OpenWRT und die Firewall-Regeln

TOF · 1. Januar 2025 um 23:41

Hallo zusammen,

ich bin neu im Kontext OpenWRT und habe mich bisher mit Mike’s Anleitung und den Einführungen von hoerli (https://hoerli.net/openwrt-netzwerkbruecken-konfigurieren/ und https://hoerli.net/openwrt-die-firewall-konfigurieren/) beschäftigt. Meine Config entspricht aktuell eher dem Stand von hoerli.

Ich habe zwei Bridges, br-lan und br-row (diese soll VLAN für Gast und IoT bereitstellen), das ganze soll dann auch analog ins WLAN (soweit bin ich aber noch nicht).
Aus den zwei Bridges hab ich nun 3 Interfaces (LAN, IoT, Gast) entsprechend auf Firewall Zones.

Bei der Firewall krankt es mir am Verständnis und irgendwie bekomme ich die Logik nicht ins Hirn (egal wie viele Videos ich schaue, sind vielleicht auch einfach die Falschen!?)

Was möchte ich eigentlich erreichen?

Im LAN inkl. WLAN sollen alle ‚normalen‘ Geräte hängen: PC, Smartphones, Synology Backup-NAS, Heim-Server (mit HomeAssistant, Pihole, usw.)
Im Gast sollen sich die Gäste tummeln und Verbindung zur Arbeit mittels VPN-Einwahl
Im IoT sollen sich unterschiedliche Geräte befinden, die brauchen nicht zwingend Zugriff auf WAN (wie bspw. Shellys) aber mitunter aber auch doch (FireTV, Sonos, …) und der Heim-Server soll Zugriff auf diese haben

Ich bekomme es nicht hin, dass ich die IoT-Zone trenne in Bereiche mit WAN zugelassen und blockiert. Oder sollte ich das besser über zwei Zones machen? Ist der Aufbau wie angedacht überhaupt sinnvoll?

Achso, genereller Aufbau:
FTTH-Modem — FB 7490 — OpenWRT
(eventuell verbleibt der Pihole auch an der FB über einen zweiten NIC)

Besten Dank vorab
TOF

Chief1945 · 2. Januar 2025 um 00:24

Weitere Infos wären gut. Am Besten alle vier Befehlsausgaben in ihrem eigenen Code-Block bereitstellen:

ubus call system board
cat /etc/config/network
cat /etc/config/firewall
cat /etc/config/wireless

TOF · 2. Januar 2025 um 10:45

Moin,
natürlich gern.

ubus call system board

"kernel": "5.15.167",
	"hostname": "Areion",
	"system": "ARMv8 Processor rev 4",
	"model": "GL.iNet GL-MT6000",
	"board_name": "glinet,gl-mt6000",
	"rootfs_type": "squashfs",
	"release": {
		"distribution": "OpenWrt",
		"version": "23.05.5",
		"revision": "r24106-10cc5fcd00",
		"target": "mediatek/filogic",
		"description": "OpenWrt 23.05.5 r24106-10cc5fcd00"

cat /etc/config/network

config interface 'loopback'
	option device 'lo'
	option proto 'static'
	option ipaddr '127.0.0.1'
	option netmask '255.0.0.0'

config globals 'globals'
	option ula_prefix '****:****:****::/48'

config device
	option name 'br-lan'
	option type 'bridge'
	list ports 'lan1'
	list ports 'lan2'
	list ports 'lan3'

config device
	option name 'lan1'
	option macaddr '**:**:**:**:**:ce'

config device
	option name 'lan2'
	option macaddr ''**:**:**:**:**:ce'

config device
	option name 'lan3'
	option macaddr ''**:**:**:**:**:ce'

config device
	option name 'lan4'
	option macaddr ''**:**:**:**:**:ce'

config device
	option name 'lan5'
	option macaddr ''**:**:**:**:**:ce'

config interface 'lan'
	option device 'br-lan'
	option proto 'static'
	option ipaddr '192.168.1.1'
	option netmask '255.255.255.0'
	option ip6assign '60'

config device
	option name 'eth1'
	option macaddr ''**:**:**:**:**:cc'

config interface 'wan'
	option device 'eth1'
	option proto 'dhcp'

config interface 'wan6'
	option device 'eth1'
	option proto 'dhcpv6'

config device
	option type 'bridge'
	option name 'br-row'
	list ports 'lan1'
	list ports 'lan4'
	list ports 'lan5'

config bridge-vlan
	option device 'br-row'
	option vlan '20'
	list ports 'lan1:t'
	list ports 'lan4'

config bridge-vlan
	option device 'br-row'
	option vlan '30'
	list ports 'lan1:t'
	list ports 'lan5'

config interface 'IoT'
	option proto 'static'
	option device 'br-row.20'
	option ipaddr '192.168.20.1'
	option netmask '255.255.255.0'

config interface 'Gast'
	option proto 'static'
	option device 'br-row.30'
	option ipaddr '192.168.30.1'
	option netmask '255.255.255.0'

cat /etc/config/firewall

config defaults
	option input 'ACCEPT'
	option output 'ACCEPT'
	option forward 'DROP'
	option synflood_protect '1'
	option drop_invalid '1'

config zone
	option name 'wan'
	list network 'wan'
	list network 'wan6'
	option input 'DROP'
	option output 'ACCEPT'
	option forward 'DROP'
	option masq '1'
	option mtu_fix '1'

config zone
	option name 'lan'
	list network 'lan'
	option input 'ACCEPT'
	option output 'ACCEPT'
	option forward 'ACCEPT'

config zone
	option name 'lan_to_IoT'
	option input 'DROP'
	option output 'ACCEPT'
	option forward 'DROP'
	list network 'lan'

config zone
	option name 'IoT'
	option input 'REJECT'
	option output 'REJECT'
	option forward 'REJECT'
	list device 'br-row.20'
	list network 'IoT'

config forwarding
	option src 'lan'
	option dest 'wan'

config rule
	option name 'Allow-DHCP-Renew'
	option src 'wan'
	option proto 'udp'
	option dest_port '68'
	option target 'ACCEPT'
	option family 'ipv4'

config rule
	option name 'Allow-Ping'
	option src 'wan'
	option proto 'icmp'
	option icmp_type 'echo-request'
	option family 'ipv4'
	option target 'ACCEPT'

config rule
	option name 'Allow-IGMP'
	option src 'wan'
	option proto 'igmp'
	option family 'ipv4'
	option target 'ACCEPT'

config rule
	option name 'Allow-DHCPv6'
	option src 'wan'
	option proto 'udp'
	option dest_port '546'
	option family 'ipv6'
	option target 'ACCEPT'

config rule
	option name 'Allow-MLD'
	option src 'wan'
	option proto 'icmp'
	option src_ip 'fe80::/10'
	list icmp_type '130/0'
	list icmp_type '131/0'
	list icmp_type '132/0'
	list icmp_type '143/0'
	option family 'ipv6'
	option target 'ACCEPT'

config rule
	option name 'Allow-ICMPv6-Input'
	option src 'wan'
	option proto 'icmp'
	list icmp_type 'echo-request'
	list icmp_type 'echo-reply'
	list icmp_type 'destination-unreachable'
	list icmp_type 'packet-too-big'
	list icmp_type 'time-exceeded'
	list icmp_type 'bad-header'
	list icmp_type 'unknown-header-type'
	list icmp_type 'router-solicitation'
	list icmp_type 'neighbour-solicitation'
	list icmp_type 'router-advertisement'
	list icmp_type 'neighbour-advertisement'
	option limit '1000/sec'
	option family 'ipv6'
	option target 'ACCEPT'

config rule
	option name 'Allow-ICMPv6-Forward'
	option src 'wan'
	option dest '*'
	option proto 'icmp'
	list icmp_type 'echo-request'
	list icmp_type 'echo-reply'
	list icmp_type 'destination-unreachable'
	list icmp_type 'packet-too-big'
	list icmp_type 'time-exceeded'
	list icmp_type 'bad-header'
	list icmp_type 'unknown-header-type'
	option limit '1000/sec'
	option family 'ipv6'
	option target 'ACCEPT'

config rule
	option name 'Allow-IPSec-ESP'
	option src 'wan'
	option dest 'lan'
	option proto 'esp'
	option target 'ACCEPT'

config rule
	option name 'Allow-ISAKMP'
	option src 'wan'
	option dest 'lan'
	option dest_port '500'
	option proto 'udp'
	option target 'ACCEPT'

config zone
	option name 'Gast'
	option input 'DROP'
	option output 'ACCEPT'
	option forward 'DROP'
	list device 'br-row.30'
	list network 'Gast'

config forwarding
	option src 'Gast'
	option dest 'wan'

config rule
	option name 'Gast-DHCP'
	option src 'Gast'
	option dest_port '67 68'
	option target 'ACCEPT'

config rule
	option name 'Gast-DNS'
	option src 'Gast'
	option dest_port '53'
	option target 'ACCEPT'

config rule
	option name 'IoT-DHCP_in'
	option src 'IoT'
	option dest_port '67 68'
	option target 'ACCEPT'

config rule
	option name 'IoT DHCP_out'
	option dest 'IoT'
	option dest_port '67 68'
	option target 'ACCEPT'

config rule
	option name 'IoT-DNS'
	option src 'IoT'
	option dest_port '53'
	option target 'ACCEPT'

config forwarding
	option src 'lan_to_IoT'
	option dest 'IoT'

config forwarding
	option src 'IoT'
	option dest 'wan'

cat /etc/config/wireless

config wifi-device 'radio0'
	option type 'mac80211'
	option path 'platform/soc/18000000.wifi'
	option channel 'auto'
	option band '2g'
	option htmode 'HE40'
	option disabled '1'
	option country 'DE'
	option cell_density '0'

config wifi-iface 'default_radio0'
	option device 'radio0'
	option network 'lan'
	option mode 'ap'
	option ssid '*****'
	option encryption 'sae-mixed'
	option key '*****'
	option wpa_disable_eapol_key_retries '1'

config wifi-device 'radio1'
	option type 'mac80211'
	option path 'platform/soc/18000000.wifi+1'
	option channel 'auto'
	option band '5g'
	option htmode 'HE80'
	option disabled '1'
	option cell_density '0'

config wifi-iface 'default_radio1'
	option device 'radio1'
	option network 'lan'
	option mode 'ap'
	option ssid '*****'
	option encryption 'sae-mixed'
	option key '*****'
	option wpa_disable_eapol_key_retries '1'

Chief1945 · 2. Januar 2025 um 11:59

Hast du die Sachen händisch in die Konfigurationsdateien eingetragen?

Ich habe noch nicht alles durchgelesen, aber da sind so viele Dinge falsch, dass mich wundert, dass OpenWRT das geschluckt hat ohne zu rebellieren. An deiner Stelle würde ich das Ding zurücksetzen und noch mal mit den Verbesserungsvorschlägen von vorne konfigurieren. Als Anfänger am Besten alles über LuCI konfigurieren. Hier ein paar Dinge die mir aufgefallen sind:

Du hast zwei Bridges die Überschneidungen bei den LAN-Ports haben. Das funktioniert nicht. Am Besten du machst eine große Bridge über alle LAN-Ports (LAN 1-5) und segmentierst darin nur via VLANs.

Bei den defaults würde ich input und forward entweder auf reject oder drop setzen, aber nicht auf accept.

Du hast hier zwei Zonen bei denen das selbe Interface eingetragen ist. Es ist damit völlig unklar ist, welche Zonenregeln dann für das Interface gelten. Du kannst mehrere Interfaces in eine Zone packen, aber nicht mehrere Zonen für ein Interface setzen.

Es ist nur Port 67 notwendig für Zugriff auf den DHCP server. Port 68 ist nur auf Clients wichtig.

Warum ist Output auf Reject? Macht mMn die Sache nur unnötig kompliziert, bei kaum Sicherheitsgewinn. Es gibt nur wenig Anwendungsfälle, wo das Sinn macht.

Hier könntest du dir überlegen, ob es nicht Sinn macht einen DNS-Server mit Port-Forwarding zu erzwingen, falls du sicherstellen willst, das dein DNS-Server verwendet wird.

TOF · 2. Januar 2025 um 12:24

Hey, danke für die schnelle Analyse.

Nein, alles über luci. Die zwei Bridges hatte hoerli in seinem Tutorial so angelegt, das hab ich daraus übernommen. Die Überschneidung beim LAN1 hatte ich mir so überlegt, damit ich über diesen Port über einen Switch alle Netzwerke im Haus verteilen kann. Die Zuordnung LAN3+4 auf internes Netz und LAN4 auf VLAN20 und LAN 5 auf VLAN30 zum testen.

Das mit der ‚lan_to_IoT‘ hatte ich mir schon gedacht. IoT muss dann als forward in lan, damit ich vom lan auf IoT zugreifen kann, richtig?

Zur IoT-Zone und Config des DNS hänge ich ja. Das ist meine eingangs gestellte Frage: Wie kann ich in der IoT-Zone Geräten erlauben entweder auf WAN zuzugreifen oder sie davon auszusperren?

Wenn ich das so machen, benötige ich aber auch zwingend in der LAN-Zone alles auf ‚accept‘, weil ich mich sonst aussperre, korrekt?

Chief1945 · 2. Januar 2025 um 14:15

In seinem Video zu Netzwerkbrücken habe ich keine Überschneidung gesehen. Mach es so wie ich es gesagt habe. Eine große Bridge und dann VLAN-Filtering zur Segmentierung. Das hat keine nennenswerten Nachteile und den Vorteil, dass eine Erweiterung deines Netzwerkes mit anderen VLAN-fähigen Geräten (z.B. managed switches, APs, server, …) deutlich einfacher ist.

Geht so aber nicht.

Eine Zone benötigst du mit input auf accept zum Managen des Routers

Du benötigst inter-zone forwarding von der lan zone zur IoT zone. Vermutlich meinst du das Richtige.

Du musst schauen, dass du deine unzulässigen Konfigurationen los wirst, bzw. nochmal die Basics anschaust, damit du erkennst, warum manche Dinge überhaupt falsch sind.

Bezüglich der Wahl der Segmentierung, musst du dir überlegen welche Geräte gleiche oder zumindest ähnliche Berechtigungen zur Kommunikation haben sollen und ungehindert miteinander kommunizieren dürfen, die steckst du dann in eine eigene Firewallzone.

Eine Segmentierung könnte so aussehen:

Die beiden Server würde ich in eine eigene ‚server‘ zone packen.

Je nach Anzahl der Geräte kann es Sinn machen die IoT-Zone in zwei Firewallzonen aufzuteilen, eine mit WAN-Zugriff, eine ohne. Man kann auch eine gemeinsame Zone verwenden und IP/MAC-spezifische Regeln verwenden, aber das ist nicht so sicher wie eigene Firewallzonen. Ich würde ersteres wählen, bei der Anzahl an Geräten die du andeutest.

TOF · 2. Januar 2025 um 16:16

Danke erneut. Ich werde mich heute Abend an einen Reset machen und eine neue Einrichtung starten.

Kennst du, oder jemand anderes der gerade zufällig mitliest, ein gutes Tutorial zum entlang hangeln? Es gibt ja scheinbar nicht den einen Weg in OpenWRT um zum Ziel zu kommen. Aber wenn ich schon vorher falsch abbiege, wie ja scheinbar geschehen, dann würd’ ich ungern wieder von vorn anfangen.

… nach ein paar Stunden:

So schaut meine aktuelle Config aus und es scheint zumindest erstmal zu funktionieren.

cat /etc/config/network

config interface 'loopback'
	option device 'lo'
	option proto 'static'
	option ipaddr '127.0.0.1'
	option netmask '255.0.0.0'

config globals 'globals'
	option ula_prefix '****::/48'

config device
	option name 'br-lan'
	option type 'bridge'
	list ports 'lan1'
	list ports 'lan2'
	list ports 'lan3'
	list ports 'lan4'
	list ports 'lan5'

config device
	option name 'lan1'
	option macaddr '****:ce'

config device
	option name 'lan2'
	option macaddr '****:ce'

config device
	option name 'lan3'
	option macaddr '****:ce'

config device
	option name 'lan4'
	option macaddr '****:ce'

config device
	option name 'lan5'
	option macaddr '****:ce'

config interface 'lan'
	option device 'br-lan.10'
	option proto 'static'
	option ipaddr '10.1.10.1'
	option netmask '255.255.255.0'
	option ip6assign '60'

config device
	option name 'eth1'
	option macaddr '****:cc'

config interface 'wan'
	option device 'eth1'
	option proto 'dhcp'

config interface 'wan6'
	option device 'eth1'
	option proto 'dhcpv6'

config bridge-vlan
	option device 'br-lan'
	option vlan '10'
	list ports 'lan1'
	list ports 'lan2'

config bridge-vlan
	option device 'br-lan'
	option vlan '20'
	list ports 'lan1:t'
	list ports 'lan3'

config bridge-vlan
	option device 'br-lan'
	option vlan '30'
	list ports 'lan1:t'
	list ports 'lan4'

config bridge-vlan
	option device 'br-lan'
	option vlan '90'
	list ports 'lan1:t'
	list ports 'lan5'

config interface 'IoTnet'
	option proto 'static'
	option device 'br-lan.20'
	option ipaddr '10.1.20.1'
	option netmask '255.255.255.0'

config interface 'IoTnot'
	option proto 'static'
	option device 'br-lan.30'
	option ipaddr '10.1.30.1'
	option netmask '255.255.255.0'

config interface 'Guest'
	option proto 'static'
	option device 'br-lan.90'
	option ipaddr '10.1.90.1'
	option netmask '255.255.255.0'

config interface 'Server'
	option proto 'static'
	option device 'br-lan.20'
	option ipaddr '10.1.20.1'
	option netmask '255.255.255.0'

cat /etc/config/firewall

config defaults
	option input 'DROP'
	option output 'ACCEPT'
	option forward 'DROP'
	option synflood_protect '1'
	option drop_invalid '1'

config zone
	option name 'wan'
	option input 'DROP'
	option output 'ACCEPT'
	option forward 'DROP'
	option masq '1'
	option mtu_fix '1'
	list network 'wan'
	list network 'wan6'

config zone
	option name 'lan'
	option input 'ACCEPT'
	option output 'ACCEPT'
	option forward 'ACCEPT'
	list network 'lan'

config forwarding
	option src 'lan'
	option dest 'wan'

config rule
	option name 'Allow-DHCP-Renew'
	option src 'wan'
	option proto 'udp'
	option dest_port '68'
	option target 'ACCEPT'
	option family 'ipv4'

config rule
	option name 'Allow-Ping'
	option src 'wan'
	option proto 'icmp'
	option icmp_type 'echo-request'
	option family 'ipv4'
	option target 'ACCEPT'

config rule
	option name 'Allow-IGMP'
	option src 'wan'
	option proto 'igmp'
	option family 'ipv4'
	option target 'ACCEPT'

config rule
	option name 'Allow-DHCPv6'
	option src 'wan'
	option proto 'udp'
	option dest_port '546'
	option family 'ipv6'
	option target 'ACCEPT'

config rule
	option name 'Allow-MLD'
	option src 'wan'
	option proto 'icmp'
	option src_ip 'fe80::/10'
	list icmp_type '130/0'
	list icmp_type '131/0'
	list icmp_type '132/0'
	list icmp_type '143/0'
	option family 'ipv6'
	option target 'ACCEPT'

config rule
	option name 'Allow-ICMPv6-Input'
	option src 'wan'
	option proto 'icmp'
	list icmp_type 'echo-request'
	list icmp_type 'echo-reply'
	list icmp_type 'destination-unreachable'
	list icmp_type 'packet-too-big'
	list icmp_type 'time-exceeded'
	list icmp_type 'bad-header'
	list icmp_type 'unknown-header-type'
	list icmp_type 'router-solicitation'
	list icmp_type 'neighbour-solicitation'
	list icmp_type 'router-advertisement'
	list icmp_type 'neighbour-advertisement'
	option limit '1000/sec'
	option family 'ipv6'
	option target 'ACCEPT'

config rule
	option name 'Allow-ICMPv6-Forward'
	option src 'wan'
	option dest '*'
	option proto 'icmp'
	list icmp_type 'echo-request'
	list icmp_type 'echo-reply'
	list icmp_type 'destination-unreachable'
	list icmp_type 'packet-too-big'
	list icmp_type 'time-exceeded'
	list icmp_type 'bad-header'
	list icmp_type 'unknown-header-type'
	option limit '1000/sec'
	option family 'ipv6'
	option target 'ACCEPT'

config rule
	option name 'Allow-IPSec-ESP'
	option src 'wan'
	option dest 'lan'
	option proto 'esp'
	option target 'ACCEPT'

config rule
	option name 'Allow-ISAKMP'
	option src 'wan'
	option dest 'lan'
	option dest_port '500'
	option proto 'udp'
	option target 'ACCEPT'

config zone
	option name 'IoTnet'
	option input 'REJECT'
	option output 'ACCEPT'
	option forward 'REJECT'
	list network 'IoTnet'

config zone
	option name 'IoTnot'
	option input 'REJECT'
	option output 'ACCEPT'
	option forward 'REJECT'
	list network 'IoTnot'

config zone
	option name 'Guest'
	option input 'DROP'
	option output 'ACCEPT'
	option forward 'REJECT'
	list network 'Guest'

config forwarding
	option src 'lan'
	option dest 'IoTnet'

config forwarding
	option src 'lan'
	option dest 'IoTnot'

config forwarding
	option src 'IoTnet'
	option dest 'wan'

config forwarding
	option src 'Guest'
	option dest 'wan'

config rule
	option name 'Guest DHCP and DNS'
	option src 'Guest'
	option dest_port '53 67 68'
	option target 'ACCEPT'

config rule
	option name 'IoTnet DHCP and DNS'
	option src 'IoTnet'
	option dest_port '53 67 68'
	option target 'ACCEPT'

config rule
	option name 'IoTnot DHCP'
	list proto 'udp'
	option src 'IoTnot'
	option dest_port '67 68'
	option target 'ACCEPT'

Habe mich erstmal gegen eine eigene Server-Zone entschieden, da die Server aktuell hinter einem unmanaged Switch hängen und ich somit über LAN1 und VLAN10 als untagged diese hoffentlich so eingebunden bekomme.

Das konnte ich noch nicht nachvollziehen. Was genau meinst du damit?

Zum Pihole und DNS: Aktuell hab ich den Pihole so eingebunden, wie Mike es hier beschreibt (https://www.kuketz-blog.de/pi-hole-einrichtung-und-konfiguration-mit-fritzbox-adblocker-teil1/). Ich würde nun gern aber auch DNS over TLS nutzen. Wie sollte ich am besten vorgehen?
Mein aktueller Gedanke zum Start wäre den PiHole (mit seiner festen IP aus dem VLAN10) als Upstream-DNS in die wan/wan6 interfaces zu hängen?!

Und wieder einmal vorab herzlichst bedankt.

Chief1945 · 3. Januar 2025 um 16:16

Warum hast du zwei Interfaces mit dem selben Subnet?

TOF:

config rule
	option name 'Guest DHCP and DNS'
	option src 'Guest'
	option dest_port '53 67 68'
	option target 'ACCEPT'

config rule
	option name 'IoTnet DHCP and DNS'
	option src 'IoTnet'
	option dest_port '53 67 68'
	option target 'ACCEPT'

config rule
	option name 'IoTnot DHCP'
	list proto 'udp'
	option src 'IoTnot'
	option dest_port '67 68'
	option target 'ACCEPT'

DHCP Ports und Protokoll sind nicht korrigiert.

Man kann via Port-Forwarding DNS-Server für DNS-Ziel-Ports, z.B. 53, erzwingen. Im Moment ist dein DNS-Server „freiwillig“ für die Klienten.

TOF · 6. Januar 2025 um 20:38

Hat nun leider etwas länger gedauert.

‚Server‘ war deaktiviert, ist nun auch gelöscht.

/etc/config/network

config interface 'loopback'
	option device 'lo'
	option proto 'static'
	option ipaddr '127.0.0.1'
	option netmask '255.0.0.0'

config globals 'globals'
	option ula_prefix '****::/48'

config device
	option name 'br-lan'
	option type 'bridge'
	list ports 'lan1'
	list ports 'lan2'
	list ports 'lan3'
	list ports 'lan4'
	list ports 'lan5'

config device
	option name 'lan1'
	option macaddr '****:ce'

config device
	option name 'lan2'
	option macaddr '****:ce'

config device
	option name 'lan3'
	option macaddr '****:ce'

config device
	option name 'lan4'
	option macaddr '****:ce'

config device
	option name 'lan5'
	option macaddr '****:ce'

config interface 'lan'
	option device 'br-lan.10'
	option proto 'static'
	option ipaddr '10.1.10.1'
	option netmask '255.255.255.0'
	option ip6assign '60'

config device
	option name 'eth1'
	option macaddr '****:cc'

config interface 'wan'
	option device 'eth1'
	option proto 'dhcp'

config interface 'wan6'
	option device 'eth1'
	option proto 'dhcpv6'

config bridge-vlan
	option device 'br-lan'
	option vlan '10'
	list ports 'lan1'
	list ports 'lan2'

config bridge-vlan
	option device 'br-lan'
	option vlan '20'
	list ports 'lan1:t'
	list ports 'lan3'

config bridge-vlan
	option device 'br-lan'
	option vlan '30'
	list ports 'lan1:t'
	list ports 'lan4'

config bridge-vlan
	option device 'br-lan'
	option vlan '90'
	list ports 'lan1:t'
	list ports 'lan5'

config interface 'IoTnet'
	option proto 'static'
	option device 'br-lan.20'
	option ipaddr '10.1.20.1'
	option netmask '255.255.255.0'

config interface 'IoTnot'
	option proto 'static'
	option device 'br-lan.30'
	option ipaddr '10.1.30.1'
	option netmask '255.255.255.0'

config interface 'Guest'
	option proto 'static'
	option device 'br-lan.90'
	option ipaddr '10.1.90.1'
	option netmask '255.255.255.0'

Port 68 hab ich entfernt, Protokoll steht in luci auf TCP+UDP wird aber via cat Auszug nicht angezeigt.

/etc/config/firewall

config defaults
	option input 'DROP'
	option output 'ACCEPT'
	option forward 'DROP'
	option synflood_protect '1'
	option drop_invalid '1'

config zone
	option name 'wan'
	option input 'DROP'
	option output 'ACCEPT'
	option forward 'DROP'
	option masq '1'
	option mtu_fix '1'
	list network 'wan'
	list network 'wan6'

config zone
	option name 'lan'
	option input 'ACCEPT'
	option output 'ACCEPT'
	option forward 'ACCEPT'
	list network 'lan'

config forwarding
	option src 'lan'
	option dest 'wan'

config rule
	option name 'Allow-DHCP-Renew'
	option src 'wan'
	option proto 'udp'
	option dest_port '68'
	option target 'ACCEPT'
	option family 'ipv4'

config rule
	option name 'Allow-Ping'
	option src 'wan'
	option proto 'icmp'
	option icmp_type 'echo-request'
	option family 'ipv4'
	option target 'ACCEPT'

config rule
	option name 'Allow-IGMP'
	option src 'wan'
	option proto 'igmp'
	option family 'ipv4'
	option target 'ACCEPT'

config rule
	option name 'Allow-DHCPv6'
	option src 'wan'
	option proto 'udp'
	option dest_port '546'
	option family 'ipv6'
	option target 'ACCEPT'

config rule
	option name 'Allow-MLD'
	option src 'wan'
	option proto 'icmp'
	option src_ip 'fe80::/10'
	list icmp_type '130/0'
	list icmp_type '131/0'
	list icmp_type '132/0'
	list icmp_type '143/0'
	option family 'ipv6'
	option target 'ACCEPT'

config rule
	option name 'Allow-ICMPv6-Input'
	option src 'wan'
	option proto 'icmp'
	list icmp_type 'echo-request'
	list icmp_type 'echo-reply'
	list icmp_type 'destination-unreachable'
	list icmp_type 'packet-too-big'
	list icmp_type 'time-exceeded'
	list icmp_type 'bad-header'
	list icmp_type 'unknown-header-type'
	list icmp_type 'router-solicitation'
	list icmp_type 'neighbour-solicitation'
	list icmp_type 'router-advertisement'
	list icmp_type 'neighbour-advertisement'
	option limit '1000/sec'
	option family 'ipv6'
	option target 'ACCEPT'

config rule
	option name 'Allow-ICMPv6-Forward'
	option src 'wan'
	option dest '*'
	option proto 'icmp'
	list icmp_type 'echo-request'
	list icmp_type 'echo-reply'
	list icmp_type 'destination-unreachable'
	list icmp_type 'packet-too-big'
	list icmp_type 'time-exceeded'
	list icmp_type 'bad-header'
	list icmp_type 'unknown-header-type'
	option limit '1000/sec'
	option family 'ipv6'
	option target 'ACCEPT'

config rule
	option name 'Allow-IPSec-ESP'
	option src 'wan'
	option dest 'lan'
	option proto 'esp'
	option target 'ACCEPT'

config rule
	option name 'Allow-ISAKMP'
	option src 'wan'
	option dest 'lan'
	option dest_port '500'
	option proto 'udp'
	option target 'ACCEPT'

config zone
	option name 'IoTnet'
	option input 'REJECT'
	option output 'ACCEPT'
	option forward 'REJECT'
	list network 'IoTnet'

config zone
	option name 'IoTnot'
	option input 'REJECT'
	option output 'ACCEPT'
	option forward 'REJECT'
	list network 'IoTnot'

config zone
	option name 'Guest'
	option input 'DROP'
	option output 'ACCEPT'
	option forward 'REJECT'
	list network 'Guest'

config forwarding
	option src 'lan'
	option dest 'IoTnet'

config forwarding
	option src 'lan'
	option dest 'IoTnot'

config forwarding
	option src 'IoTnet'
	option dest 'wan'

config forwarding
	option src 'Guest'
	option dest 'wan'

config rule
	option name 'Guest DHCP and DNS'
	option src 'Guest'
	option dest_port '53 67'
	option target 'ACCEPT'

config rule
	option name 'IoTnet DHCP and DNS'
	option src 'IoTnet'
	option dest_port '53 67'
	option target 'ACCEPT'

config rule
	option name 'IoTnot DHCP'
	list proto 'udp'
	option src 'IoTnot'
	option dest_port '67'
	option target 'ACCEPT'

config redirect 'dns_int'
	option name 'Intercept-DNS lan'
	option src 'lan'
	option src_dport '53'
	option proto 'tcp udp'
	option target 'DNAT'
	option family 'any'

config redirect
	option target 'DNAT'
	option name 'Intercept-DNS Guest'
	option family 'any'
	option src 'Guest'
	option src_dport '53'

Ich hab nun Adguard Home unter 10.1.10.1 laufen, nach Anleitung von OpenWRT (https://openwrt.org/docs/guide-user/services/dns/adguard-home).
Irgendwie bekommen aber nun alle VLAN außer des VLAN10 keinen DNS-Server mehr zugewiesen. Egal was ich auch probiere, ich bekomme es nicht ans Laufen. Wo ist denn nun schon wieder mein Denkfehler?

Und wieder vorab bedankt!

Chief1945 · 6. Januar 2025 um 21:05

DHCP Server ist Port 67 (ipv4) bzw. 547 (ipv6) und zwar nur UDP.

TOF · 6. Januar 2025 um 21:13

Demnach würdest du empfehlen getrennte Regeln für DHCP (UDP 67 547) und DNS (TCP 53) machen?

Edit: So hab’ ich es nun und die VLAN lösen DNS über Adguard auf. Ist das denn so auch sinnvoll?

config zone
	option name 'IoTnet'
	option input 'REJECT'
	option output 'ACCEPT'
	option forward 'REJECT'
	list network 'IoTnet'

config zone
	option name 'IoTnot'
	option input 'REJECT'
	option output 'ACCEPT'
	option forward 'REJECT'
	list network 'IoTnot'

config zone
	option name 'Guest'
	option input 'DROP'
	option output 'ACCEPT'
	option forward 'REJECT'
	list network 'Guest'

config forwarding
	option src 'lan'
	option dest 'IoTnet'

config forwarding
	option src 'lan'
	option dest 'IoTnot'

config forwarding
	option src 'IoTnet'
	option dest 'wan'

config forwarding
	option src 'Guest'
	option dest 'wan'

config rule
	option name 'Guest DHCP'
	option src 'Guest'
	option dest_port '67 547'
	option target 'ACCEPT'
	list proto 'udp'

config rule
	option name 'Guest DNS'
	option src 'Guest'
	option dest_port '53'
	option target 'ACCEPT'
	list proto 'tcp'
	list proto 'udp'

config rule
	option name 'IoTnet DHCP'
	list proto 'udp'
	option src 'IoTnet'
	option dest_port '67 547'
	option target 'ACCEPT'

config rule
	option name 'IoTnet DNS'
	option src 'IoTnet'
	option dest_port '53'
	option target 'ACCEPT'
	list proto 'tcp'
	list proto 'udp'

config rule
	option name 'IoTnot DHCP'
	list proto 'udp'
	option src 'IoTnot'
	option dest_port '67 547'
	option target 'ACCEPT'

config redirect 'dns_int'
	option name 'Intercept-DNS lan'
	option src 'lan'
	option src_dport '53'
	option proto 'tcp udp'
	option target 'DNAT'
	option family 'any'

config redirect
	option target 'DNAT'
	option name 'Intercept-DNS Guest'
	option family 'any'
	option src 'Guest'
	option src_dport '53'
	list proto 'tcp'
	list proto 'udp'
	option dest_port '54'

config redirect
	option target 'DNAT'
	option name 'Intercep-DNS IoTnet'
	option family 'any'
	option src 'IoTnet'
	option src_dport '53'
	list proto 'tcp'
	list proto 'udp'
	option dest_port '54'