Оглавление

• Введение
• Теоретическая часть
• Настройка через веб-интерфейс
  • Создание интерфейса гостевой сети
  • Привязка Wi-Fi к новой сети
  • Настройка межсетевого экрана
• Настройка через CLI
• Проверка
• Заключение

Введение

В 4G-роутерах (маршрутизаторах) TELEOFIS LT71 беспроводная сеть Wi-Fi по умолчанию входит в локальную сеть вместе с Ethernet-портами LAN. Устройства, подключённые по Wi-Fi, получают адреса из той же подсети 192.168.88.0/24, видят проводное оборудование и имеют доступ к веб-интерфейсу роутера.

Такая схема не всегда допустима. Если Wi-Fi нужен для ноутбука наладчика, смартфонов персонала или посетителей, а к LAN-портам подключены контроллеры, счётчики или камеры, беспроводных клиентов лучше отделить от проводной сети. Для этого Wi-Fi выделяется в отдельную гостевую сеть: у неё своя подсеть и свой DHCP-сервер, клиентам доступен только интернет, а доступ к локальной сети и к управлению роутером закрыт межсетевым экраном (firewall).

В статье описано, как создать гостевую сеть Wi-Fi с подсетью 10.0.0.0/24, перенести в неё беспроводную точку доступа и настроить правила межсетевого экрана. Настройка приведена для веб-интерфейса и для CLI.

Теоретическая часть

Сетевая конфигурация роутера LT71 построена на OpenWrt. Локальная сеть — это интерфейс lan с адресом 192.168.88.1, привязанный к мосту br-lan. В мост входят Ethernet-порты lan1–lan4, а беспроводная точка доступа подключается к нему через параметр Сеть в настройках Wi-Fi. Поэтому проводные и беспроводные клиенты находятся в одном сегменте и свободно обмениваются трафиком.

Чтобы выделить Wi-Fi в отдельную сеть, нужно три действия:

1. Создать новый интерфейс guest со статическим адресом 10.0.0.1 и DHCP-сервером — это шлюз для беспроводных клиентов.
2. Привязать точку доступа Wi-Fi к интерфейсу guest вместо lan и назначить её устройством этого интерфейса.
3. Создать для интерфейса отдельную зону межсетевого экрана guest и разрешить из неё только выход в зону wan.

Зона guest настраивается так:

Зона wan включает и проводной WAN, и мобильное подключение через SIM-карту (интерфейс internet), поэтому гостевой сети будет доступен любой активный канал в интернет. Перенаправление в зону lan не разрешается — проводная сеть остаётся закрытой.

Настройка через веб-интерфейс

Создание интерфейса гостевой сети

Перейдите в меню Сеть → Интерфейсы и нажмите Добавить новый интерфейс...:

Задайте название guest и выберите протокол Статический адрес. Поле Устройство пока оставьте в значении не определено — точка доступа Wi-Fi появится в списке устройств только после её привязки к сети guest. Нажмите Создать интерфейс:

Откроются настройки интерфейса. На вкладке Общие настройки укажите IPv4-адрес 10.0.0.1 и Маску сети IPv4 255.255.255.0:

Перейдите на вкладку DHCP-сервер и нажмите Настроить сервер DHCP:

Значения по умолчанию подходят: при Запустить 100 и Предел 150 клиентам выдаются адреса 10.0.0.100–10.0.0.249 со сроком аренды 12h:

На вкладке Настройки межсетевого экрана в поле Создать / назначить зону межсетевого экрана введите в строку внизу списка имя новой зоны guest — зона будет создана автоматически. Нажмите Сохранить:

Интерфейс guest появится в списке. Пока к нему не привязано устройство, в его карточке отображается Не существует — это нормально:

Привязка Wi-Fi к новой сети

Перейдите в меню Сеть → Беспроводная сеть и нажмите Изменить напротив точки доступа:

На вкладке Основные настройки в поле Сеть снимите отметку с lan и отметьте guest. Здесь же при необходимости измените имя сети (ESSID) — в примере LT71_Guest. Пароль задаётся на вкладке Защита беспроводной сети. Нажмите Сохранить:

Вернитесь в меню Сеть → Интерфейсы, нажмите Изменить у интерфейса guest и на вкладке Общие настройки в поле Устройство выберите беспроводную сеть — Беспроводная сеть: Master "LT71_Guest" (guest). Нажмите Сохранить:

Настройка межсетевого экрана

Перейдите в меню Сеть → Межсетевой экран. На вкладке Общие настройки в блоке Зоны найдите зону guest и нажмите Изменить:

Задайте политики зоны: Входящий трафик — отвергать, Исходящий трафик — принимать, Перенаправление — отвергать. В поле Разрешить перенаправление в «зоны назначения» выберите wan. Нажмите Сохранить:

Так как входящий трафик к роутеру запрещён, клиенты не смогут получить адрес по DHCP и разрешать имена через DNS роутера. Разрешите эти службы отдельными правилами. Откройте вкладку Правила для трафика, нажмите Добавить и создайте правило для DHCP: Название Allow-Guest-DHCP, Протокол UDP, Зона источника guest, Зона назначения — Устройство (ввод), Порт назначения 67-68, Действие — принимать:

Аналогично создайте правило для DNS: Название Allow-Guest-DNS, Протокол TCP и UDP, Зона источника guest, Зона назначения — Устройство (ввод), Порт назначения 53, Действие — принимать:

Нажмите Применить. Wi-Fi перезапустится, беспроводные клиенты переподключатся и получат адреса из новой подсети.

Настройка через CLI

Подключитесь к роутеру по SSH (см. статью Как подключиться к роутеру LT7x для настройки). Настройка затрагивает четыре файла конфигурации.

1. В файле /etc/config/network добавьте интерфейс гостевой сети:

config interface 'guest'
        option proto 'static'
        option ipaddr '10.0.0.1'
        option netmask '255.255.255.0'

2. В файле /etc/config/wireless в секции точки доступа замените сеть lan на guest:

config wifi-iface 'default_radio0'
        option device 'radio0'
        option network 'guest'
        option mode 'ap'
        ...

3. В файле /etc/config/dhcp добавьте DHCP-сервер для гостевой сети:

config dhcp 'guest'
        option interface 'guest'
        option start '100'
        option limit '150'
        option leasetime '12h'

4. В файле /etc/config/firewall добавьте зону, разрешение выхода в wan и правила для DHCP и DNS:

config zone
        option name 'guest'
        list network 'guest'
        option input 'REJECT'
        option output 'ACCEPT'
        option forward 'REJECT'

config forwarding
        option src 'guest'
        option dest 'wan'

config rule
        option name 'Allow-Guest-DHCP'
        option src 'guest'
        option proto 'udp'
        option dest_port '67-68'
        option target 'ACCEPT'

config rule
        option name 'Allow-Guest-DNS'
        option src 'guest'
        list proto 'tcp'
        list proto 'udp'
        option dest_port '53'
        option target 'ACCEPT'

Сохраните файлы и перезапустите службы:

/etc/init.d/network restart
/etc/init.d/dnsmasq restart
/etc/init.d/firewall restart

После перезапуска откройте в веб-интерфейсе меню Сеть → Интерфейсы и убедитесь, что у интерфейса guest назначено устройство — беспроводная сеть. Если в карточке интерфейса отображается Не существует, выберите устройство, как описано в разделе Привязка Wi-Fi к новой сети.

Проверка

Подключитесь к Wi-Fi с ноутбука или смартфона и проверьте:

1. Устройство получило адрес из подсети 10.0.0.0/24, шлюз — 10.0.0.1.
2. Сайты в интернете открываются.
3. Веб-интерфейс роутера по адресам 192.168.88.1 и 10.0.0.1 не открывается.
4. Устройства в проводной сети 192.168.88.0/24 недоступны: например, команда ping до них не проходит.

Список подключённых Wi-Fi-клиентов и выданных им адресов можно посмотреть в меню Состояние → Обзор, в блоке Подключенные клиенты:

Заключение

В результате беспроводная сеть роутера LT71 работает как отдельная гостевая сеть: у неё своя подсеть 10.0.0.0/24 и свой DHCP-сервер, а межсетевой экран пропускает из неё трафик только в интернет. Проводное оборудование в локальной сети и веб-интерфейс роутера для Wi-Fi-клиентов недоступны.

Такая схема позволяет раздавать доступ в интернет персоналу и посетителям, не открывая им сегмент с промышленным оборудованием. Если нужна более сложная сегментация — несколько изолированных сетей на проводных портах, — используйте VLAN.