无线网络的本质决定了 — — 在无线信号覆盖范围内的任何人都可以对收集到的无线信号进行分析。如果网络协议本身不严密（有漏洞），那么攻击者就能加以利用。从这个角度（OSI 的“物理层”）而言，“无线网络”的【攻击面】要显著高于“有线网络”。
——编程随想

写在前面

为什么要给家里做网络隔离呢？其实还是为了满足我个人心里那丁点儿被害妄想。一般的家庭网络，如果没什么重要的设备，是不需要做网络隔离的，而且做了网络隔离还可能会影响手机与手机、手机与电脑之间的文件传输（QQ、ES 快传等功能）。当然，如果和我一样喜欢折腾，又担心内网中重要的资源被其他陌生设备，比如说父母用的蛤为手机偷窥（实际上蛤为有没有这么做我不知道）、被邻居借助某钥匙侵入，可以试一下像我这样在无线网与有线网中间插一道墙。隔离后的无线网设备，在未经授权的情况下只允许访问互联网。
我采用的方案是在 OpenWRT 中为无线设备重新分配一个新的内网网段，并根据无线设备的 MAC 地址允许个别设备与已有的有线网段通信。当然，这也不是绝对安全的，因为无线设备的 MAC 地址可以被伪造。但我家也不是开军火铺的，此方案我觉得已能防住 99% 的非法访问。

那么开始吧

① 登陆 Openwrt 的 LUCI 管理界面，备份当前配置后切换到【网络】→【接口】选项卡，添加新接口。该接口配置如下：

建立新接口后，编辑这个新建的接口：

修改完毕后保存，不需要立即应用。

② 切换到【网络】→【无线】选项卡，为 radio0 和 radio1（如果有）开启【隔离客户端】，以隔离无线网络中的设备互相通信。
同时，在两个无线网络的基本设置中，【网络】一栏修改为上一步建立的名为 WLAN的接口（如下图）。修改完成后记得保存，不需要立即应用。

③ 切换到【网络】→【防火墙】选项卡，在【常规设置】下的 Zones 一栏添加新的 Zone ，配置如下：

保存，这样即授予了无线设备对互联网和路由器的访问权限。关于限制无线设备管理路由器，下文会有提到。

④ 这一步是授予信任的特定无线设备访问有线网络。同样在【防火墙】选项卡，切换到【Traffic Rules】，添加新的规则。规则如下：
【常规设置】

【高级设置】

为了防止不受信的无线设备管理路由器，需要阻止它们对路由器的 22 端口、80 端口、443 端口访问。继续来到【Custom Rules】选项卡，添加以下三条规则（以路由器在有线网络的 IP（网关）为192.168.2.1举例）

iptables -t filter -A input_WLAN_rule -p tcp -d 192.168.2.1 --dport 22 -j DROP
iptables -t filter -A input_WLAN_rule -p tcp -d 192.168.2.1 --dport 80 -j DROP
iptables -t filter -A input_WLAN_rule -p tcp -d 192.168.2.1 --dport 443 -j DROP

添加并保存后，还需钦定路由器的管理界面 仅对有线网络监听。否则在无线网络输入网关的地址（10.0.0.1）仍可以访问到路由器的管理界面。此时需要 SSH 登录路由器，修改uhttpd 的配置文件。命令：

root@OpenWrt:~# vi /etc/config/uhttpd

修改 list listen_http 、 list listen_https 两行，将0.0.0.0改为路由器在有线网络的 IP。（如图）保存，并重启 uhttpd。

⑤ 最后确认一下给无线设备上网用的 DNS 服务。回到 LUCI 管理界面，【网络】 → 【DHCP/DNS】 → 【常规设置】：若勾选了【非全部地址】，需要在【监听接口】中新增br-WLAN这一项。

⑥ 检查并确认无误后，保存并应用。恭喜你，有线网络与无线网络已成功隔离，不用担心有线网络中传输的数据被别有用心的人或大数据公司偷窥了。此时无线设备仅能获取到类似 10.0.0.X 的 IP 地址以及 10.0.0.1的网关地址，如下图。未授权的无线设备将仅允许向外访问互联网，192.168 开头的地址将会不可达。

本文链接：https://blog.hiirachan.moe/archives/355.html
This blog is under a CC BY-NC-SA 3.0 Unported License

本站不提供任何可用于侵入、非法控制计算机信息系统的程序、工具
亦不提供非法定信道进行国际联网