[教程] OPENWRT路由设置访客网络配置防火墙进行网络隔离

[教程] OPENWRT路由设置访客网络配置防火墙进行网络隔离

访客网络主要供亲友等家庭以外的成员来访时使用。 特别是一些亲戚朋友喜欢安装WiFi密码分享软件。 好的选择。

路由器功能强大。 虽然没有直接的访客网络功能，但是用户可以根据自己的需要新建访客网络和配置防火墙。 最重要的是隔离内网，让连接到访客网络的设备无法访问家庭主网络。 因此，即使密码泄露，也不会造成太大的影响。 而且你还可以设置定时开启访客网络的功能，不需要的时候关闭，避免密码泄露后被黑客入侵占用网络带宽。

此外，对于部分用户，还可以将物联网设备连接到访客网络，即将物联网设备与家庭主网络隔离，避免因物联网安全漏洞影响家庭网络安全。设备。 这对于使用SMB等家庭网络共享的用户来说非常重要。 （注：IoT设备隔离后更加安全，但如果手机要连接，手机也必须连接到访客网络，需要打开相应的端口，有经验的用户建议配置）

网段地址规划：

建立访客网络首先需要规划网段，让不同的网络位于不同的网段，方便我们后续的管理。 原则上我们可以为访客网络使用不同的子网段，也没有必要使用不同的子网段。 网段。

例如 的路由器以桥接方式连接光猫，路由器的网段为192.168.1.x。 我们给访客网络设置的网段是192.168.4.x，为什么不是192.168.2.x和3.x呢？ 因为我们已经对这两个子网段有其他用途，所以访客网络将继续排在后面。

访客网络配置完成后，连接设备的IP地址均为192.168.4.x，而家庭网络中其他设备的地址为192.168.1.x。

配置访客网络接口：

进入路由器网络和无线界面，我们创建一个2.4GHz的访客网络（也可以选择5GHz或者分别创建两个频段的访客网络），点击无线概览中2.4GHz频段后面的添加按钮，进入设备配置的基本设置 默认不需要修改。

在界面配置：mode中，我们选择接入点AP，ESSID为名称，例如代表访客网络，在网络中选择，自定义名称为Guest，在无线安全中设置加密方式如WPA2-PSK，算法自动然后设置密码，这个密码就是访客网络的连接密码。 在接口配置的高级设置中，勾选 ，然后点击Save and Apply创建访客网络。

点击，界面，在界面概览中找到我们刚刚创建的Guest，点击后面的修改按钮。 在基本设置中，将IPv4地址设置为我们之前规划的网段，例如192.168.4.x，则输入192.168.4.1手机里的防火墙在哪里设置，子网掩码设置为255.255.255.0。 在一般配置的高级设置里，勾选启动时自动运行，勾选使用内置IPv6管理，勾选强制链接。

在最下面的DHCP服务器的基本设置中，我们设置启动和客户端数量。 起始地址是分配开始的地方。 如果输入 100，则最新分配的地址为 192.168.4.100。 客户端数就是连接数。 如果亲戚朋友多的话，可以设置大一些的客户。

最后检查一下通用配置的物理设置，确认已经自动勾选了接口，并确保接口中已经勾选了无线网络对应的名称，例如（具体名称在不同的固件中可能不同), 检查完成后点击保存按钮。 的访客网络已成功连接并分配了IP地址。

设置防火墙隔离：

我们之前设置的客户端隔离并不能阻止访客网络与内网设备通信，所以我们还需要手动创建防火墙规则来完全阻止访客网络连接到主网络。

进入--，在基础设置底部新建一个区域，命名为Guest，以示区分，入站数据选择Deny，出站数据选择，转发选择Deny，网络选择Guest，以及勾选底部的port 应该是允许转发到目标区域wan，然后点击Save and Apply。

单击顶部的通信规则，然后单击底部的新转发规则。 设置规则名称允许访客网络获取53端口对应的DNS查询，创建后点击修改，选择源区域为访客访客网络，目标区域设置为默认设备输入，目的地址为全部，目的端口为53，动作为，然后保存申请。 此规则实际上允许访客网络使用端口 53。

回到概览后，创建第二条转发规则，名称为t，表示允许访客网络通过67/68端口实现DHCP请求。 创建完成后点击修改按钮，将源区域设置为Guest访客网络，源端口设置为67-68，将目标区域设置为默认设备输入，将目标端口设置为67-68，接受动作设置，保存并申请，然后返回概览。

创建第三条转发规则as used，防止访客网络通过其他端口访问主网。 同样，创建完成后点击修改按钮。 源区域设置为Guest，源端口设置为all，目标区域设置为lan，并设置目标地址。 对于all，目标端口设置为1-65535，动作为拒绝。 这条规则是为了阻止 1-65535 的所有端口上的通信。 当然53/67/68端口的优先级更高，所以不会受到影响。 修改后保存应用。

PS：第三条规则中的端口也可以根据自己的需要设置，但是如果不需要访客网络访问主网手机里的防火墙在哪里设置，那么直接1-65535是最简单的方法。

注意：请始终将1-65535等阻塞规则放在末尾，路由器在执行时会从上到下优先处理。 放在最后的好处是前面还有其他接受规则，不会被后面的规则挡住。

至此，防火墙规则创建完成，新手用户测试起来非常简单。 手机连接访客网络后，在浏览器中输入路由器管理地址，如192.168.1.1。 如果连接被拒绝，则表示防火墙配置正确。 其他网站是否可以访问，如果可以访问但是本地地址不能访问，说明规则配置正确。

本文参考恩山无线论坛@教程，感谢原作者。

（全文）

热的

门

推

推荐