了几个变量，方便修改，如下：

游客，如果您要查看本帖隐藏内容请回复

=============================================================
2017.09.02
1。LEDE无线路由器修改LAN ip为和网关同一网段，LAN用网线连接网关。禁用无线路由器LAN的DHCP服务器。
无线隔离方法是使用ebtables配置防火墙，过滤br-lan桥上的数据包。ebtables与iptables不同处是专门过滤网桥的数据包。
先安装ebtables-utils，kmod-ebtables-ipv4，在线安装就可以。
2。Network -> Wireless -> Add添加新的无线网络，无线网络配置不再详说，Mode选AP，Network选LAN，重点记住配置页面上的
Wireless Network: Master "xxxx" (wlan0-1)括号里的网卡名称，也可以用iwinfo查看。
不新建无线网络也可以用原来的。
3。找到网关（如192.168.1.1)，网关MAC（如aa:bb:cc:dd:ee:ff）
Network -> Firewall -> Custom Rules，添加如下规则

游客，如果您要查看本帖隐藏内容请回复

4。保存，重启。

5。说明：
我的AP没启用IPV6，关闭IPV6方法是在/etc/sysctl.conf添加如下一行

1. net.ipv6.conf.all.disable_ipv6=1

复制代码

这个隔离方法是从石像鬼的无线隔离启发得来的，试了今天一天才弄好，有什么可以改进的地方，坛友们提出来，大家共同进步

fengchen

crazy5 发表于 2017-10-15 22:52
ebtables -t filter -A FORWARD -i wlan0-1 -p IPV4 --ip-protocol udp  --ip-destination 192.168.1.1 --i ...

防火墙过滤算法是从上往下逐条比对，直到有匹配的执行完规则就返回，剩下的规则忽略
所以有规则部分重复并不是矛盾，也不是多余

楼上再学习下路由过程吧，第二条是访问网关的，第三条包含访问网关和经网关转发的两种

schen39

沙发。。。。。。。。。。。

ft3980802

这个必须顶起来，学习了

shane

无线隔离是什么意思

housecall

学习一下楼主的方法

Ramida

尝试一下。

jiaoyu

谢谢楼主的无私奉献!!!!!!

waitopen

这个很实用，感谢分享

kingthen

学习一下,

n5413

路过，学习下

fengchen

让更多人看到，人工置顶

mjyhj

哦。。。。。。。。。

hcyme

华硕网件的是有这个，没用过

w1634w

什么情况，好先进的方式

olcolc

ap isolaton