1 Temat przez Graffy (edytowany przez Graffy 2014-05-16 12:43:54)

  • Graffy
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2013-04-23
  • Posty: 310

Temat: Gargoyle VLAN czy przesiadka na OpenWRT - proszę o radę

Używam Gargoyle generalnie ze względu na QOS i prostotę wyklikania z GUI.
Z konsolą miałem już do czynienia i co nieco zmieniłem ręcznie w Gargulcu.
Moja obecna sieć wygląda jak na rysunku poniżej.

http://i60.tinypic.com/24g3cio.png

Generalnie LAN jest obecnie w jednej sieci 192.168.1.1, drugi router pracuje jako switch + AP
Klientów jest oczywiście więcej, nie chciało mi się rysować wszystkich smile
Udostępniam matce internet bezprzewodowo i chcę jej wydzielić osobną podsieć.
Ja widzę dwie możliwości, zostać przy Gargulcu na moim routerze i uruchomić routing na drugim.
Podwójny NAT i ew. problemy z VoIP ?

Druga - wydzielenie VLAN, który jak doczytałem kuleje w Gargoyle. No i co z QOS w takim wypadku ?
Tutaj raczej pozostanie mi przesiadka na OpenWRT i LuCI.
Tutaj QOS też jest do wyklikania z GUI, tylko czy faktycznie w stosunku do tego w GG kuleje ?
Jak wygląda sprawa QOS przy VLAN ?

Plusem tego rozwiązania będzie kontrola całości na jednym urządzeniu.
Docelowo u siebie chciałbym jeszcze uruchomić sieć gościnną WiFi.

Co sądzicie o tym, może jakieś inne propozycje ?

APU2 @ OpenWrt 18.06-SNAPSHOT, r7852-7ac6044632

2 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,845

Odp: Gargoyle VLAN czy przesiadka na OpenWRT - proszę o radę

Dlaczego kuleje? To że gui nie pokaże to nie znaczy że nie możesz tego ręcznie zrobić. Nie wygląda QoS, on nie wie nic o czymś innym niż lan i wan.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

3 Odpowiedź przez Graffy

  • Graffy
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2013-04-23
  • Posty: 310

Odp: Gargoyle VLAN czy przesiadka na OpenWRT - proszę o radę

Pisałem na podstawie informacji, które znalazłem w internecie.
Rozumiem, że ta informacja o QOS z twojego posta @Cezary tyczy się Gargoyle ?
Na OpenWRT będzie działać ?

APU2 @ OpenWrt 18.06-SNAPSHOT, r7852-7ac6044632

4 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,845

Odp: Gargoyle VLAN czy przesiadka na OpenWRT - proszę o radę

Na openwrt możesz zrobić co chcesz i jak chcesz. Na gargoyle też, choć gui może zgłupieć i nie pokaże tego.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

5 Odpowiedź przez Graffy

  • Graffy
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2013-04-23
  • Posty: 310

Odp: Gargoyle VLAN czy przesiadka na OpenWRT - proszę o radę

Zdecydowałem się na OpenWRT od @Cezary , doinstalowałem LuCI i inne pakiety które potrzebowałem.
Wziąłem się za konfigurację, wcześniej nie miałem do czynienia z VLAN.
Tak jak pisałem rozdzieliłem sieci, zrobiłem u siebie sieć gościnną WiFi.

NETWORK

config interface 'loopback'
    option ifname 'lo'
    option proto 'static'
    option ipaddr '127.0.0.1'
    option netmask '255.0.0.0'

config interface 'lan'
    option ifname 'eth0.1'
    option type 'bridge'
    option proto 'static'
    option ipaddr '10.0.0.1'
    option netmask '255.255.255.0'

config interface 'lan2'
    option ifname 'eth0.3'
    option type 'bridge'
    option proto 'static'
    option ipaddr '10.0.1.1'
    option netmask '255.255.255.0'

config interface 'guest'
    option proto 'static'
    option ipaddr '10.0.2.1'
    option netmask '255.255.255.0'

config interface 'wan'
    option ifname 'eth0.2'
    option proto 'dhcp'
    option peerdns '0'
    option dns '208.67.222.222 208.67.220.220'

config switch
    option name 'eth0'
    option reset '1'
    option enable_vlan '1'

config switch_vlan
    option device 'eth0'
    option vlan '1'
    option ports '0t 3 4 5'

config switch_vlan
    option device 'eth0'
    option vlan '2'
    option ports '0t 1'

config switch_vlan
    option device 'eth0'
    option vlan '3'
    option ports '0t 2'

DHCP

config dnsmasq
    option domainneeded '1'
    option boguspriv '1'
    option localise_queries '1'
    option rebind_protection '1'
    option rebind_localhost '1'
    option local '/lan/'
    option domain 'lan'
    option expandhosts '1'
    option authoritative '1'
    option readethers '1'
    option leasefile '/tmp/dhcp.leases'
    option noresolv '1'
    list server '127.0.0.1#2053'
    list server '/pool.ntp.org/208.67.222.222'

config dhcp 'lan'
    option interface 'lan'
    option start '10'
    option limit '200'
    option leasetime '12h'

config dhcp 'lan2'
    option interface 'lan2'
    option limit '200'
    option leasetime '12h'
    option start '10'

config dhcp 'guest'
    option interface 'guest'
    option start '10'
    option limit '10'
    option leasetime '1h'

config dhcp 'wan'
    option interface 'wan'
    option ignore '1'

config host
    option name 'NAS_NETBOOK'
    option mac '80:c1:6e:3c:86:f6'
    option ip '10.0.1.60'

WIRELESS

...
config wifi-iface
        option device 'radio0'
        option network 'guest'
        option mode 'ap'
        option ssid 'xxx_guest'
        option encryption 'psk2+ccmp'
        option key 'xxx'
...

FIREWALL

config defaults
    option syn_flood '1'
    option input 'ACCEPT'
    option output 'ACCEPT'
    option forward 'REJECT'

config zone
    option name 'lan'
    list network 'lan'
    option input 'ACCEPT'
    option output 'ACCEPT'
    option forward 'REJECT'

config zone
    option name 'lan2'
    option network 'lan2'
    option input 'REJECT'
    option output 'ACCEPT'
    option forward 'REJECT'

config zone
    option name 'guest'
    option network 'guest'
    option input 'REJECT'
    option forward 'REJECT'
    option output 'ACCEPT'

config zone
    option name 'wan'
    list network 'wan'
    list network 'wan6'
    option input 'REJECT'
    option output 'ACCEPT'
    option forward 'REJECT'
    option masq '1'
    option mtu_fix '1'

config forwarding
    option src 'lan'
    option dest 'wan'

config forwarding
    option src 'lan2'
    option dest 'wan'

config forwarding
    option src 'guest'
    option dest 'wan'

config rule
    option name 'Allow-DHCP-Renew'
    option src 'wan'
    option proto 'udp'
    option dest_port '68'
    option target 'ACCEPT'
    option family 'ipv4'

config rule
    option name 'Allow-Ping'
    option src 'wan'
    option proto 'icmp'
    option icmp_type 'echo-request'
    option family 'ipv4'
    option target 'ACCEPT'

config rule
    option name 'Allow-DHCPv6'
    option src 'wan'
    option proto 'udp'
    option src_ip 'fe80::/10'
    option src_port '547'
    option dest_ip 'fe80::/10'
    option dest_port '546'
    option family 'ipv6'
    option target 'ACCEPT'

config rule
    option name 'Allow-ICMPv6-Input'
    option src 'wan'
    option proto 'icmp'
    list icmp_type 'echo-request'
    list icmp_type 'echo-reply'
    list icmp_type 'destination-unreachable'
    list icmp_type 'packet-too-big'
    list icmp_type 'time-exceeded'
    list icmp_type 'bad-header'
    list icmp_type 'unknown-header-type'
    list icmp_type 'router-solicitation'
    list icmp_type 'neighbour-solicitation'
    list icmp_type 'router-advertisement'
    list icmp_type 'neighbour-advertisement'
    option limit '1000/sec'
    option family 'ipv6'
    option target 'ACCEPT'

config rule
    option name 'Allow-ICMPv6-Forward'
    option src 'wan'
    option dest '*'
    option proto 'icmp'
    list icmp_type 'echo-request'
    list icmp_type 'echo-reply'
    list icmp_type 'destination-unreachable'
    list icmp_type 'packet-too-big'
    list icmp_type 'time-exceeded'
    list icmp_type 'bad-header'
    list icmp_type 'unknown-header-type'
    option limit '1000/sec'
    option family 'ipv6'
    option target 'ACCEPT'

config rule
    option name 'LAN2_DNS'
    option src 'lan2'
    option dest_port '53'
    option proto 'tcpudp'
    option target 'ACCEPT'
    option family 'ipv4'

config rule
    option name 'LAN2_DHCP'
    option src 'lan2'
    option src_port '67-68'
    option dest_port '67-68'
    option proto 'udp'
    option target 'ACCEPT'
    option family 'ipv4'

config rule
    option name 'Guest_DNS'
    option src 'guest'
    option dest_port '53'
    option proto 'tcpudp'
    option target 'ACCEPT'
    option family 'ipv4'

config rule
    option name 'Guest_DHCP'
    option src 'guest'
    option src_port '67-68'
    option dest_port '67-68'
    option proto 'udp'
    option target 'ACCEPT'
    option family 'ipv4'

config include
    option path '/etc/firewall.user'

config rule
    option target 'ACCEPT'
    option src 'lan2'
    option src_ip '10.0.1.60'
    option dest 'lan'
    option proto 'all'
    option family 'ipv4'

Narazie testuję całość "na sucho"
Generalnie osiągnąłem co chciałem.
Moja sieć 10.0.0.1 z WiFi i gościnną 10.0.2.1 odizolowaną od lan - tylko internet.
Druga sieć 10.0.1.1 na pierwszym porcie switcha odizolowana, tylko internet.
Problem w tym, że chcę dać dostęp kilku urządzeniom z lan2 do lan1.
Próbowałem ale niestety bez skutku.

config rule
    option target 'ACCEPT'
    option src 'lan2'
    option src_ip '10.0.1.60'
    option dest 'lan'
    option proto 'all'
    option family 'ipv4'

Czy konfiguracja jest poprawna ?
Co robię źle ?

APU2 @ OpenWrt 18.06-SNAPSHOT, r7852-7ac6044632

6 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,845

Odp: Gargoyle VLAN czy przesiadka na OpenWRT - proszę o radę

Proto zmień na tcpudp. Sprawdzałeś reguły iptables czy pakiety się na to łapią?

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

7 Odpowiedź przez Graffy (edytowany przez Graffy 2014-05-18 22:24:54)

  • Graffy
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2013-04-23
  • Posty: 310

Odp: Gargoyle VLAN czy przesiadka na OpenWRT - proszę o radę

Zmiana proto nie przyniosła efektu.
Sprawdzałem już wcześniej.

Nie jestem pewien czy o to ci chodziło @Cezary
Ja nic z tego nie potrafię wywnioskować sad

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
 1792  134K delegate_input  all  --  any    any     anywhere             anywhere            

Chain FORWARD (policy DROP 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
 1359  599K delegate_forward  all  --  any    any     anywhere             anywhere            

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
 1615  450K delegate_output  all  --  any    any     anywhere             anywhere            

Chain delegate_forward (1 references)
 pkts bytes target     prot opt in     out     source               destination         
 1359  599K forwarding_rule  all  --  any    any     anywhere             anywhere            /* user chain for forwarding */ 
 1302  596K ACCEPT     all  --  any    any     anywhere             anywhere            ctstate RELATED,ESTABLISHED 
    0     0 zone_lan_forward  all  --  br-lan any     anywhere             anywhere            
   57  3212 zone_lan2_forward  all  --  br-lan2 any     anywhere             anywhere            
    0     0 zone_guest_forward  all  --  wlan0-1 any     anywhere             anywhere            
    0     0 zone_wan_forward  all  --  eth0.2 any     anywhere             anywhere            
    0     0 reject     all  --  any    any     anywhere             anywhere            

Chain delegate_input (1 references)
 pkts bytes target     prot opt in     out     source               destination         
  150 12274 ACCEPT     all  --  lo     any     anywhere             anywhere            
 1642  121K input_rule  all  --  any    any     anywhere             anywhere            /* user chain for input */ 
 1200 80001 ACCEPT     all  --  any    any     anywhere             anywhere            ctstate RELATED,ESTABLISHED 
    6   360 syn_flood  tcp  --  any    any     anywhere             anywhere            tcp flags:FIN,SYN,RST,ACK/SYN 
    0     0 zone_lan_input  all  --  br-lan any     anywhere             anywhere            
  334 28614 zone_lan2_input  all  --  br-lan2 any     anywhere             anywhere            
    0     0 zone_guest_input  all  --  wlan0-1 any     anywhere             anywhere            
  108 12713 zone_wan_input  all  --  eth0.2 any     anywhere             anywhere            

Chain delegate_output (1 references)
 pkts bytes target     prot opt in     out     source               destination         
  150 12274 ACCEPT     all  --  any    lo      anywhere             anywhere            
 1465  438K output_rule  all  --  any    any     anywhere             anywhere            /* user chain for output */ 
 1405  429K ACCEPT     all  --  any    any     anywhere             anywhere            ctstate RELATED,ESTABLISHED 
    0     0 zone_lan_output  all  --  any    br-lan  anywhere             anywhere            
    0     0 zone_lan2_output  all  --  any    br-lan2  anywhere             anywhere            
    0     0 zone_guest_output  all  --  any    wlan0-1  anywhere             anywhere            
   60  8796 zone_wan_output  all  --  any    eth0.2  anywhere             anywhere            

Chain forwarding_guest_rule (1 references)
 pkts bytes target     prot opt in     out     source               destination         

Chain forwarding_lan2_rule (1 references)
 pkts bytes target     prot opt in     out     source               destination         

Chain forwarding_lan_rule (1 references)
 pkts bytes target     prot opt in     out     source               destination         

Chain forwarding_rule (1 references)
 pkts bytes target     prot opt in     out     source               destination         

Chain forwarding_wan_rule (1 references)
 pkts bytes target     prot opt in     out     source               destination         

Chain input_guest_rule (1 references)
 pkts bytes target     prot opt in     out     source               destination         

Chain input_lan2_rule (1 references)
 pkts bytes target     prot opt in     out     source               destination         

Chain input_lan_rule (1 references)
 pkts bytes target     prot opt in     out     source               destination         

Chain input_rule (1 references)
 pkts bytes target     prot opt in     out     source               destination         

Chain input_wan_rule (1 references)
 pkts bytes target     prot opt in     out     source               destination         

Chain output_guest_rule (1 references)
 pkts bytes target     prot opt in     out     source               destination         

Chain output_lan2_rule (1 references)
 pkts bytes target     prot opt in     out     source               destination         

Chain output_lan_rule (1 references)
 pkts bytes target     prot opt in     out     source               destination         

Chain output_rule (1 references)
 pkts bytes target     prot opt in     out     source               destination         

Chain output_wan_rule (1 references)
 pkts bytes target     prot opt in     out     source               destination         

Chain reject (5 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 REJECT     tcp  --  any    any     anywhere             anywhere            reject-with tcp-reset 
  412 39383 REJECT     all  --  any    any     anywhere             anywhere            reject-with icmp-port-unreachable 

Chain syn_flood (1 references)
 pkts bytes target     prot opt in     out     source               destination         
    6   360 RETURN     tcp  --  any    any     anywhere             anywhere            tcp flags:FIN,SYN,RST,ACK/SYN limit: avg 25/sec burst 50 
    0     0 DROP       all  --  any    any     anywhere             anywhere            

Chain zone_guest_dest_ACCEPT (1 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 ACCEPT     all  --  any    wlan0-1  anywhere             anywhere            

Chain zone_guest_forward (1 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 forwarding_guest_rule  all  --  any    any     anywhere             anywhere            /* user chain for forwarding */ 
    0     0 zone_wan_dest_ACCEPT  all  --  any    any     anywhere             anywhere            /* forwarding guest -> wan */ 
    0     0 zone_guest_src_REJECT  all  --  any    any     anywhere             anywhere            

Chain zone_guest_input (1 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 input_guest_rule  all  --  any    any     anywhere             anywhere            /* user chain for input */ 
    0     0 ACCEPT     tcp  --  any    any     anywhere             anywhere            tcp dpt:domain /* Guest_DNS */ 
    0     0 ACCEPT     udp  --  any    any     anywhere             anywhere            udp dpt:domain /* Guest_DNS */ 
    0     0 ACCEPT     udp  --  any    any     anywhere             anywhere            udp spts:bootps:bootpc dpts:bootps:bootpc /* Guest_DHCP */ 
    0     0 zone_guest_src_REJECT  all  --  any    any     anywhere             anywhere            

Chain zone_guest_output (1 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 output_guest_rule  all  --  any    any     anywhere             anywhere            /* user chain for output */ 
    0     0 zone_guest_dest_ACCEPT  all  --  any    any     anywhere             anywhere            

Chain zone_guest_src_REJECT (2 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 reject     all  --  wlan0-1 any     anywhere             anywhere            

Chain zone_lan2_dest_ACCEPT (1 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 ACCEPT     all  --  any    br-lan2  anywhere             anywhere            

Chain zone_lan2_forward (1 references)
 pkts bytes target     prot opt in     out     source               destination         
   57  3212 forwarding_lan2_rule  all  --  any    any     anywhere             anywhere            /* user chain for forwarding */ 
   57  3212 zone_lan_dest_ACCEPT  all  --  any    any     NAS_NETBOOK.lan      anywhere            /* @rule[11] */ 
   57  3212 zone_wan_dest_ACCEPT  all  --  any    any     anywhere             anywhere            /* forwarding lan2 -> wan */ 
    0     0 zone_lan2_src_REJECT  all  --  any    any     anywhere             anywhere            

Chain zone_lan2_input (1 references)
 pkts bytes target     prot opt in     out     source               destination         
  334 28614 input_lan2_rule  all  --  any    any     anywhere             anywhere            /* user chain for input */ 
    0     0 ACCEPT     tcp  --  any    any     anywhere             anywhere            tcp dpt:domain /* LAN2_DNS */ 
   24  1584 ACCEPT     udp  --  any    any     anywhere             anywhere            udp dpt:domain /* LAN2_DNS */ 
    0     0 ACCEPT     udp  --  any    any     anywhere             anywhere            udp spts:bootps:bootpc dpts:bootps:bootpc /* LAN2_DHCP */ 
  310 27030 zone_lan2_src_REJECT  all  --  any    any     anywhere             anywhere            

Chain zone_lan2_output (1 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 output_lan2_rule  all  --  any    any     anywhere             anywhere            /* user chain for output */ 
    0     0 zone_lan2_dest_ACCEPT  all  --  any    any     anywhere             anywhere            

Chain zone_lan2_src_REJECT (2 references)
 pkts bytes target     prot opt in     out     source               destination         
  310 27030 reject     all  --  br-lan2 any     anywhere             anywhere            

Chain zone_lan_dest_ACCEPT (2 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 ACCEPT     all  --  any    br-lan  anywhere             anywhere            

Chain zone_lan_forward (1 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 forwarding_lan_rule  all  --  any    any     anywhere             anywhere            /* user chain for forwarding */ 
    0     0 zone_wan_dest_ACCEPT  all  --  any    any     anywhere             anywhere            /* forwarding lan -> wan */ 
    0     0 zone_lan_src_REJECT  all  --  any    any     anywhere             anywhere            

Chain zone_lan_input (1 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 input_lan_rule  all  --  any    any     anywhere             anywhere            /* user chain for input */ 
    0     0 zone_lan_src_ACCEPT  all  --  any    any     anywhere             anywhere            

Chain zone_lan_output (1 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 output_lan_rule  all  --  any    any     anywhere             anywhere            /* user chain for output */ 
    0     0 zone_lan_dest_ACCEPT  all  --  any    any     anywhere             anywhere            

Chain zone_lan_src_ACCEPT (1 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 ACCEPT     all  --  br-lan any     anywhere             anywhere            

Chain zone_lan_src_REJECT (1 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 reject     all  --  br-lan any     anywhere             anywhere            

Chain zone_wan_dest_ACCEPT (4 references)
 pkts bytes target     prot opt in     out     source               destination         
  117 12008 ACCEPT     all  --  any    eth0.2  anywhere             anywhere            

Chain zone_wan_forward (1 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 forwarding_wan_rule  all  --  any    any     anywhere             anywhere            /* user chain for forwarding */ 
    0     0 zone_wan_src_REJECT  all  --  any    any     anywhere             anywhere            

Chain zone_wan_input (1 references)
 pkts bytes target     prot opt in     out     source               destination         
  108 12713 input_wan_rule  all  --  any    any     anywhere             anywhere            /* user chain for input */ 
    0     0 ACCEPT     udp  --  any    any     anywhere             anywhere            udp dpt:bootpc /* Allow-DHCP-Renew */ 
    0     0 ACCEPT     icmp --  any    any     anywhere             anywhere            icmp echo-request /* Allow-Ping */ 
    6   360 ACCEPT     tcp  --  any    any     anywhere             anywhere            tcp dpt:www /* LuCI */ 
    0     0 ACCEPT     tcp  --  any    any     anywhere             anywhere            tcp dpt:ssh /* SSH */ 
  102 12353 zone_wan_src_REJECT  all  --  any    any     anywhere             anywhere            

Chain zone_wan_output (1 references)
 pkts bytes target     prot opt in     out     source               destination         
   60  8796 output_wan_rule  all  --  any    any     anywhere             anywhere            /* user chain for output */ 
   60  8796 zone_wan_dest_ACCEPT  all  --  any    any     anywhere             anywhere            

Chain zone_wan_src_REJECT (2 references)
 pkts bytes target     prot opt in     out     source               destination         
  102 12353 reject     all  --  eth0.2 any     anywhere             anywhere
APU2 @ OpenWrt 18.06-SNAPSHOT, r7852-7ac6044632

8 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,845

Odp: Gargoyle VLAN czy przesiadka na OpenWRT - proszę o radę

iptables -v -L - t nat jeszcze pokaż.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

9 Odpowiedź przez Graffy

  • Graffy
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2013-04-23
  • Posty: 310

Odp: Gargoyle VLAN czy przesiadka na OpenWRT - proszę o radę

Dobra działa, źle się zabrałem do testowania.
Przemęczenie robi swoje, do problemu trzeba podejść na świeżo smile
Postawiłem na laptopie w LAN serwer SSH i udało mi się z nim połączyć z LAN2 regułką, którą stosowałem wcześniej.

config rule
        option name 'NAS2->LAN'
        option target 'ACCEPT'
        option src 'lan2'
        option src_ip '10.0.1.60'
        option dest 'lan'
        option proto 'all'
        option family 'ipv4'

Teraz mam jeszcze pytanie, jeżeli chcę mieć dostęp z LAN do LAN2 wystarczy, że zmienię ? :

config zone
    option name 'lan'
    list network 'lan'
    option input 'ACCEPT'
    option output 'ACCEPT'
    option forward 'REJECT' -> 'ACCEPT' ?

Testowałem i działa ale jak ma to się do bezpieczeństwa?
Domyślnie forward jest 'reject'.

APU2 @ OpenWrt 18.06-SNAPSHOT, r7852-7ac6044632

10 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,845

Odp: Gargoyle VLAN czy przesiadka na OpenWRT - proszę o radę

W tylko takie ze zezwalasz wszystkiemu na komunikację z lanem. Pytanie więc czy ten lan2 ma być dla gości i lan odseparowany od nich czy nie.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

11 Odpowiedź przez Graffy

  • Graffy
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2013-04-23
  • Posty: 310

Odp: Gargoyle VLAN czy przesiadka na OpenWRT - proszę o radę

lan z adresacją 10.0.0.1 będzie u mnie
lan2 z adresacją 10.0.1.1 u matki.

Generalnie lan2 ma mieć internet i tylko kilka urządzeń będzie miało dostęp do lan1.
Natomiast z lan chcę mieć dostęp do lan2 w razie jakby trzeba było się połączyć np. z NAS-em i coś skonfigurować.

@Cezary sądzisz, że bezpieczniej będzie zrobić to regułką analogiczną jak udało mi się przepuścić ruch z lan2 do lan ?

config rule
        option name 'LAN->LAN2'
        option target 'ACCEPT'
        option src 'lan'
        option src_ip '10.0.0.XX'
        option dest 'lan2'
        option proto 'all'
        option family 'ipv4'
APU2 @ OpenWrt 18.06-SNAPSHOT, r7852-7ac6044632

12 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,845

Odp: Gargoyle VLAN czy przesiadka na OpenWRT - proszę o radę

W takim razie chyba tak, bezpieczniej zdefiniować co ma być.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

13 Odpowiedź przez Graffy

  • Graffy
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2013-04-23
  • Posty: 310

Odp: Gargoyle VLAN czy przesiadka na OpenWRT - proszę o radę

Dziękuję @Cezary za zainteresowanie tematem i pomoc.

APU2 @ OpenWrt 18.06-SNAPSHOT, r7852-7ac6044632