1

Temat: Nowe urządzanie w sieci, jak izolować

Witam,

Dokonałem zakupu robota odkurzającego, aby w pełni skorzystać z jego dobrodziejstw musiałem podłączyć go do mojego WiFi (internetu).   Wszytko działa, ale wolałbym wyizolować robota od pozostałych urządzeń w sieci LAN.

I tutaj rodzi się problem, jak?

Mój leciwy 1043NDv1 udostępnia internet (poprzez modem USB LTE), i poprzez przewód sieciowy łączy się z AP WiFi 5 GHz (polecam w miejskiej dżungli sieci 2.4 GHz) z ustawioną opcją separacji urządzeń.

Pytanie co robić na OpenWRT, aby robota odseparować od pozostałych urządzeń w LAN i zezwolić tylko na łączność z internetem?

PS. Jest jakiś skner portów pod OpenWRT, ciekawe co jest otwarte na takim robocie?

Pozdrawiam, Krzysiek

2

Odp: Nowe urządzanie w sieci, jak izolować

Zrobić sieć gościnną (to tylko nazwa, może być "techniczna"): http://eko.one.pl/?p=openwrt-guestnetwork

Masz normalnie nmapa w pakietach.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

3

Odp: Nowe urządzanie w sieci, jak izolować

Niestety, ale AP to nie OPenWRT i nie ma opcji sieci gościnnej i generalnie nie chciałbym iść w tym kierunku.

Sieć wygląda tak:

INTERNET (LTE)  <=USB=>  WRT1043NDv1_OpenWRT <=LAN=> AP 5 GHz

Możliwość ruchu mam na OpenWRT.

Dzięki za nmapa.  Szukałem poprzez opkg list |grep port scanner    i nie pojawił się nic sensownego.

4 (edytowany przez Cezary 2019-03-26 11:05:47)

Odp: Nowe urządzanie w sieci, jak izolować

Ale pewnie wspiera kilka ssid i ma vlany?  Więc nadal to możesz zrobić...

W ostateczności możesz na iptables na forwardzie zablokować ruch pomiędzy ip tego czegoś za czymś innym.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

5 (edytowany przez oneiro 2019-03-26 17:50:17)

Odp: Nowe urządzanie w sieci, jak izolować

AP pozwala na utworzenie sieci guest, ale co to da? Po skonfigurowaniu i podłączeniu do guest otrzymuje adres z DHCPa OpenWRT i jest tak samo widoczny jak inne urządzenia.

Stąd chcę zrobić tak, aby urządzenia WiFi (czyli AP podpięty do konkretnego portu LAN na OpenWRT) filtrować na tym porcie LAN w taki sposób, aby konkrety adres mac (robot sprzątający) łączył się tylko do internetu, ale nie do pozostałych urządzeń sieci LAN.

Pytanie jak to zrobić?

PS. AP to tl-wpa4530 - obsługuje sieć 5 GHz i dlatego robi tylko za AP. 

Pozdrawiam , Krzysiek

6

Odp: Nowe urządzanie w sieci, jak izolować

Jak nie pozwolisz na forwarding sieci guest do lan to nie będzie widoczne. To tylko kwestia konfiguracji, więc co wymyślasz jakieś teorie?

Napisałem ci - możesz też na iptables wyciąć ruch.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

7

Odp: Nowe urządzanie w sieci, jak izolować

chyba mnie nie rozumiesz, dałem ip mojego latopa

iptables -t filter -I FORWARD 1 -s 192.168.10.140 -d 0/0  -p icmp -j DROP

i zablokowałem ping na świat, ale lokalnie dalej działa. Jeszcze raz

INTERNET (LTE)  <=USB=>  WRT1043NDv1_OpenWRT <=LAN=> AP 5 GHz (tutaj jest robot i tutaj też jest mój latop)
INTERNET (LTE)  <=USB=>  WRT1043NDv1_OpenWRT <=LAN inny port w routerze=> backup

Cały czas mogę pingać i backup oraz robota.  Bo wszystko połączone jest przez switch 1043ND !!  Pytanie jak to obejść.

PS. Sieć gust i normalna ma tą samą adresację co wszyskie inne urządzenia w LAN i na AP nic z tym.  DHCP jest na 1043ND.

8

Odp: Nowe urządzanie w sieci, jak izolować

Wydziel sobie port na switchu i podłącz do niego jeszcze jedno ap. Będziesz miał całkowicie odizolowane.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

9

Odp: Nowe urządzanie w sieci, jak izolować

smile  fizyczne porty na 1043ND mi się skończyły, nawet fizyczny port WAN robi za LAN.  Jeśli nie mogę dodać nowego AP to jest jakaś szansa na poziomie switch w 1043ND coś zrobić?

10

Odp: Nowe urządzanie w sieci, jak izolować

Po za wydzieleniem portu i zrobieniem z niego innego fizycznego interfejsu - nie.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

11

Odp: Nowe urządzanie w sieci, jak izolować

dobrze, a jak wydzielę port na którym działa AP/WiFI to rozumiem, że będę miał dwa VLANy.

I co dalej?  Nadać inną adresację dla AP i filtrować iptables?  Czy jest prostszy sposób?

12

Odp: Nowe urządzanie w sieci, jak izolować

Nadać inną adresację i przez iptables filtrować.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

13 (edytowany przez oneiro 2019-03-28 22:34:35)

Odp: Nowe urządzanie w sieci, jak izolować

Poległem, potrzbuje pomocy, obecna konfiguracja sieci to

root@LEDE:~# cat /etc/config/network
config switch
        option reset '1'
        option enable_vlan '1'
        option name 'switch0'

config switch_vlan
        option vlan '1'
        option ports '0 2 3 4 5t'
        option device 'switch0'

config switch_vlan
        option vlan '2'
        option ports '1 5t'
        option device 'switch0'

config interface 'loopback'
        option ifname 'lo'
        option proto 'static'
        option ipaddr '127.0.0.1'
        option netmask '255.0.0.0'

config interface 'lan'
        option ifname 'eth0.1'
        option type 'bridge'
        option proto 'static'
        option netmask '255.255.255.0'
        option ipaddr '192.168.10.1'

config interface 'lan_ap'
        option ifname 'eth0.2'
#       option type 'bridge'
        option proto 'static'
        option netmas '255.255.255.0'
        option ipaddr '192.168.11.1'

config interface 'wan'
        option proto 'dhcp'
        option ifname 'eth1'

I polecenie ifconfig

root@LEDE:~# ifconfig
br-lan    Link encap:Ethernet  HWaddr 54:E6:FC:FB:9A:0C
          inet addr:192.168.10.1  Bcast:192.168.10.255  Mask:255.255.255.0
          inet6 addr: fe80::56e6:fcff:fefb:9a0c/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:8817 errors:0 dropped:0 overruns:0 frame:0
          TX packets:5546 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:918279 (896.7 KiB)  TX bytes:1904246 (1.8 MiB)

eth0      Link encap:Ethernet  HWaddr 54:E6:FC:FB:9A:0C
          inet6 addr: fe80::56e6:fcff:fefb:9a0c/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:9169868 errors:0 dropped:18 overruns:0 frame:0
          TX packets:14874073 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:823364435 (785.2 MiB)  TX bytes:1848011967 (1.7 GiB)
          Interrupt:4

eth0.1    Link encap:Ethernet  HWaddr 54:E6:FC:FB:9A:0C
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:23437 errors:0 dropped:0 overruns:0 frame:0
          TX packets:11231 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:2576845 (2.4 MiB)  TX bytes:5611198 (5.3 MiB)

eth0.2    Link encap:Ethernet  HWaddr 54:E6:FC:FB:9A:0C
          inet addr:192.168.11.1  Bcast:255.255.255.255  Mask:255.255.255.255
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:2146 errors:0 dropped:20 overruns:0 frame:0
          TX packets:9 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:185034 (180.6 KiB)  TX bytes:378 (378.0 B)

eth1      Link encap:Ethernet  HWaddr 0C:5B:8F:27:9A:64
          inet addr:192.168.8.100  Bcast:192.168.8.255  Mask:255.255.255.0
          inet6 addr: fe80::e5b:8fff:fe27:9a64/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:14819053 errors:0 dropped:0 overruns:0 frame:0
          TX packets:6894368 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:1614568511 (1.5 GiB)  TX bytes:611100101 (582.7 MiB)

lo        Link encap:Local Loopback
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:65536  Metric:1
          RX packets:19729 errors:0 dropped:0 overruns:0 frame:0
          TX packets:19729 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1
          RX bytes:7655871 (7.3 MiB)  TX bytes:7655871 (7.3 MiB)

Czyli "starta" sieć LAN w adresacji 192.168.10.0/24,  a nowa tj. tylko podpięty AP pod adresacją 192.168.11.0/24

Skonfigurwałem DHCP (tj. tak mi się wydaje)

root@LEDE:~# cat /etc/config/dhcp

config dnsmasq
        option domainneeded '1'
        option boguspriv '1'
        option localise_queries '1'
        option rebind_protection '1'
        option rebind_localhost '1'
        option local '/lan/'
        option domain 'lan'
        option expandhosts '1'
        option authoritative '1'
        option readethers '1'
        option leasefile '/tmp/dhcp.leases'
        option localservice '1'
        option noresolv '1'
        list server '127.0.0.1#5353'
        list server '208.67.222.222'
        option nonwildcard '0'

config dhcp 'lan'
        option interface 'lan'
        option start '100'
        option limit '150'
        option leasetime '12h'
        option dhcpv6 'server'
        option ra 'server'

config dhcp 'lan_ap'
        option interface 'lan_ap'
        option start '100'
        option limit '150'
        option leasetime '12h'
        option dhcpv6 'server'
        option ra 'server'


config dhcp 'wan'
        option interface 'wan'
        option ignore '1'

config odhcpd 'odhcpd'
        option maindhcp '0'
        option leasefile '/tmp/hosts/odhcpd'
        option leasetrigger '/usr/sbin/odhcpd-update'

a mimo wszystko nie przydziela mi DHCP adresu w nowej sieci (starta działa poprawnie, internet też działa).  Dodatkowo z punktu widzenia OpenWRT nie mogę dać ping AP w sieci "...11.0/24".

Podejrzewam FireWall, ale moje próby modyfikacji zakończyły się fiaskiem.   Ktoś pomoże?

14

Odp: Nowe urządzanie w sieci, jak izolować

Pokaż tą modyfikację firewalla.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

15

Odp: Nowe urządzanie w sieci, jak izolować

to są zakomentowane

config zone
config forwarding

w pierwszej części pliku

root@LEDE:~# cat /etc/config/firewall
config defaults
        option syn_flood        1
        option input            ACCEPT
        option output           ACCEPT
        option forward          REJECT
# Uncomment this line to disable ipv6 rules
#       option disable_ipv6     1

config zone
        option name             lan
        list   network          'lan'
        option input            ACCEPT
        option output           ACCEPT
        option forward          ACCEPT


#config zone
#        option name             lan_ap
#        list   network          'lan_ap'
#        option input            ACCEPT
#        option output           ACCEPT
#        option forward          ACCEPT


config zone
        option name             wan
        list   network          'wan'
        list   network          'wan6'
        option input            REJECT
        option output           ACCEPT
        option forward          REJECT
        option masq             1
        option mtu_fix          1

config forwarding
        option src              lan
        option dest             wan

#config forwarding
#        option src              lan_ap
#        option dest             wan



# We need to accept udp packets on port 68,
# see https://dev.openwrt.org/ticket/4108
config rule
        option name             Allow-DHCP-Renew
        option src              wan
        option proto            udp
        option dest_port        68
        option target           ACCEPT
        option family           ipv4

# Allow IPv4 ping
config rule
        option name             Allow-Ping
        option src              wan
        option proto            icmp
        option icmp_type        echo-request
        option family           ipv4
        option target           ACCEPT

config rule
        option name             Allow-IGMP
        option src              wan
        option proto            igmp
        option family           ipv4
        option target           ACCEPT

# Allow DHCPv6 replies
# see https://dev.openwrt.org/ticket/10381
config rule
        option name             Allow-DHCPv6
        option src              wan
        option proto            udp
        option src_ip           fc00::/6
        option dest_ip          fc00::/6
        option dest_port        546
        option family           ipv6
        option target           ACCEPT

config rule
        option name             Allow-MLD
        option src              wan
        option proto            icmp
        option src_ip           fe80::/10
        list icmp_type          '130/0'
        list icmp_type          '131/0'
        list icmp_type          '132/0'
        list icmp_type          '143/0'
        option family           ipv6
        option target           ACCEPT

# Allow essential incoming IPv6 ICMP traffic
config rule
        option name             Allow-ICMPv6-Input
        option src              wan
        option proto    icmp
        list icmp_type          echo-request
        list icmp_type          echo-reply
        list icmp_type          destination-unreachable
        list icmp_type          packet-too-big
        list icmp_type          time-exceeded
        list icmp_type          bad-header
        list icmp_type          unknown-header-type
        list icmp_type          router-solicitation
        list icmp_type          neighbour-solicitation
        list icmp_type          router-advertisement
        list icmp_type          neighbour-advertisement
        option limit            1000/sec
        option family           ipv6
        option target           ACCEPT

# Allow essential forwarded IPv6 ICMP traffic
config rule
        option name             Allow-ICMPv6-Forward
        option src              wan
        option dest             *
        option proto            icmp
        list icmp_type          echo-request
        list icmp_type          echo-reply
        list icmp_type          destination-unreachable
        list icmp_type          packet-too-big
        list icmp_type          time-exceeded
        list icmp_type          bad-header
        list icmp_type          unknown-header-type
        option limit            1000/sec
        option family           ipv6
        option target           ACCEPT

config rule
        option name             Allow-IPSec-ESP
        option src              wan
        option dest             lan
        option proto            esp
        option target           ACCEPT

config rule
        option name             Allow-ISAKMP
        option src              wan
        option dest             lan
        option dest_port        500
        option proto            udp
        option target           ACCEPT

# include a file with users custom iptables rules
config include
        option path /etc/firewall.user

16

Odp: Nowe urządzanie w sieci, jak izolować

A mają być odkomentowane i najlepiej z forward na reject.

Jaki masz właściwie router? Bo jeżeli 1043nv1 to tam eth0.2 to był fizyczny port wan.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

17

Odp: Nowe urządzanie w sieci, jak izolować

Tak, 1043NDv1.

Właśnie na tym zastanawiałem, które interface są fizyczne, a które logiczne w ifconfig? W pliku networks podaje ifname, jak sprawdzić co mam do wyboru?

Co do eth0.2 to nie mam WAN, zintegrowałem go z LAN.  Ale jeśli to prawda co piszesz to vlan dać np. 3 i wówczas eth0.3 wykorzystać?

18

Odp: Nowe urządzanie w sieci, jak izolować

eth0.3 to tylko nazwa interfejsu. A do czego go przypiszesz to inna sprawa.

W networku w switchu masz 0 1 2 3 4 które odpowiadają odpowiednio fizycznym portom WAN, LAN1, LAN2, LAN3 i LAN4. Całkiem przypadkiem opisywałem to tu: http://eko.one.pl/?p=openwrt-vlan

Więc jak zrobiłeś j/w to lan_ap zrobiłeś na fizycznym porcie LAN1

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

19

Odp: Nowe urządzanie w sieci, jak izolować

A tak z ciekawości to po co izolujesz tego robota odkurzającego od reszty?

20

Odp: Nowe urządzanie w sieci, jak izolować

@9k  - dla zabawy, dla zabicia czasu, dla (być może irracjonalnego przeświadczenia), że wszystko ciebie szpieguje smile

@Cezary w definicji interface lan_ap zabrakło literki "k" w słowie netmasK

było:

        option netmas '255.255.255.0'

Co do firewall zostawiłem accept, ale nie działa. O ile sieć  "...10.0/24" działa o tyle "...11.0/24" nie.  Coś w FW ale nie mogę dojść co

21

Odp: Nowe urządzanie w sieci, jak izolować

Ale co nie działa w końcu? Pokaż

uci show network
uci show dhcp
uci show firewall
ifconfig
route -n
cat /var/etc/dnsmasq.conf.*

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

22

Odp: Nowe urządzanie w sieci, jak izolować

oneiro napisał/a:

Dokonałem zakupu robota odkurzającego, aby w pełni skorzystać z jego dobrodziejstw musiałem podłączyć go do mojego WiFi (internetu)

  . Zdradź nam tajemnicę co to super funkcje ze odkurzacz musi miec dostep do neta  ?  , przecież to sa urzadzenia autonomiczne , działaja samodzielnie  ?  . Oprócz aktualizacji oprogramowania . W lanie niech sobie działa a  zablokuj mu wyjscie na świat i " nie bedzie kablował"  , jezeli  uważasz że odkurzacz cie bradziej szpieguje niz telefon big_smile  .

23

Odp: Nowe urządzanie w sieci, jak izolować

@ad2014 - xioawa plus (czyli 3 generacja xioami). Ogólnie się sprawdza, ale mam porównanie z 2 generacją od xioami (s50) i o ile sprzątnie (moc, siłą ssąca, czas pracy, wielkość pojemnika na bród, wysokość) jest lekko na korzyść gen.3 o tyle planowanie trasy w gen.2. który posada czujniki laserowy przez który "widzi" całe mieszkanie (nie tylko pół metra jak gen.3) bije go na głowę. Przez to szybciej i dokładniej sprząta no i super dokładnie odwzorowuje plan mieszkanie ze szczegółami jak nogi mebli, przeszkody.  Gen 3 też to robi, ale zdecydowanie gorzej. Niemniej jak nie ma Cię w domu to bez różnicy, sprząta dobrze.

I przezornie nie ufam chińskim produktom w sieci (w sumie to nie żadnemu produktowi nad którym, nie mam kontroli smile jak np. zdalne gniazdko sterowanie via smartphone czy smart TV). Jak też oddziele od sieci "laptopowej / backup", a szlaki przeciera robot sprzątający smile


@Cezary

ETH1 to modem USB

root@LEDE:~# uci show network
network.@switch[0]=switch
network.@switch[0].reset='1'
network.@switch[0].enable_vlan='1'
network.@switch[0].name='switch0'
network.@switch_vlan[0]=switch_vlan
network.@switch_vlan[0].vlan='1'
network.@switch_vlan[0].ports='0 2 3 4 5t'
network.@switch_vlan[0].device='switch0'
network.@switch_vlan[1]=switch_vlan
network.@switch_vlan[1].vlan='44'
network.@switch_vlan[1].ports='1 5t'
network.@switch_vlan[1].device='switch0'
network.loopback=interface
network.loopback.ifname='lo'
network.loopback.proto='static'
network.loopback.ipaddr='127.0.0.1'
network.loopback.netmask='255.0.0.0'
network.lan=interface
network.lan.ifname='eth0.1'
network.lan.type='bridge'
network.lan.proto='static'
network.lan.netmask='255.255.255.0'
network.lan.ipaddr='192.168.10.1'
network.lan_ap=interface
network.lan_ap.ifname='eth0.44'
network.lan_ap.proto='static'
network.lan_ap.netmask='255.255.255.0'
network.lan_ap.ipaddr='192.168.11.1'
network.wan=interface
network.wan.proto='dhcp'
network.wan.ifname='eth1'
root@LEDE:~# uci show dhcp
dhcp.@dnsmasq[0]=dnsmasq
dhcp.@dnsmasq[0].domainneeded='1'
dhcp.@dnsmasq[0].boguspriv='1'
dhcp.@dnsmasq[0].localise_queries='1'
dhcp.@dnsmasq[0].rebind_protection='1'
dhcp.@dnsmasq[0].rebind_localhost='1'
dhcp.@dnsmasq[0].local='/lan/'
dhcp.@dnsmasq[0].domain='lan'
dhcp.@dnsmasq[0].expandhosts='1'
dhcp.@dnsmasq[0].authoritative='1'
dhcp.@dnsmasq[0].readethers='1'
dhcp.@dnsmasq[0].leasefile='/tmp/dhcp.leases'
dhcp.@dnsmasq[0].localservice='1'
dhcp.@dnsmasq[0].noresolv='1'
dhcp.@dnsmasq[0].server='127.0.0.1#5353' '208.67.222.222'
dhcp.@dnsmasq[0].nonwildcard='0'
dhcp.lan=dhcp
dhcp.lan.interface='lan'
dhcp.lan.start='100'
dhcp.lan.limit='150'
dhcp.lan.leasetime='12h'
dhcp.lan.dhcpv6='server'
dhcp.lan.ra='server'
dhcp.lan_ap=dhcp
dhcp.lan_ap.interface='lan_ap'
dhcp.lan_ap.start='100'
dhcp.lan_ap.limit='150'
dhcp.lan_ap.leasetime='12h'
dhcp.lan_ap.dhcpv6='server'
dhcp.lan_ap.ra='server'
dhcp.odhcpd=odhcpd
dhcp.odhcpd.maindhcp='0'
dhcp.odhcpd.leasefile='/tmp/hosts/odhcpd'
dhcp.odhcpd.leasetrigger='/usr/sbin/odhcpd-update'
root@LEDE:~# uci show firewall
firewall.@defaults[0]=defaults
firewall.@defaults[0].syn_flood='1'
firewall.@defaults[0].input='ACCEPT'
firewall.@defaults[0].output='ACCEPT'
firewall.@defaults[0].forward='REJECT'
firewall.@zone[0]=zone
firewall.@zone[0].name='lan'
firewall.@zone[0].network='lan'
firewall.@zone[0].input='ACCEPT'
firewall.@zone[0].output='ACCEPT'
firewall.@zone[0].forward='ACCEPT'
firewall.@zone[1]=zone
firewall.@zone[1].name='lan_ap'
firewall.@zone[1].network='lan_ap'
firewall.@zone[1].input='ACCEPT'
firewall.@zone[1].output='ACCEPT'
firewall.@zone[1].forward='ACCEPT'
firewall.@zone[2]=zone
firewall.@zone[2].name='wan'
firewall.@zone[2].network='wan'
firewall.@zone[2].input='REJECT'
firewall.@zone[2].output='ACCEPT'
firewall.@zone[2].forward='REJECT'
firewall.@zone[2].masq='1'
firewall.@zone[2].mtu_fix='1'
firewall.@forwarding[0]=forwarding
firewall.@forwarding[0].src='lan'
firewall.@forwarding[0].dest='wan'
firewall.@forwarding[1]=forwarding
firewall.@forwarding[1].src='lan_ap'
firewall.@forwarding[1].dest='wan'
firewall.@forwarding[2]=forwarding
firewall.@forwarding[2].src='lan_ap'
firewall.@forwarding[2].dest='lan'
firewall.@forwarding[3]=forwarding
firewall.@forwarding[3].src='lan'
firewall.@forwarding[3].dest='lan_ap'
firewall.@rule[0]=rule
firewall.@rule[0].name='Allow-DHCP-Renew'
firewall.@rule[0].src='wan'
firewall.@rule[0].proto='udp'
firewall.@rule[0].dest_port='68'
firewall.@rule[0].target='ACCEPT'
firewall.@rule[0].family='ipv4'
firewall.@rule[1]=rule
firewall.@rule[1].name='Allow-Ping'
firewall.@rule[1].src='wan'
firewall.@rule[1].proto='icmp'
firewall.@rule[1].icmp_type='echo-request'
firewall.@rule[1].family='ipv4'
firewall.@rule[1].target='ACCEPT'
firewall.@rule[2]=rule
firewall.@rule[2].name='Allow-IGMP'
firewall.@rule[2].src='wan'
firewall.@rule[2].proto='igmp'
firewall.@rule[2].family='ipv4'
firewall.@rule[2].target='ACCEPT'
firewall.@rule[3]=rule
firewall.@rule[3].name='Allow-DHCPv6'
firewall.@rule[3].src='wan'
firewall.@rule[3].proto='udp'
firewall.@rule[3].src_ip='fc00::/6'
firewall.@rule[3].dest_ip='fc00::/6'
firewall.@rule[3].dest_port='546'
firewall.@rule[3].family='ipv6'
firewall.@rule[3].target='ACCEPT'
firewall.@rule[4]=rule
firewall.@rule[4].name='Allow-MLD'
firewall.@rule[4].src='wan'
firewall.@rule[4].proto='icmp'
firewall.@rule[4].src_ip='fe80::/10'
firewall.@rule[4].icmp_type='130/0' '131/0' '132/0' '143/0'
firewall.@rule[4].family='ipv6'
firewall.@rule[4].target='ACCEPT'
firewall.@rule[5]=rule
firewall.@rule[5].name='Allow-ICMPv6-Input'
firewall.@rule[5].src='wan'
firewall.@rule[5].proto='icmp'
firewall.@rule[5].icmp_type='echo-request' 'echo-reply' 'destination-unreachable' 'packet-too-big' 'time-exceeded' 'bad-header' 'unknown-header-type' 'router-solicitation' 'neighbour-solicitation' 'router-advertisement' 'neighbour-advertisement'
firewall.@rule[5].limit='1000/sec'
firewall.@rule[5].family='ipv6'
firewall.@rule[5].target='ACCEPT'
firewall.@rule[6]=rule
firewall.@rule[6].name='Allow-ICMPv6-Forward'
firewall.@rule[6].src='wan'
firewall.@rule[6].dest='*'
firewall.@rule[6].proto='icmp'
firewall.@rule[6].icmp_type='echo-request' 'echo-reply' 'destination-unreachable' 'packet-too-big' 'time-exceeded' 'bad-header' 'unknown-header-type'
firewall.@rule[6].limit='1000/sec'
firewall.@rule[6].family='ipv6'
firewall.@rule[6].target='ACCEPT'
firewall.@rule[7]=rule
firewall.@rule[7].name='Allow-IPSec-ESP'
firewall.@rule[7].src='wan'
firewall.@rule[7].dest='lan'
firewall.@rule[7].proto='esp'
firewall.@rule[7].target='ACCEPT'
firewall.@rule[8]=rule
firewall.@rule[8].name='Allow-ISAKMP'
firewall.@rule[8].src='wan'
firewall.@rule[8].dest='lan'
firewall.@rule[8].dest_port='500'
firewall.@rule[8].proto='udp'
firewall.@rule[8].target='ACCEPT'
firewall.@include[0]=include
firewall.@include[0].path='/etc/firewall.user'
root@LEDE:~# ifconfig
br-lan    Link encap:Ethernet  HWaddr 54:E6:FC:FB:9A:0C
          inet addr:192.168.10.1  Bcast:192.168.10.255  Mask:255.255.255.0
          inet6 addr: fe80::56e6:fcff:fefb:9a0c/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:698685 errors:0 dropped:0 overruns:0 frame:0
          TX packets:1284775 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:47416589 (45.2 MiB)  TX bytes:1684668226 (1.5 GiB)

eth0      Link encap:Ethernet  HWaddr 54:E6:FC:FB:9A:0C
          inet6 addr: fe80::56e6:fcff:fefb:9a0c/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:698858 errors:0 dropped:0 overruns:0 frame:0
          TX packets:1286208 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:60009177 (57.2 MiB)  TX bytes:1689888325 (1.5 GiB)
          Interrupt:4

eth0.1    Link encap:Ethernet  HWaddr 54:E6:FC:FB:9A:0C
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:698685 errors:0 dropped:0 overruns:0 frame:0
          TX packets:1284775 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:47416589 (45.2 MiB)  TX bytes:1684668226 (1.5 GiB)

eth0.44   Link encap:Ethernet  HWaddr 54:E6:FC:FB:9A:0C
          inet addr:192.168.11.1  Bcast:192.168.11.255  Mask:255.255.255.0
          inet6 addr: fe80::56e6:fcff:fefb:9a0c/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:1417 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:0 (0.0 B)  TX bytes:72782 (71.0 KiB)

eth1      Link encap:Ethernet  HWaddr 0C:5B:8F:27:9A:64
          inet addr:192.168.8.100  Bcast:192.168.8.255  Mask:255.255.255.0
          inet6 addr: fe80::e5b:8fff:fe27:9a64/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:1291334 errors:0 dropped:0 overruns:0 frame:0
          TX packets:668437 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:1675575101 (1.5 GiB)  TX bytes:53427730 (50.9 MiB)

lo        Link encap:Local Loopback
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:65536  Metric:1
          RX packets:602 errors:0 dropped:0 overruns:0 frame:0
          TX packets:602 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1
          RX bytes:58884 (57.5 KiB)  TX bytes:58884 (57.5 KiB)

root@LEDE:~# route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         192.168.8.1     0.0.0.0         UG    0      0        0 eth1
192.168.8.0     0.0.0.0         255.255.255.0   U     0      0        0 eth1
192.168.8.1     0.0.0.0         255.255.255.255 UH    0      0        0 eth1
192.168.10.0    0.0.0.0         255.255.255.0   U     0      0        0 br-lan
192.168.11.0    0.0.0.0         255.255.255.0   U     0      0        0 eth0.44

root@LEDE:~# cat /var/etc/dnsmasq.conf.*
# auto-generated config file from /etc/config/dhcp
conf-file=/etc/dnsmasq.conf
dhcp-authoritative
domain-needed
no-resolv
localise-queries
read-ethers
bogus-priv
expand-hosts
local-service
domain=lan
server=/lan/
server=127.0.0.1#5353
server=208.67.222.222
dhcp-leasefile=/tmp/dhcp.leases
resolv-file=/tmp/resolv.conf.auto
stop-dns-rebind
rebind-localhost-ok
dhcp-broadcast=tag:needs-broadcast
addn-hosts=/tmp/hosts
conf-dir=/tmp/dnsmasq.d
user=dnsmasq
group=dnsmasq


dhcp-range=lan,192.168.10.100,192.168.10.249,255.255.255.0,12h
dhcp-range=lan_ap,192.168.11.100,192.168.11.249,255.255.255.0,12h

24

Odp: Nowe urządzanie w sieci, jak izolować

I problem jest jaki?

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

25

Odp: Nowe urządzanie w sieci, jak izolować

problem taki, że z urządzanie z sieci ...11.0/24 nie otrzymuje adresy z DHCP. A jak ustawie na sztywno IP to też nie działa.

Więcej z OPwnWRT nie mogę spingować nic z ...11.0/24 (ze stałym IP)

PS. Tak myślę, że pomyliłem fizyczne porty na 1043nd, ale sprawdziłem wczoraj, niemniej jeszcze raz sprawdzę....