Ja specjalnie wszystko wyciągnąłem z br-lan aby mieć pełną izolacje na każdej warstwie każde urządzenie/klient jest w osobnym interfejsie z osobny zakresem i osobnej strefie na wifi/radiach też mam włączona izolacje aby w sterowniku zapewnić pełna izolacje już od L1 bo chce aby ruter zarazem był takim lepszym firewallem zarazem a nie domyślne jak jest wszystko w br-lan razem, Dziękuje za linka sprawdzę

Czyli takie coś nie zadziała w uci? musze zejść do nftables tam to czarna magia całkiem dla mnie zero graficznego gui żeby to zrozumieć lepiej no nic trzeba sie uczyć dalej openwrt.

uci add firewall redirect
uci set firewall.@redirect[-1].name='Redirect-NTP-Global'
uci set firewall.@redirect[-1].src='*'     <- gwiazdka oznacza wszystkie interfejsy w tym wan dlatego
uci set firewall.@redirect[-1].src_ip='192.168.0.0/16'     <- zrobiłbym zakres grupy moich lanów
uci set firewall.@redirect[-1].src_dport='123'
uci set firewall.@redirect[-1].dest_ip='192.168.1.1'
uci set firewall.@redirect[-1].dest_port='123'
uci set firewall.@redirect[-1].proto='udp'
uci set firewall.@redirect[-1].target='DNAT'
uci commit firewall
/etc/init.d/firewall restart

myślałem ze tak globalnie jedną regułą przekieruje wszystkie lany na zegar ntp w ruterze

tak uprościłem to ale wiadomo o co chodzi efekt będzie ten sam nikt inny nie może mieć takich zakresów więc bezpieczeństwo tez zostało by zachowane

Poproszę wyjaśni co masz namyśli? bo zabrzmiało to jak ostrzeżenie lub jakieś dodatkowa wiedza która mi umyka.

Przecież chyba można dać nawet takie coś:
uci set firewall.@redirect[-1].src_ip='192.0.0.0/24 172.16.0.0/12 10.0.0.0/8'

i tak dalej czyli standardowe zakresy prywatne wedle RFC1918? i wydaje mi się ze powinno to być bezpieczne skoro przekierowuje ten ruch na adres rutera 192.168.1.1? i wycieku też się pozbędę skoro src='*' obejmuje wszystkie interfejsy w tym wan ale na wan sa inne zakresy adresów publiczne lub cgnat etc.? W zasadzie to chodzi o to ze nie można robić grup LAN i definiować jedną reguła wszystkich lanów a nieszczęsny src='*' z gwiazdką obejmuje też wan i dlatego wykombinowałem ze dodam klasę adresowa do ocięcia wan chyba dobrze myślę?

ok teraz rozumiem dziękuję za wiedzę czyli mogę jedynie dać jedną maskę (pisząc maskę mam na myśli /24 /23 /16/ 8 itd) podsieci w których sa moje lany (strefy) jak tu:
uci set firewall.@redirect[-1].src_ip='192.168.0.0/16' 
ale nie mogę używać spacji i kolejnych zakresów w tym samym

Niestety mam komunikat:
must not have source '*' for dnat target
- gwiazdka w rules działa, ale nie działa w redirect to sie tyle dowiedziałem w praktyce.
Teraz nie wiem jakie mam możliwości w uci chyba sie nie da inaczej zrobić tego jedna regułą?
List też nie da się zrobić by dodać do jednej reguły kilka uci add_list firewall.@redirect[-1].src=
Co mi pozostaje?

ale właśnie tego chciałem uniknąć od początku i zoptymalizować wszystko do jednej reguły skoro jest tyle wspólnych mianowników a jest tylko jedna różnica w tej regule a im więcej reguł tym firewall zwalnia niestety

w opensense jest takie coś co nazywa się floating lub tworzysz grupę interfejsów lan (jako jeden interfejs ale cały czas separowany po za tym regułami i wspólnymi) i wtedy jedną regułą możesz określać takie rzeczy tylko dla wybranych lanów nie dość ze jest to szybsze bo jedna reguła to jeszcze bardziej czyste do zarzadzania

Niestety ograniczenia bezpieczeństwa UCI tego przeskoczyć nie pozwolą na to wychodzi.
Ale z drugiej strony powinny być takie rzeczy dostępne dla tych podstawowych portów jak 53,123 bo myślę ze wiele osób to robi i przekierowuje na ruter te porty jednak nie będę tracił na to dumanie czasu system takie ma ograniczenia ja tez rozbiłem br-lan tylko dla fizycznych portów, wiec po części to moja kombinacja ma na to wpływ, bo nie mam standardowo.

Ale do rzeczy
Czy to zadziała i wystarczy bo tu w nftables boje się 100% więcej o błąd niż w uci

iifname { "br-lan", "phy0-ap*", "phy1-ap*" } udp dport 123 counter dnat ip to 192.168.1.1:123

Sprawdziłem niby działa nie sprawdzałem jeszcze jak to wygląda od strony wan bo nie mam dzisiaj dostępu do skanowania Nmap z drugiego PC w innej sieci z tak samo publicznym IP. Chyba ze podłączę "między" drugi ruter i zacznę patrzeć na logi... ale mniejsza o to bo odchodzę od tematu.

Teraz jeszcze się zastanawiam jak to dodać na stałe do listy bez dotykania /etc/rc.local  lub /etc/config/firewall bo myślę ze tam nie ma sensu tego wklejać i to nie miejsce na to. Tylko lepiej było by wstrzyknąć to bezpośrednio do tabeli na stałe, dobrze myślę? Czy OpenWrt ma jakiś katalog lub sposób by wstrzyknąć to na starcie firewalla na stałe do tabeli?

Chyba może być.