DD-WRT Configurando a rede de convidados

Question

Eu tenho um roteador no qual eu instalei o firmware do DD-WRT. Eu estou tentando configurar uma interface virtual para usar como uma rede de convidado. A rede convidada deve estar na sub-rede 192.168.8.0/24 enquanto a nossa rede local estiver na sub-rede 192.168.1.0/24. A rede de convidados deve ter acesso total à internet, mas sem acesso à nossa LAN. Eu acho que tenho tudo configurado corretamente, tanto quanto criar a interface virtual e atribuí-lo a uma ponte (br1). Eu sou capaz de se conectar à rede de convidado e o cliente obtém um IP na sub-rede correta. No entanto, não consigo acessar nada fora da sub-rede 192.168.8.0/24. Eu estou supondo que eu preciso configurar algumas regras iptables, mas eu sou muito instável com eles. Aqui está o que eu tenho atualmente no firewall:

iptables -I INPUT -i br1 -m state --state NEW -j logaccept
iptables -I FORWARD -i br1 -o $wanif -m state --state NEW -j ACCEPT

Editar, mais informações:

Eu configurei uma interface virtual sem fio (ath0.1) para ser minha rede convidada. Em Configuração > Rede, criei uma ponte chamada br1 com o ip 192.168.8.1 e atribua ath0.1 a ela. Eu adicionei um servidor DHCP à ponte. Em seguida, em Serviços > Serviços, adicionei o seguinte a Opções adicionais de DNSMasq

interface=br1
dhcp-range=br1,192.168.8.100,192.168.8.200,255.255.255.0,1440m

Por fim, adicionei as regras do iptables acima ao firewall, em Administration > Commands.

    

Answer 1

Para isso, você precisa ter uma configuração de rota padrão para a rede .8, o que significa que você precisa de algo para lidar com o roteamento entre as duas redes.

No entanto, se você estiver interessado apenas em impedir que o tráfego das conexões de ath0.1 chegue a algo que não seja o externo (seu roteador de borda e além), você pode configurá-lo sem ter uma segunda rede. O que você precisa fazer é configurar as regras do iptables que bloqueiam o tráfego de ath0.1 para o intervalo da rede e também uma regra inversa, que bloqueia o tráfego do intervalo da rede. Você também precisaria de um par de regras que permitisse o tráfego de e para o roteador de gateway.

Algo como:

iptables -t INPUT -i ath0.1 -d 192.168.1.254 -j ACCEPT     
iptables -t OUTPUT -o ath0.1 -d 192.168.1.254 -j ACCEPT     

iptables -t OUTPUT -o ath0.1 -s 192.168.1.0.24 - j DROP
iptables -t INPUT -i ath0.1 -d 192.168.1.0.24 - j DROP

Estas regras devem permitir que você tenha tudo em 192.168.1.0/24 sem permitir que o tráfego chegue à rede principal, exceto ao roteador (chamado 1.254 aqui). Eles podem precisar de alguns pequenos ajustes também.