Bypass-Gateway: DHCP deaktivieren, Gateway/DNS der Clients setzen und zurückwechseln

Modus wählen: One-Arm-Bypass oder Gateway mit WAN

Modus	OpenWrt-Schnittstellen	Wer bietet DHCP an	Gateway/DNS der Clients	Hier getestet
One-Arm-Bypass	nur LAN, kein WAN	vorgelagerter Hauptrouter	LAN-IP des Bypass	nein (E1-Schritte)
Gateway mit WAN	LAN + WAN	Upstream oder Bypass	LAN-IP des Bypass	E2

Beide können „Clients über OpenWrt leiten“, aber die Fehlerquellen unterscheiden sich:

One-Arm-Bypass: Ohne DHCP/NAT muss der Hauptrouter die Rückroute kennen, oder der Bypass muss NAT durchführen;
mit WAN: OpenWrt erhält eine eigene WAN-Adresse und führt NAT für LAN-Clients durch; das ist der Testmodus.

Sagen Sie nicht „der Bypass funktioniert“, ohne anzugeben, ob er ein WAN hat und wer DHCP anbietet.

Testtopologie

Upstream 192.168.50.1
      │
  WAN eth1 (DHCP 192.168.50.5/24)
      │
  OpenWrt VM 200
      │
  LAN br-lan 192.168.1.2/24
      │  DHCP deaktiviert
  Client 192.168.1.100/24
  Gateway/DNS = 192.168.1.2

In diesem LAN gibt es keine .1, um Konflikte mit dem Upstream/Hauptrouter zu vermeiden;
Clients müssen statisch konfiguriert sein;
bei deaktiviertem DHCP bleiben DHCP-Anfragen absichtlich unbeantwortet.

Konfiguration

Router-ShellLAN-/WAN-Zustand sichern und festhalten

uci show network.lan
uci show network.wan
uci show dhcp.lan
cp /etc/config/network /etc/config/network.bak.$(date +%F)
cp /etc/config/dhcp /etc/config/dhcp.bak.$(date +%F)

Halten Sie den Konsolenzugriff bereit; die alte LAN-IP verschwindet sofort.

ErwartetSie kennen LAN-IP, WAN-Protokoll und DHCP-Zustand.

LuCILAN-IP ändern und DHCP deaktivieren

Netzwerk → Schnittstellen → LAN → Bearbeitung:

IPv4 Adresse: 192.168.1.2/24;
DHCP-Server → Allgemeine Einstellungen → Schnittstelle ignorieren;
Speichern & Anwenden.

Entsprechung auf der Kommandozeile:

uci set network.lan.ipaddr='192.168.1.2/24'
uci set dhcp.lan.ignore='1'
uci commit network
uci commit dhcp
/etc/init.d/network reload
/etc/init.d/dnsmasq restart

Öffnen Sie danach LuCI/SSH erneut unter 192.168.1.2.

ErwartetDas LAN ist 192.168.1.2/24 und DHCP vergibt keine Adressen mehr.

Router-ShellWAN und NAT beibehalten (Modus mit WAN)

ubus call network.interface.wan status
ip -4 addr show eth1
ip route
uci show firewall | grep -E 'zone|masquerade|forward'

In diesem Testaufbau war das WAN 192.168.50.5/24 mit dem Gateway 192.168.50.1; LAN-Clients nutzen NAT über OpenWrt.

ErwartetDas WAN hat eine Adresse und die Weiterleitung/NAT von LAN zu WAN funktioniert.

ComputerClient auf den Bypass ausrichten

# Linux example
ip addr add 192.168.1.100/24 dev eth0
ip route add default via 192.168.1.2
echo 'nameserver 192.168.1.2' > /etc/resolv.conf
ping -c 2 192.168.1.2
ping -c 2 1.1.1.1
nslookup openwrt.org 192.168.1.2

Windows: Stellen Sie IP, Gateway und DNS manuell ein; behalten Sie nicht die alte DHCP-Adresse bei.

ErwartetGateway/DNS des Clients sind 192.168.1.2; öffentliche IP und DNS funktionieren.

ComputerPrüfen, dass DHCP wirklich aus ist

# Linux example
udhcpc -i eth0 -f -q -n -t 3

Im Test wurde no lease, failing ausgegeben; die statische Adresse konnte weiterhin pingen und auflösen. Erhalten Sie dennoch eine Lease, existiert ein zweiter DHCP-Server oder ignore wurde nicht angewendet.

ErwartetDHCP liefert kein Angebot; die statische Konfiguration funktioniert weiterhin.

ComputerDNS/Gateway als Kontrolle wechseln

# public DNS
nslookup openwrt.org 1.1.1.1
# dead gateway
ip route replace default via 192.168.1.250
ping -c 2 1.1.1.1
# restore
ip route replace default via 192.168.1.2

Im Test: Öffentliches DNS funktionierte; .250 ergab 100 % Verlust; nach der Wiederherstellung von .2 war alles wieder erreichbar.

ErwartetDNS-Ausfall und Gateway-Ausfall lassen sich unterscheiden.

One-Arm-Bypass (E1, hier nicht getestet)

Nur LAN, kein WAN:

LAN des Bypass 192.168.1.2/24, Gateway zum Hauptrouter 192.168.1.1;
DHCP des Bypass deaktivieren;
Gateway/DNS der Clients .2;
Weiterleitung aktivieren; der Hauptrouter braucht eine Rückroute, oder der Bypass führt NAT für den LAN-Verkehr durch;
die Firewall des Hauptrouters muss die Weiterleitung von Client zu Internet erlauben.

Es stand kein Hauptrouter im Testaufbau zur Verfügung, daher ist dieser Teil E1 und nicht E2; prüfen Sie ihn gegen Ihren Router und Ihre Firewall.

Häufige Fehler

Bypass nach der LAN-Änderung nicht erreichbar

es wird noch die alte IP verwendet;
der Client befindet sich nicht in 192.168.1.0/24;
veralteter ARP-Eintrag: ip neigh flush dev <iface>;
verwenden Sie die Konsole: ip -4 addr show br-lan.

Client erhält keine Adresse

der DHCP des Bypass ist aus; das ist erwartet; konfigurieren Sie statisch;
wenn Sie DHCP möchten, betreiben Sie genau einen Server (Bypass oder Hauptrouter);
prüfen Sie dhcp.lan.ignore und einen zweiten DHCP-Server.

Client hat eine Adresse, aber kein Internet

Gateway/DNS zeigen nicht auf den Bypass;
der Bypass hat keine Standardroute/keinen Upstream;
Firewall-Weiterleitung/NAT;
dem Hauptrouter fehlt eine Rückroute (One-Arm);
Subnetzkonflikt/Double NAT.

DNS schlägt fehl

der Client nutzt für DNS noch das alte Gateway;
dnsmasq des Bypass lauscht nicht im LAN;
Upstream-DNS ist blockiert;
DoH/privates DNS auf Anwendungsebene.

Aufgezeichnete Demo (Testaufbau 009)

Testaufbau 009: Bypass-Gateway, DHCP aus, statisches Gateway/DNScast herunterladen

Echte OpenWrt-25.12.6-VM: LAN .2 + WAN-DHCP, DHCP deaktiviert; der statische Client .100 prüft öffentliche IP/DNS, DNS-Wechsel, Ausfall des Gateways und Wiederherstellung. Der reine One-Arm-Bypass ist in dieser Aufzeichnung nicht enthalten.

E2-Testlauf (2026-10-20)

Umgebung: OpenWrt 25.12.6 x86 VM 200; LAN 192.168.1.2/24; DHCP ignore=1; WAN-DHCP 192.168.50.5/24; netns-Client 192.168.1.100/24.
DHCP aus: udhcpc erhielt kein Angebot (no lease, failing); die statische Adresse funktionierte.
Statisches Gateway/DNS .2: Gateway-Ping, 1.1.1.1 und nslookup funktionierten.
DNS 1.1.1.1 funktionierte; das ausgefallene Gateway .250 unterbrach den öffentlichen Zugriff; die Wiederherstellung von .2 behob das.
Nicht getestet: reiner One-Arm-Bypass, Rückroute auf dem Hauptrouter, echte WLAN-/Windows-Clients, IPv6/RA.
Aufzeichnung: public/casts/009-bypass.cast; Rezept: tests/recipes/bypass-gateway-25.12.md.

Quellen und Review

Dies ist E2 partiell: Der Bypass mit WAN wurde getestet; der One-Arm-Pfad besteht nur aus E1-Schritten.
Es gab keinen unabhängigen Reviewer; die Schlussfolgerungen gelten nur für diese VM-/netns-Umgebung.
„Bypass-Gateway“ ist keine einzelne feste Konfiguration; klären Sie, wer DHCP anbietet, wer NAT durchführt und ob die Rückroute existiert.

Quellen

Router.Homes

Unabhängige OpenWrt-Notizen. Jede Seite nennt Firmware, Gerät, Paketmanager und den Rückweg.

Symbole: Solar by 480 Design, CC BY 4.0