OpenWrt 防火墙应用--uci工具

OpenWrt 防火墙–UCI工具

OpenWrt 防火墙

openwrt 下的 NAT、DMZ、firewall、rules 都是由配置文件 “/etc/config/firewall” 进行控制管理的。此文件可以使用 UCI 进行控制，也可以使用 vi 编辑器直接修改。
该文件最后会在 /etc/init.d/firewall 启动的时候由 UCI 进行解码并且生成 iptables 规则生效。

2 uci

UCI是集中式配置信息管理接口(Unified Configuration Interface)的缩写，他是OpenWrt引进的一套配置参数管理系统。UCI管理了OpenWrt下最主要的系统配置参数并且提供了简单、容易、标准化的人机交互接口。UCI中已经包含了网络配置、无线配置、系统信息配置等作为基本路由器所需的主要配置参数。同时UCI也可以帮助开发人员快速的建立一套基于OpenWrt的智能路由产品控制界面。

UCI的配置文件全部存储在/etc/config目录下。

文件	作用
/etc/config/dhcp	面向LAN口提供的IP地址分配服务配置
/etc/config/dropbear	SSH服务配置
/etc/config/firewall	路由转发，端口转发，防火墙规则
/etc/config/network	自身网络接口配置
/etc/config/system	时间服务器时区配置
/etc/config/wireless	无线网络配置

模式：

config 节点 以关键字 config 开始的一行用来代表当前节点
section-type 节点类型
section 节点名称
option 选项 表示节点中的一个元素
key 键
value 值
list 列表选项 表示列表形式的一组参数。
list_key 列表键
list_value 列表值

2.1 参数表

config defaults 防火墙默认参数表

键	值	是否必须设置	说明
input	ACCEPT	是	设置 INPUT 链(chain) 的过滤策略，可选值： ACCEPT 允许， REJECT 拒绝
output	ACCEPT	是	设置 INPUT 链(chain) 的过滤策略，可选值： ACCEPT 允许， REJECT 拒绝
forward	REJECT	是	设置 INPUT 链(chain) 的过滤策略，可选值： ACCEPT 允许， REJECT 拒绝
syn_flood	1	是	是否启用防洪水攻击。可选值：0关闭，1启用。
synflood_rate	string	否	设置 SYN 包传输洪水攻击检测比率值，默认为：25 单位(包/秒)
synflood_burst	string	否	设置 SYN 包传输比率值识别洪水攻击，默认为：50 单位(包/秒)
disable_ipv6	1	否	设置关闭掉 IPv6 的防火墙策略， 可选值：0忽略，1关闭。

这部分参考值使用系统默认值即可，无需修改：

config defaults
        option syn_flood        1
        option input            ACCEPT
        option output           ACCEPT
        option forward          REJECT