Настройка LTE-шлюза OpenWRT для основного роутера

Содержание

Вопрос или проблема
Ответ или решение
Настройка Основного Маршрутизатора
Настройка Failover WAN Box (OpenWRT)
Проверка и тестирование

Вопрос или проблема

Мне не удается успешно настроить мои два устройства для следующего сценария. Бокс резервного WAN должен быть единственным, отвечающим за резервный WAN. Следует избегать двойного NAT.

Основной маршрутизатор:

WAN через FTTH (NAT, брандмауэр, DHCP)
LAN (VLAN, несколько подсетей 192.168)
Порт uplink для резервного WAN (статический 10.0.0.222, брандмауэр)
Правила для администраторского доступа

Бокс резервного WAN:

WAN через LTE (NAT, DHCP)
LAN (статический 10.0.0.1)
Правила для администраторского доступа

Мне удалось запустить это с NAT на основном маршрутизаторе, но двойное NAT мешает работе некоторых вещей. Я пытался изолировать проблемы, отключив NAT на основном маршрутизаторе, и, похоже, что бокс резервного WAN на OpenWRT неправильно маршрутизирует. Я надеюсь, что он понимает, что трафик исходит из локальных подсетей 192.168 и возвращает ответы на основной маршрутизатор с его адресом шлюза 10.0.0.222, для которого у меня есть статический маршрут. Я предполагаю, что я совершаю ошибки в настройке брандмауэра и NAT для бокса резервного WAN.

Как мне настроить брандмауэр и зоны на боксе резервного WAN? Как включить NAT без брандмауэра, если он должен быть отключен? Если его WAN-порт не будет защищен брандмауэром, как мне защитить доступ к локальным сервисам бокса резервного WAN со стороны WAN? У меня складывается впечатление, что (предположительно упрощенная) настройка брандмауэра OpenWRT может означать что-то, что отличается от моего понимания.

Ответ или решение

Для настройки вашего шлюза LTE на OpenWRT с учетом ваших требований к сети, необходимо правильно настроить маршрутизацию и параметры брандмауэра, чтобы избежать двойного NAT и обеспечить корректное взаимодействие между основным маршрутизатором и устройством с LTE.

Настройка Основного Маршрутизатора

WAN-подключение:
- Убедитесь, что WAN-подключение вашего основного маршрутизатора настроено и функционирует корректно.
LAN-настройки:
- Настройте VLAN, если это необходимо, и убедитесь, что работа с подсетями 192.168 настроена правильно.
Failover WAN:
- В интерфейсе веб-управления, перейдите в Network > Static Routes и добавьте статический маршрут:
  - Destination: 10.0.0.0/24
  - Next Hop: 10.0.0.222
- Это позволит основному маршрутизатору направлять трафик к вашей Failover WAN Box.
Брандмауэр:
- Создайте правило, разрешающее трафик на 10.0.0.0/24 из локальной сети в WAN интерфейс.

Настройка Failover WAN Box (OpenWRT)

WAN-подключение:
- Убедитесь, что ваше подключение LTE настроено и работает (используйте DHCP или статические IP по мере необходимости).
LAN-настройки:
- Настройте LAN на статический IP 10.0.0.1.
Брандмауэр и зоны:
- Перейдите в Network > Firewall. Создайте три зоны:
  - WAN:
  - Настройте Input: Accept (если вы хотите контролировать доступ);
  - Настройте Forward: Reject (отказ от маршрутизации к LAN);
  - LAN:
  - Настройте Input: Accept (разрешить доступ к локальным ресурсам);
  - Настройте Forward: Accept (разрешите доступ к WAN);
  - Failover (или назовите, как вам угодно):
  - Настройте Input: Accept (для администраторского доступа);
  - Настройте Forward: Accept (можно ограничить по необходимости).
Общие настройки NAT и маршрутизация:
- В Network > Firewall проверьте, как настроен NAT. Убедитесь, что пакетный фильтр не блокирует ваш локальный трафик.
- Создайте правило NAT для Failover WAN, если это необходимо, но не включайте его на уровне всего роутера, чтобы избежать конфликта.
Доступ:
- Чтобы обеспечить безопасность доступа к локальным сервисам Failover WAN Box, используйте правила Firewall для ограничения доступа к конкретным IP или портам.

Проверка и тестирование

После завершения всех настроек, протестируйте маршрутизацию.
Убедитесь, что устройства из локальных сетей (192.168.x.x) могут получать доступ к интернету через основной маршрутизатор и Failover WAN Box без двойного NAT.
Проверьте состояние соединений и выполните пинг для диагностики возможных проблем.

Если вы столкнетесь с проблемами или необходимостью изменения конфигурации, обратитесь к логам OpenWRT для устранения неполадок. Эти шаги должны помочь вам достигнуть желаемой конфигурации сети без двойного NAT.