Dzięki – załatwiło sprawę.

Przed chwilą było to pytanie kilka postów wyżej. Nie, nie przejdziesz bezboleśnie, więc nie zachowuj ustawień.

Składniowo uci jest takie samo. Ale nie ma opcji extra, nie ma firewall.user itp podobnych rzeczy. Dopóki używasz czystego uci to wszystko powinno działać (prawie, bo parę rzeczy znaleźli i zostało poprawionych, ale ciekawe co jeszcze wyjdzie).

To co miałeś w firewall.user przepisać na nftables. Normalnie openvpn nie wymaga żeby coś było w firewall.user, więc cokolwiek tam umieściłeś musisz sobie sam przepisać na uci lub nftables.

Nie mam pojęcia czym są pliki up.sh i down.sh i co w nich masz. Zanim zadasz kolejne pytanie - nie działają reguły iptables. Cokolwiek masz, gdziekolwiek masz, w jakimkolwiek programie czy skrypcie dowolną regułę iptables - musisz ją przepisać.
Jeżeli masz tam cokolwiek związanego z iptables to tak. Jak nie to nie.

Jak pisałem - to są reguły iptables, więc musisz to sobie przepisać.

A tak w ogóle to możesz się tego całkowicie pozbyć, oraz wywalić forwarding pomiędzy wan a lan. Będzie miało taki sam skutek.

BTW, dziś oficjalnie ogłoszono dostępność wydania 22.03.0-rc1 i mała ciekawostka związana z OpenWrt: obecnie wspieranych jest 1550 modeli urządzeń. Nigdy nie liczyłem

A jeżeli ktoś chce to może sobie zoptymalizować firewalla.
Normalnie firewall4 przetwarza po kolei reguły z pliku /etc/config/firewall dopisując kolejne linie do zestawu. Prawidłowo.
Reguły nftables możemy sobie zapisać do pliku:

# nft list ruleset > nftables.rules

dalej możemy sobie sprawdzić co proponuje "nft" jeśli chodzi o optymalizację zgodnie z punktem:

"It provides a generic set infrastructure that allows you to construct maps and concatenations. You can use these new structures to arrange your ruleset in a multidimensional tree which drastically reduces the number of rules that need to be inspected until reaching the final action on a packet." źródło: what is nft
U mnie proponuje:

Każde z 3 linii "iifname" można zastąpić jedną linią z dodatkiem "vmap". Czyli łącznie 9 linii można zastąpić 3-ma liniami.
W razie jakby nie chciał przyjąć składni 2 interfejsów spiętych w nawiasy {} jak tu:

{ eth2, br-lan } : jump input_lan,

to można rozdzielić pojedynczo:

iifname vmap { eth2 : jump input_lan, br-lan : jump input_lan ....}

Po wykonaniu tej optymalizacji pliczek skurczył się względem oryginału:

# ll
drwxr-xr-x    1 root     root          1024 May  7 22:56 ./
drwxr-xr-x    1 root     root          1024 Apr 23 17:53 ../
-rw-r--r--    1 root     root          6493 May  7 23:26 nftables.optimize
-rw-r--r--    1 root     root          6788 May  8 11:16 nftables.rules

Po starcie można sobie czyścić reguły i ładować zoptymalizowane:

# nft flush ruleset
# nft -f nftables.optimize

Przy 3 regułach nie poprawi się szybkości, jedynie pozostaje zadowolenie z "optymalizacji"
Testy w sieci mówią że przy kilku tysiącach reguł być może warto to zrobić.
Kto ma kilka tysięcy reguł w firewallu na Openwrt?

Potwierdzam, OpenWrt 22.03-SNAPSHOT r19334-2ac5ee7f8a na R6220 zamyka 600mbs bez problemu na PPPoE.

@Ginti sprawdzałeś może czy gigabita wysyci?

Orange Światłowód 1Gb leci u mnie 900/300, właściwie bez obciążenia CPU.

Uptime pokazuje już 8 dni.

Co zrobić żeby zadziałało pptp?
Po zastosowaniu metdody:
# opkg install kmod-nf-nathelper-extra
# echo "net.netfilter.nf_conntrack_helper = 1" >> /etc/sysctl.d/local.conf
# reboot

Jest komunikat: "nf_conntrack: default automatic helper assignment has been turned off for security reasons and CT-based  firewall rule not found. Use the iptables CT target to attach helpers instead."

I dalej nie zestawia połączenia.

[Edit]
Działa, coś nie tak musiałem zrobić.
W domyślnym firewall są jakieś reguły dotyczące pptp, ale bez linijki w sysctl nic nie dają.
Może czegoś jeszcze brakuje??
Może jakiś znawca nftables podpowie jak to zrobić poprawnie?