Czyli Panie Cezary ...
1. Konfiguruje z gui sieć wifi nazwijmy to "firma" jako AP.
2. http://openrouter.info/forum/viewtopic. … &t=967

prośba o linki jeśli nie sprawi to problemu także o info na www o podłączeniu do sieci.

Dzieki Cezary.

Monitor sieci - zastosowałem zakres ip z gui z klasy Wifi sieć gościnna.

Jednak prosze o odpowiedź na jeszcze jedno pewnie z wielu pytań.

Przed Garym który emituje "wifi guest" jest jeszcze router (dla Garego to już wan). Wobec tego widzi udziały sieciowe na Wan'ie. Wobec tego wpis:

uci add firewall forwarding
uci set firewall.@forwarding[-1].src=guest
uci set firewall.@forwarding[-1].dest=wan

... dopuszcza go do udziałów na WAN'ie.

Podsieć na Routerze przed Garym to 192.168.3.0
Podsieć na routerze z Garym 192.168.1.0
Podsieć Wifi guest taka jak w poradniku 10.1.1.0 

Jak moge zabronić chociaż dostęp do udziałów sieciowych na moim WAN. Reguła iptables zapewne. Tylko jeszcze nie zabardzo rouzmiem jaki wpis.

Czy wobec tego Twój post odnośnie:

"iptables -I FORWARD -p tcp -i wlan1 -d 192.168.0.0/24 -j REJECT"

"A później wycinasz na firewalu wszytko co pochodzi z sieci gościnnej do lokalnej"

.... nie powinien wygladać inaczej tzn. np. wycinać ruchu otocznia sieciowego z WAN'a

Lokalne udziały na 192.168.1.0 nie sa widoczne poprzez siec gościnna (działa to bez wpisu iptables w firewall.user).

Pozdrawiam

Myślałem że można np. zablkować porty dla otoczenia seciowego dla podsieci 192.168.3.0.

dobra bede grzebał na eko.one

Pokaż jak blokowałeś.

Ale sugeruję żebyś nie robił tego przez uci tylko zwykłymi regułami iptables.

iptables -I FORWARD -p tcp -i ethX -d 192.168.3.0/24 --dport 137 -j DROP
iptables -I FORWARD -p tcp -i ethX -d 192.168.3.0/24 --dport 138 -j DROP
iptables -I FORWARD -p tcp -i ethX -d 192.168.3.0/24 --dport 139 -j DROP

Jak chcesz używać zakresu portów to musisz -m multiport dodać. Oddzielne reguły dla TCP i UDP. Nie ma interfejsu "wan". To nazwa logiczna stosowana przez openwrt. ifconfig sobie zrób zobaczysz jak nazywają się interfejsy.

Nie nie, to jeszcze nie gotowiec

Możesz zrobić sobie iptables -I FORWARD -j LOG będzie logował wszystko w systemu. Wtedy puszczasz ruch jaki chcesz i widzisz skąd co i dokąd to idzie.

Bo co by Ci przyszło z tego jak byś gotowca dostał...

kolejnie pytanie:

Tym razem gary jest skonfigurowany jako most przewodowy czyli:

-przewód z sygnałem internetowym podpięty pod lan
-podsieć ustawiona w takiej samej klasie jak przed garym 192.168.0.1
-wifi firmowe ustawione ( taka sama podsieć rzecz jasna jak lan czyli 192.168.0.1)
-dhcp wyłączone - ip przydziela router przed garym
-stworzono kolejną sieć wifi "siec_goscina" na podsieci 10.1.1.0

/etc/firewall

config defaults
    option syn_flood '1'
    option input 'ACCEPT'
    option output 'ACCEPT'
    option forward 'REJECT'

config zone
    option name 'lan'
    option network 'lan'
    option input 'ACCEPT'
    option output 'ACCEPT'
    option forward 'REJECT'

config zone
    option name 'wan'
    option network 'wan'
    option input 'REJECT'
    option output 'ACCEPT'
    option forward 'REJECT'
    option masq '1'
    option mtu_fix '1'

config forwarding
    option src 'lan'
    option dest 'wan'

config rule
    option name 'Allow-DHCP-Renew'
    option src 'wan'
    option proto 'udp'
    option dest_port '68'
    option target 'ACCEPT'
    option family 'ipv4'

config rule
    option name 'Allow-Ping'
    option src 'wan'
    option proto 'icmp'
    option icmp_type 'echo-request'
    option family 'ipv4'
    option target 'ACCEPT'

config rule
    option name 'Allow-DHCPv6'
    option src 'wan'
    option proto 'udp'
    option src_ip 'fe80::/10'
    option src_port '547'
    option dest_ip 'fe80::/10'
    option dest_port '546'
    option family 'ipv6'
    option target 'ACCEPT'

config rule
    option name 'Allow-ICMPv6-Input'
    option src 'wan'
    option proto 'icmp'
    list icmp_type 'echo-request'
    list icmp_type 'echo-reply'
    list icmp_type 'destination-unreachable'
    list icmp_type 'packet-too-big'
    list icmp_type 'time-exceeded'
    list icmp_type 'bad-header'
    list icmp_type 'unknown-header-type'
    list icmp_type 'router-solicitation'
    list icmp_type 'neighbour-solicitation'
    list icmp_type 'router-advertisement'
    list icmp_type 'neighbour-advertisement'
    option limit '1000/sec'
    option family 'ipv6'
    option target 'ACCEPT'

config rule
    option name 'Allow-ICMPv6-Forward'
    option src 'wan'
    option dest '*'
    option proto 'icmp'
    list icmp_type 'echo-request'
    list icmp_type 'echo-reply'
    list icmp_type 'destination-unreachable'
    list icmp_type 'packet-too-big'
    list icmp_type 'time-exceeded'
    list icmp_type 'bad-header'
    list icmp_type 'unknown-header-type'
    option limit '1000/sec'
    option family 'ipv6'
    option target 'ACCEPT'

config include
    option path '/etc/firewall.user'

config include
    option path '/usr/lib/gargoyle_firewall_util/gargoyle_additions.firewall'

config include 'openvpn_include_file'
    option path '/etc/openvpn.firewall'

config zone                                      (akceptuj we, wy,przekierowania) tu nie
    option name 'guest'
    option network 'guest'
    option input 'REJECT'
    option output 'ACCEPT'
    option forward 'REJECT'

config forwarding                      (przekierowanie portów zapewne - ale to chyba robi router przed garym, próbowłem z lan)
    option src 'guest'
    option dest 'wan'

config rule                                   
    option src 'guest'
    option proto 'udp'
    option src_port '67-68'
    option dest_port '67-68'
    option target 'ACCEPT'
    option family 'ipv4'

config rule
    option src 'guest'
    option dest_port '53'
    option target 'ACCEPT'
    option family 'ipv4'
    option proto 'tcpudp'

I znowu to samo pytanie jaki wpis powinien dodać aby ruch internetowy odbywał się na guest ?

gary lan kabel - net ok
wifi "firma" ustawiona z gui - net ok
wifi "siec goscinna" - net brak

chodzi mi o to że na alasie "guest" nie ma net'a.

pomyślałem że może:

config forwarding                     
    option src 'guest'
    option dest 'wan' -> zmiana na 'lan'

/etc/firewall

config zone
    option name 'guest'
    option network 'guest'
    option input 'REJECT'
    option output 'ACCEPT'
    option forward 'REJECT'

config forwarding
    option src 'guest'
    option dest 'lan'  <------- zmieniłem z wan na lan

config rule
    option src 'guest'
    option proto 'udp'
    option src_port '67-68'
    option dest_port '67-68'
    option target 'ACCEPT'
    option family 'ipv4'

config rule
    option src 'guest'
    option dest_port '53'
    option target 'ACCEPT'
    option family 'ipv4'
    option proto 'tcpudp'

domyślam się że nie chodzi o iptables jeśli się mylę ..... proszę o info

logów iptables nie podejrze ponieważ routuje 2gi router na którym nie mam takich informacji