firewall4 : le pare-feu nftables d’OpenWrt et ses zones

Par défaut depuis 22.03. Mêmes zones, même syntaxe UCI.

En une phrase

Depuis la 22.03, le pare-feu par défaut d’OpenWrt est firewall4 (fw4). Il génère des règles nftables au lieu d’iptables et conserve dans /etc/config/firewall la syntaxe UCI de l’ancien fw3.

Des zones, pas des listes de règles

Les interfaces sont regroupées en zones, généralement lan et wan. Les politiques et les redirections se définissent entre zones.
Dans la configuration par défaut, LAN et WAN sont des zones séparées et le trafic du LAN est transmis vers le WAN. Les connexions du WAN vers votre réseau ne sont pas transmises tant que vous n’ajoutez pas de règle.
Les nouvelles interfaces, comme un réseau invité ou un tunnel WireGuard, nécessitent normalement leur propre zone ou doivent rejoindre une zone existante.

Le voir sur votre routeur

uci show firewall | grep '=zone'
fw4 print

fw4 print affiche la structure de tables, de chaînes et de règles que fw4 chargerait, sans rien appliquer. Après avoir modifié la configuration, fw4 reload l’applique.

Attention

Les guides basés sur des commandes iptables -A … ne s’appliquent pas à fw4. Exprimez la règle en UCI.
Une mauvaise zone sur une nouvelle interface est une cause fréquente du symptôme « le tunnel ou le réseau invité se connecte mais n’a pas d’accès à Internet ».

Guides associés

Sources

Router.Homes

Notes indépendantes sur OpenWrt. Chaque page précise le firmware, l’appareil, le gestionnaire de paquets et le retour arrière.

Icônes : Solar by 480 Design, CC BY 4.0