firewall4: Die nftables-Firewall von OpenWrt und ihre Zonen

Standard seit 22.03. Gleiche Zonen, gleiche UCI-Syntax.

In einem Satz

Seit 22.03 ist die Standard-Firewall von OpenWrt firewall4 (fw4). Sie erzeugt nftables-Regeln statt iptables und behält in /etc/config/firewall die UCI-Syntax des älteren fw3 bei.

Zonen statt Regellisten

Schnittstellen werden in Zonen zusammengefasst, meist lan und wan. Richtlinien und Weiterleitungen werden zwischen Zonen festgelegt.
In der Standardeinrichtung sind LAN und WAN getrennte Zonen, und LAN-Verkehr wird ins WAN weitergeleitet. Verbindungen aus dem WAN in Ihr Netzwerk werden nicht weitergeleitet, solange Sie keine Regel hinzufügen.
Neue Schnittstellen, etwa ein Gastnetz oder ein WireGuard-Tunnel, brauchen normalerweise eine eigene Zone oder müssen einer bestehenden Zone beitreten.

Auf dem eigenen Router ansehen

uci show firewall | grep '=zone'
fw4 print

fw4 print gibt die Tabellen-, Chain- und Regelstruktur aus, die fw4 laden würde, ohne etwas anzuwenden. Nachdem Sie die Konfiguration bearbeitet haben, wendet fw4 reload sie an.

Achtung

Anleitungen, die auf iptables -A …-Befehlen beruhen, gelten für fw4 nicht. Formulieren Sie die Regel stattdessen in UCI.
Eine falsche Zone bei einer neuen Schnittstelle ist ein häufiger Grund dafür, dass ein Tunnel oder ein Gastnetz „verbunden ist, aber kein Internet hat“.

Quellen

Router.Homes

Unabhängige OpenWrt-Notizen. Jede Seite nennt Firmware, Gerät, Paketmanager und den Rückweg.

Symbole: Solar by 480 Design, CC BY 4.0