Openwrt 設定1 Firewall

Model: ELECOM WRC-1750GST2
Firmware Version: OpenWrt 23.05.2

firewall設定

Webインターフェースで設定する場合、sshで接続しておくことで、設定失敗してWebインターフェースに接続できなくなった場合、fw4 stop を入力して停止すると再設定が可能

1. Network -> Firewall を選択
2. General Setting ( ) Enable Sys-flood protection をチェック
3. Input,Output,Forward を reject に設定
4. Routing/NAT Offloading
   Software flow offloading にチェック
   Hardware flow offloading にチェック
5. Zones
   
   • lan-> wan
     
     • input,output,forwardを rejectに設定
       lan側端末は応答を待たせないために拒否を通知する
   • wan-> REJECT
     • input,output,forwardを dropに設定
       wan側のパケットには応答しない
6. traffice rules タブ
   既存設定を全て削除して以下を追加
   

name	protocol	source	source-port	dest	dest-port
LAN-CPU(TCP)	TCP	lan		デバイス	22 53 80 443
LAN-CPU(UDP)	UDP	lan		デバイス	53 67 123
LAN-CPU(ICMP)	ICMP	lan		デバイス
CPU-LAN(TCP)	TCP	デバイス	22 53 80 443	lan
CPU-LAN(UDP)	UDP	デバイス	53 67 123	lan
CPU-WAN(TCP)	TCP	デバイス		wan	53 80 443
CPU-WAN(UDP)	UDP	デバイス		wan	53 123
CPU-WAN(ICMP)	ICMP	デバイス		wan
LAN-WAN(TCP)	TCP	lan		wan	80 443
LAN-WAN(UDP)	UDP	lan		wan	123 443
LAN-WAN(Swichbot)	TCP	lan		wan	8883
LAN-WAN(icloud )	TCP	lan		wan	5223
LAN-WAN(Exchage)	TCP	lan		wan	587 993 995 143 25
LAN-WAN(Teams)	UDP	lan		wan	3478 3479 3480 3481
LAN-ANY(file)	TCP/UDP	lan	137 138 139 445 2049	any zone	action:reject
LAN-ANY	TCP/UDP	lan		any zone	action:drop

メモ

• LANからwanへのping(icmp)は、lan->cpu 間の許可が必要 lan->wan への設定は不要
• LAN-ANY action:drop は、一番下に配置する
  上の方が優先度が高いため、その下へ許可設定をしていても反映しない
• line通話 https://help.worksmobile.com/jp/topic/shoot-troubles/mobile-app-or-pc-app-is-not-working-normally/:音声通話・ビデオ通話を利用できない
  • Protocol: TCP Port: 10001-10020
  • Protocol: UDP Port: 10001-30000
• Outlook/Teams https://learn.microsoft.com/ja-jp/microsoft-365/enterprise/urls-and-ip-address-ranges?view=o365-worldwide:Office 365 の URL と IP アドレスの範囲
• Firewall で reject されるのをコンソールで確認する方法
  1. Firewall General Setting タブの最下端にあるZonesの
     lan-> wan Edit をクリック
  2. advanced settings
     Eanable logging on thiw zone にチェック
  3. logread -f | grep kern | cut -f5,11,12,13,14,15,17,18,19,25,26,27 -d " "