firewall4: el cortafuegos nftables de OpenWrt y sus zonas

Predeterminado desde 22.03. Mismas zonas, misma sintaxis UCI.

En una frase

Desde la 22.03, el cortafuegos predeterminado de OpenWrt es firewall4 (fw4). Genera reglas de nftables en lugar de iptables y mantiene en /etc/config/firewall la sintaxis UCI del antiguo fw3.

Zonas, no listas de reglas

Las interfaces se agrupan en zonas, normalmente lan y wan. Las políticas y los reenvíos se definen entre zonas.
En la configuración predeterminada, LAN y WAN son zonas separadas y el tráfico de LAN se reenvía a WAN. Las conexiones de WAN hacia tu red no se reenvían a menos que añadas una regla.
Las interfaces nuevas, como una red de invitados o un túnel WireGuard, normalmente necesitan una zona propia o unirse a una existente.

Compruébalo en tu router

uci show firewall | grep '=zone'
fw4 print

fw4 print muestra la estructura de tablas, cadenas y reglas que fw4 cargaría, sin aplicar nada. Después de editar la configuración, fw4 reload la aplica.

Ten cuidado

Las guías basadas en comandos iptables -A … no se aplican a fw4. Expresa la regla en UCI.
Una zona incorrecta en una interfaz nueva es una causa habitual de que un túnel o una red de invitados “se conecte pero no tenga internet”.

Guías relacionadas

Fuentes

Router.Homes

Notas independientes sobre OpenWrt. Cada página indica el firmware, el dispositivo, el gestor de paquetes y la vía de retorno.

Iconos: Solar by 480 Design, CC BY 4.0