firewall4: OpenWrt の nftables ファイアウォールとゾーン

22.03 から標準です。ゾーンも UCI の書き方も変わりません。

一言でいうと

22.03 以降、OpenWrt の標準ファイアウォールは firewall4 (fw4) です。iptables ではなく nftables のルールを生成し、/etc/config/firewall では従来の fw3 と同じ UCI 構文を使います。

ルールの一覧ではなくゾーン

インターフェースは、通常 lan と wan といったゾーンにまとめられます。ポリシーとフォワーディングはゾーン間に設定します。
初期設定では LAN と WAN は別のゾーンで、LAN の通信は WAN へ転送されます。ルールを追加しない限り、WAN から内側への接続は転送されません。
ゲストネットワークや WireGuard トンネルなどの新しいインターフェースには、通常は専用のゾーンを作るか、既存のゾーンに加える必要があります。

ルーターで確認する

uci show firewall | grep '=zone'
fw4 print

fw4 print は、fw4 が読み込むテーブル、チェーン、ルールの構造を、適用せずに表示します。設定を編集したあとは fw4 reload で適用します。

注意点

iptables -A … コマンドを前提にしたガイドは fw4 には当てはまりません。ルールは UCI で記述してください。
新しいインターフェースのゾーンが間違っていると、トンネルやゲストネットワークが「接続はできるのにインターネットに出られない」状態になりがちです。

関連ガイド

出典

独立した OpenWrt の実践ノートです。各ページにファームウェア、デバイス、パッケージマネージャー、元に戻す手順を明記しています。

アイコン：Solar by 480 Design, CC BY 4.0