Como isolar clientes WLAN no OpenWRT?

Question

Atualmente, estou configurando uma rede sem fio pública. Eu quero impedir que os clientes conversem entre si.

Aqui está minha configuração atual.

/etc/config/firewall without anything related to lan:

config 'zone'
    option 'name' 'wan'
    option 'input' 'REJECT'
    option 'output' 'ACCEPT'
    option 'forward' 'REJECT'
    option 'masq' '1'
    option 'mtu_fix' '1'
    option 'network' 'wan'

config 'rule'
    option 'src' 'wan'
    option 'proto' 'udp'
    option 'dest_port' '68'
    option 'target' 'ACCEPT'
    option 'family' 'ipv4'

config 'rule'
    option 'src' 'wan'
    option 'proto' 'icmp'
    option 'icmp_type' 'echo-request'
    option 'target' 'ACCEPT'

config 'zone'
    option 'name' 'public'
    option 'network' 'public'
    option 'output' 'ACCEPT'
    option 'input' 'REJECT'
    option 'forward' 'DROP'

config 'forwarding'
    option 'dest' 'wan'
    option 'src' 'public'

config 'rule'
    option 'target' 'ACCEPT'
    option 'src' 'public'
    option 'proto' 'tcpudp'
    option 'dest_port' '53'
    option '_name' 'public dns'

config 'rule'
    option 'target' 'ACCEPT'
    option '_name' 'public dhcp'
    option 'src' 'public'
    option 'proto' 'udp'
    option 'src_port' '67-68'
    option 'dest_port' '67-68'

De alguma forma, os clientes ainda podem se comunicar uns com os outros. Por que isso e o que posso fazer contra isso?

    

Answer 1

O Luci não oferece todas as configurações o tempo todo. Se estiver disponível, isolate estará disponível como Additional field para a interface sem fio. Adicione o campo e marque a caixa. No entanto, ao ler o script, o padrão é ativar o isolamento.

Caso contrário, você precisará editar /etc/config/wireless e adicionar option isolate 1 à seção wifi-iface . O diretório /lib/wireless como os scripts de inicialização sem fio onde você pode encontrar as opções suportadas.

O firewall pode ser um problema, pois você pode permitir o roteamento entre todos os IPs no switch. Você deve modificar essas regras para limitar os endereços acessíveis. Permitir conexões com o próprio roteador, mas você pode não querer permitir o acesso a outros endereços.

    

Answer 2

AFAIK, o OpenWRT suporta o isolamento AP de forma nativa. As configurações de NVRAM wl0_ap_isolate e wl_ap_isolate podem ser ativadas, definindo-as como 1 . No entanto, uma pesquisa rápida no Google mostra que muitas pessoas experimentam resultados inconsistentes, dependendo da revisão do firmware. Eu não posso explicar isso como nunca tentei por mim mesmo.

Por que seus clientes podem se comunicar uns com os outros, o tráfego inter-LAN pode não estar atingindo o firewall.