OpenWRT NAT somente para clientes em determinada rede WLAN

Question

Estou usando um roteador WLAN com tecnologia OpenWRT como ponto de acesso para minha rede. Tudo no ID de rede é executado através de uma caixa PFSense para que eu possa ter controle total a partir daí. Gostaria de ter uma rede WiFi Guest da qual os usuários só têm acesso à Internet e não podem se comunicar com nenhum outro cliente na rede. Meu roteador suporta totalmente a execução de um segundo AP com um SSID diferente e também pode ser configurado como uma interface separada. O que complica a minha configuração é que eu quero executar todo o DHCP para toda a minha LAN através da caixa PFSense, isso é normalmente muito simples, eu apenas conecto os adaptadores LAN e WLAN no roteador e isso funciona, mas a caixa PFSense não tem como distinguindo usuários na rede privada daqueles na rede guest. O que eu gostaria de fazer é conectar todos os clientes na rede privada diretamente com a caixa PFSense, mas traduzir os endereços de todos os clientes convidados para um IP reservado que o PFSense possa reconhecer e gerenciar de acordo. Isso significaria DHCP e NAT na rede WIFI para convidados, ao mesmo tempo em que conecta a rede privada. Como eu faria isso?

PS. Eu não tenho desejo de executar o DHCP para os usuários convidados através do PFSense que deve ser feito preferencialmente no roteador sem fio.

    

Answer 1

Você está tentando resolver isso de uma maneira bastante hesitante. A menos que você defina o firewall no OpenWrt para impedir que os convidados acessem sua rede LAN normal, eles poderão acessar tudo. E por causa do NAT, você nem sabe qual convidado é.

Em vez disso, sugiro que você use a marcação de VLAN. Eu não tenho idéia sobre pfSense, mas deve apoiar algo tão básico como este.

As alterações necessárias seriam as seguintes:

• No OpenWrt, adicione uma interface de ponte guest-vlan

  → Contém a rede de convidados WiFi e eth0.2 (ou similar)

• No pfSense, configure uma interface para a VLAN 2 em sua interface LAN local

  → Defina para que esta zona de rede só possa falar com a internet e não com a sua rede regular

Agora você tem um túnel entre sua rede de convidados e sua caixa pfSense. Todo o material DHCP e firewall seria tratado pelo pfSense. Os clientes convidados não podem escapar de sua contenção, mas o tráfego deles não é protegido de ninguém na rede normal.