發佈於 作者: Johnny

[教學] 用 OpenWRT 做分離式上網設定 (以 小米路由器mini 為例)

這是一篇筆記備忘，因為設定很繁複，所以專門寫一篇做紀錄。
為何叫作分離式上網呢？其實這個名稱是我取的 😆

當然這個要用第三方韌體才做得到，官方韌體是沒這功能的 😛

以下所適用的情境是：

  • 切成多個 VLAN 區域，互相看不見彼此
  • 每個 VLAN 區域會分到不同的 IP 網段
  • 每個 VLAN 區域都有對應的 Wifi 無線網路供使用
  • 每一個 VLAN 區域要能夠對外上網

以下截圖採用 PandoraBox 的韌體在 小米路由器mini 上執行。
但因為 PandoraBox 是 OpenWRT 的版本分支，
LEDE 亦是 OpenWRT 的版本分支，
理論上 LEDE / OpenWRT 都能適用，只是版面排版不一樣。

什麼是 VLAN (Virtual LAN)？

引用 Wikipedia 的說明

A virtual LAN (VLAN) is any broadcast domain that
is partitioned and isolated in a computer network
at the data link layer (OSI layer 2).

翻譯一下， VLAN 是一個 OSI Layer 2 的獨立廣播區域。

虛擬區域（Virtual Local Area Network 或簡寫 VLAN）
是一種建構於區域網路交換技術（Switch）的網路管理的技術，
網管人員可以藉此透過控制交換機有效分派出入區域網的封包
到正確的出入埠，達到對不同實體區域網中的裝置進行邏輯分群
（Grouping）管理。

引用文章的說明

什麼是VLAN？VLAN是在同一物理區域網內
用於劃分若干個不同廣播域（子網）的技術，
子網內的主機可以互相通信，不同子網的主機之間不可互相通信。
什麼是VLAN ID？用於標識每個VLAN子網的ID。

範例環境

vlan.png

假設一台路由器有二個 VLAN

  • VLAN1
    • 路由器 IP: 192.168.1.1
    • 分配網段: 192.168.1.0/24
    • 無線網路 (2.4GHz) 名稱: PandoraBox
    • 無線網路 (5GHz) 名稱: PandoraBox_5G
  • VLAN2
    • 路由器 IP: 192.168.2.1
    • 分配網段: 192.168.2.0/24
    • 無線網路 (2.4GHz) 名稱: PandoraBox_lan2
    • 無線網路 (5GHz) 名稱: PandoraBox_5G_lan2

 

設定步驟

VLAN 設定

  1. 到 Switch 頁面，設定好 vlan

Screen Shot 2017-11-20 at 10.57.58 PM.png

這邊的 Port 是指實體 RJ45 的有線接口，
可以通過插拔網路線的方法，對應到每一個 Port。
如果 Port 狀態為 untagged (不關聯)，即該 Port 作為本 VLAN 成員，進行二層交換；
若選擇 tagged (關聯)，Port 之間通信無二層交換，而是衝突廣播（類似 Hub 的方式)

簡單來說，

  • 要加入該 VLAN 的 Port 選 untagged
  • 不加入的 Port 選 off
  • CPU 照預設值，選 tagged
  • 其他的 Port 照預設值設定即可

以 小米路由器mini 來說，

4112272063a99d01 (1) copy.jpg

從左到右，分別是

Reset Button / USB 2.0 / Port 0 (White) / Port 1 (White) / Port 4 (Blue)

它多出一個特殊 Port 是 Port 7，其他機型沒有

  • Port 7 照預設值，選 tagged

以這個範例來說

原本

  • VLAN ID 1 (LAN): Port 0, Port 1
  • VLAN ID 2 (WAN): Port 4

改成

  • VLAN ID 1 (LAN1): Port 0
  • VLAN ID 2 (WAN): Port 4
  • VLAN ID 3 (LAN2): Port 1

因為有了 VLAN 這麼方便的功能，
你可以自由的定義每一個網路接口是什麼功用，不用照預設給的 WAN 是藍色， LAN 是白色的限制。

無線網路 Wifi 設定

到 Network > Wifi 頁面，在 [2.4GHz 頻段] 與 [5GHz 頻段] 各新增一個 SSID，
名稱為 PandoraBox_lan2 與 PandoraBox_5G_lan2 並設定好 SSID名稱 & 密碼

Screen Shot 2017-11-20 at 10.55.20 PM.png

畫面上會有四個 Wifi，ra0 有二個，rai0 有二個
名稱個別為

  • PandoraBox
  • PandoraBox_5G
  • PandoraBox_lan2
  • PandoraBox_5G_lan2

Screen Shot 2017-11-20 at 10.56.15 PM.png

Screen Shot 2017-11-20 at 10.56.50 PM.png

Screen Shot 2017-11-20 at 10.56.28 PM.png

Screen Shot 2017-11-20 at 10.57.05 PM.png

邏輯介面 (Interfaces) 設定

Screen Shot 2017-11-20 at 10.50.10 PM.png

到 Network > Interfaces 頁面，新增一個介面，名字叫 lan2

Screen Shot 2017-11-21 at 2.01.35 AM.png

Screen Shot 2017-11-21 at 2.02.13 AM.png

Screen Shot 2017-11-20 at 10.51.50 PM.png

到 General Setup 設定 IP 資訊

  • IPv4 address: 192.168.2.1
  • IPv4 netmask: 255.255.255.0
  • IPv4 gateway: (留空)

到 Physical Settings 指定給定介面

  • VLAN Interface: “eth0.3” (lan2)
  • Wireless Network: “PandoraBox_lan2” (lan2)
  • Wireless Network: “PandoraBox_5G_lan2” (lan2)

到 Firewall Settings 設定

  • Assign firewall-zone LAN2: lan2

整理如下

第一個介面 – LAN

Screen Shot 2017-11-20 at 10.50.53 PM.png

Screen Shot 2017-11-20 at 10.51.13 PM.png

Screen Shot 2017-11-20 at 10.51.22 PM.png

第二個介面 LAN2

Screen Shot 2017-11-20 at 10.51.31 PM.png

Screen Shot 2017-11-20 at 10.51.45 PM.png

Screen Shot 2017-11-20 at 10.51.50 PM.png

介面設定 DHCP Server （二個 Interfaces 都要設定）

  • Disable DHCP for this interface 不打勾（或是按下 Setup DHCP Server）
  • Router Advertisement-Service: server mode
  • DHCPv6-Service: server mode

Screen Shot 2017-11-20 at 10.54.57 PM.png

Screen Shot 2017-11-20 at 10.55.05 PM.png

防火牆區域設定

Screen Shot 2017-11-20 at 10.58.29 PM.png

到 Firewall > General settings 新增一個 Zone，
名稱叫 LAN2 ，並設定：

  • Input: accept
  • Output: accept
  • Forward: accept
  • Covered networks: lan2
  • Allow forward to destination zones: wan

整理如下

第一個防火牆區域 – lan

Screen Shot 2017-12-01 at 2.38.33 AM.png

第二個防火牆區域 – lan2

Screen Shot 2017-12-01 at 2.03.16 AM.png

Port forwarding 設定？

要做 Port forwarding (連接埠轉送 又稱 虛擬伺服器)？
當然可以，在 Firewall > Port Forwards 頁面
假設 對外的 80 port 要對應到 192.168.1.2 的 8080 port

就如此設定

Screen Shot 2017-12-01 at 2.06.49 AM.png

然後按下 Add，規則就訂好了

Screen Shot 2017-12-01 at 2.05.52 AM.png

可以按下 Edit 看詳細規則

Screen Shot 2017-12-01 at 2.06.08 AM.png

其他防火牆規則？

其實這都是把 linux 的 iptables 指令做成比較好用的 UI 而已，
在 Firewall > Traffic Rules 這個頁面，會有一些預設的規則，你可以參考這些現有預設的規則仿造一個你自己的

Screen Shot 2017-12-01 at 2.07.32 AM.png

再舉一個例子，假設要禁止 第一個介面(lan) 連到路由器的 telnet，但第二個介面(lan2) 不受限
可以如此設定

Screen Shot 2017-11-20 at 11.16.42 PM.png

如果你熟捻 iptables 指令，不妨直接去 Firewall > Custom Rules 把規則直接打進去。

Screen Shot 2017-12-01 at 2.34.33 AM.png

 

參考資料

https://en.wikipedia.org/wiki/VirtualLAN
https://blog.chionlab.moe/2016/07/13/openwrt-multiwan-configuration/
https://www.dd-wrt.com/wiki/index.php/VLANDetachedNetworks(SeparateNetworksWith_Internet)

Related Posts