OPENWRT 22.03 版本下，VLAN+自定义防火墙规则出问题 【安全相关】

maxprc

大致介绍一下网络环境背景，方便大佬指点：


路由器是E8450，刷了UBI版本的固件，版本号： OpenWrt 22.03.0 r19685-512e76967f / LuCI openwrt-22.03 branch git-22.245.77528-487e58a


为了所谓的安全，设置了几个主要的VLAN，VLAN之间已实现隔离：
22：用来本地访问
32：用于魔法访问
42：专网用于IOT设备（防止设备后门或爆某种未知漏洞），就是这里出了点问题
——IOT这个VLAN里，有萤石C6C摄像头好几个，还有一个硬盘录像机NVR，海康家的。


安全设置：
萤石这款型号支持ONVIF，所以取消了贼贵的云端服务，用NVR直接接管录像，可以实现基本的移动侦测并录像功能，本地保存。
在上一个版本的openwrt里，是在防火墙的自定义命令里，用 iptable 直接屏蔽掉所有摄像头和NVR的外网权限的。


最近变更了网络架构和设备，现在路由器是E8450，目前版本是 22.03，所以这个自定义的 iptable 命令不起作用了。
在本论坛这个帖子12楼的大哥给出了一个方案，就是直接用防火墙的 traffic rule 来禁用指定设备，实测：
1. 几个萤石摄像头确实访问不了外网了（APP里显示摄像头未联网），不过萤石摄像头，是通过无线，接入的VLAN.42
2. 海康的这个NVR，用同样的规则，却不能屏蔽。不知道是不是因为海康这个机器，是通过网线接入，所以导致这个情况？因为这里面涉及了VLAN，我也不是特别确定设置是否正确。





下面这个是VLAN设置，VLAN.42 这个就是出问题的地方， NVR接的是第二个口，


下面这个是防火墙规则设置，同样设置下，通过无线接入VLAN.42的设备是不能访问外网了，但是这个海康的NVR却可以（通过SSH进去以后，可以ping到外网），何解？




如果有哪位大佬知道的，麻烦说一声。特别感谢！

lovecrayfish

能ping不代表能通，你试试ssh里用curl或者wget下载一个链接看看？

个人猜测，防火墙规则那里，协议你可能没改，它默认是tcp和udp，ping命令走的是icmp，不是tcp.udp，你把规则里的协议改成任何再试试

maxprc

谢谢楼上的。不过海康的SSH是他们自己家的PSH，很严格。估计是面向专业用户的。没有 curl / wget 命令，倒是有很多不知道干嘛的命令，网上资料也很少