25-Openwrt 访客网络添加

很多路由器都会有访客网络的需求，主人网络和访客网络相互隔离，wifi密码不同，而且也不能访问到主网络的内容。原理就是多了一个vlan，有两个网段，相互之间隔离。

1.访客网络dhcp网段添加

我们在/etc/config/network里面添加vlan接口

config interface 'guest'
        option type 'bridge'
        option proto 'static'
        option netmask '255.255.255.0'
        option ifname 'eth0.3 ra0.3 rai0.3'
        option ipaddr '192.168.19.1'
        option disabled '0

然后在/etc/config/dhcp里面添加dhcp网段配置

config dhcp 'guest'
        option interface 'guest'
        option start '100'
        option limit '150'
        option force '1'
        option ignore '0'
        option leasetime '12h'

重启/etc/init.d/network restart

这时候就可以看到/var/etc/dnsmasq.conf里面的多了一个dhcp server的配置

dhcp-range=lan,192.168.18.100,192.168.18.249,255.255.255.0,15m
dhcp-range=guest,192.168.19.100,192.168.19.249,255.255.255.0,15m

2.访客网络wifi添加

在/etc/config/wireless里面连接连接wifi接口，一个2.4G的ra2，一个5G的rai2，两个接口都桥接到guest接口下。

config wifi-iface 'guest0'
        option device 'radio0'
        option network 'guest'
        option mode 'ap'
        option ifname 'ra2'
        option ssid 'Guest_8B5C'
        option macfilter 'deny'
        option maxstanum '32'
        option disabled '0'
        option hidden '0'
        option encryption 'mixed-psk'
        option key '12345678'

config wifi-iface 'guest1'
        option device 'radio1'
        option network 'guest'
        option mode 'ap'
        option ifname 'rai2'
        option macfilter 'deny'
        option maxstanum '32'
        option disabled '0'
        option ssid 'Guest_8B5C_5G'
        option hidden '0'
        option encryption 'mixed-psk'
        option key '12345678'

设置完之后，重启wifi，可以看到桥里面也多了br-guest桥

root@Openwrt:/# brctl show
bridge name     bridge id               STP enabled     interfaces
br-guest                7fff.e4f3e8d38b5c       no              eth0.3
                                                        ra2
                                                        rai2
br-lan          7fff.e4f3e8d38b5c       no              eth0
                                                        ra0
                                                        rai0

我们连接到访客网络wifi下面看下DHCP请求内容，可以看到有前缀为br-guest的DHCP请求

dnsmasq-dhcp[3294]: DHCPDISCOVER(br-guest) 32:ae:7b:01:d3:8f
dnsmasq-dhcp[3294]: DHCPOFFER(br-guest) 192.168.19.138 32:ae:7b:01:d3:8f
dnsmasq-dhcp[3294]: DHCPREQUEST(br-guest) 192.168.19.138 32:ae:7b:01:d3:8f
dnsmasq-dhcp[3294]: DHCPACK(br-guest) 192.168.19.138 32:ae:7b:01:d3:8f

3.访客网络防火墙添加

在配置完上面那些之后，发现访客wifi可以连接上路由器，也获取到访客网段的IP地址，但是上不了网。

其实就是防火墙的问题，路由器是nat路由器，默认lan接口的防火墙已经设置，但是新家guest接口的防火墙还没有设置。

config zone 'guest'
        option name 'guest'
        list network 'guest'
        option input 'REJECT'
        option output 'ACCEPT'
        option forward 'REJECT'

config forwarding
        option src 'guest'
        option dest 'wan'

config rule
        option name 'Allow-guest-dhcp'
        option src 'guest'
        option proto 'udp'
        option dest_port '67'
        option target 'ACCEPT'

config rule
        option name 'Allow-guest-dns'
        option src 'guest'
        option proto 'udp'
        option dest_port '53'
        option target 'ACCEPT'

config rule
        option name 'Allow-guest-tcp-dns'
        option src 'guest'
        option proto 'tcp'
        option dest_port '53'
        option target 'ACCEPT'

重启防火墙/etc/init.d/firewall restart后网络就可以通了。

4.有线口设置为访客网络口

有时候我们会想把4个lan口中的一个口设置成访问网络口，这样从这个口获取到的IP就是访客网络IP。

那就是把lan口中的一个口设置成vlan3，这样经过这个口的数据都会被打上pid=3的tag

config switch_vlan
    option name 'switch0'
    option vlan '3'  //VLAN3, 和上面的option ifname 'eth0.3'相匹配
    option ports '4 6t'