จะบล็อกอุปกรณ์ที่เชื่อมต่อกับอินเทอร์เฟซไร้สายเฉพาะไม่ให้เข้าถึงอินเทอร์เน็ตได้อย่างไร

ฉันได้กำหนดค่าเราเตอร์ OpenWRT WiFi ของฉันด้วยอินเทอร์เฟซไร้สายสองอินเทอร์เฟซ: wlan0 และ wlan0-1. อินเทอร์เฟซอีเธอร์เน็ต WAN ของฉันคือ eth0.2.

ฉันจะป้องกันอุปกรณ์ที่เชื่อมต่อได้อย่างไร wlan0-1 จากการเข้าถึงอินเทอร์เน็ต เช่น โดยใช้ iptables?

บริบทของฉันคือฉันมีอุปกรณ์บางอย่าง (ตัวกรองอากาศ) ที่มีการเข้าถึง WiFi เพื่อสนับสนุนการตรวจสอบและควบคุม อย่างไรก็ตาม อุปกรณ์เหล่านี้ยังอัปโหลดข้อมูลไปยังเซิร์ฟเวอร์คลาวด์ซึ่งฉันต้องการป้องกัน

br-lan ลิงก์ encap:Ethernet HWaddr 70:4F:57:00:51:AE
          inet addr:192.168.1.254 Bcast:192.168.1.255 มาสก์:255.255.255.0
          inet6 addr: fd76:9521:f357::1/60 ขอบเขต: Global
          inet6 addr: fe80::724f:57ff:fe00:51ae/64 ขอบเขต: ลิงก์
          การออกอากาศที่เรียกใช้มัลติคาสต์ MTU:1500 เมตริก:1
          แพ็กเก็ต RX:380362 ข้อผิดพลาด:0 หลุด:9 โอเวอร์รัน:0 เฟรม:0
          แพ็กเก็ต TX:1678139 ข้อผิดพลาด:0 หลุด:0 โอเวอร์รัน:0 ผู้ให้บริการ:0
          การชน:0 txqueuelen:1000
          ไบต์ RX:128540610 (122.5 MiB) ไบต์ TX:1235755098 (1.1 GiB)

br-wan ลิงค์ encap:Ethernet HWaddr 70:4F:57:00:51:AF
          inet addr:192.168.178.20 Bcast:192.168.178.255 มาสก์:255.255.255.0
          inet6 addr: fe80::724f:57ff:fe00:51af/64 ขอบเขต: ลิงค์
          การออกอากาศที่เรียกใช้มัลติคาสต์ MTU:1500 เมตริก:1
          แพ็กเก็ต RX:1684381 ข้อผิดพลาด:0 หลุด:10354 โอเวอร์รัน:0 เฟรม:0
          แพ็กเก็ต TX:369066 ข้อผิดพลาด:0 หลุด:0 โอเวอร์รัน:0 ผู้ให้บริการ:0
          การชน:0 txqueuelen:1000
          ไบต์ RX:1209960142 (1.1 GiB) ไบต์ TX:132041857 (125.9 MiB)

eth0 ลิงก์ encap:Ethernet HWaddr 70:4F:57:00:51:AE
          inet6 addr: fe80::724f:57ff:fe00:51ae/64 ขอบเขต: ลิงก์
          การออกอากาศที่เรียกใช้มัลติคาสต์ MTU:1500 เมตริก:1
          แพ็กเก็ต RX:1809158 ข้อผิดพลาด:0 หลุด:16 โอเวอร์รัน:0 เฟรม:0
          แพ็กเก็ต TX:1611603 ข้อผิดพลาด:1 หลุด:0 โอเวอร์รัน:0 ผู้ให้บริการ:0
          การชน:0 txqueuelen:1000
          ไบต์ RX:1276777715 (1.1 GiB) ไบต์ TX:1193854987 (1.1 GiB)
          ขัดจังหวะ:5

eth0.1 ลิงค์ encap:Ethernet HWaddr 70:4F:57:00:51:AE
          การออกอากาศที่เรียกใช้มัลติคาสต์ MTU:1500 เมตริก:1
          แพ็กเก็ต RX:106729 ข้อผิดพลาด:0 หลุด:0 โอเวอร์รัน:0 เฟรม:0
          แพ็กเก็ต TX:1218251 ข้อผิดพลาด:0 หลุด:0 โอเวอร์รัน:0 ผู้ให้บริการ:0
          การชน:0 txqueuelen:1000
          ไบต์ RX:33390921 (31.8 MiB) ไบต์ TX:1054045465 (1005.2 MiB)

eth0.2 ลิงค์ encap:Ethernet HWaddr 70:4F:57:00:51:AF
          การออกอากาศที่เรียกใช้มัลติคาสต์ MTU:1500 เมตริก:1
          แพ็กเก็ต RX:1689922 ข้อผิดพลาด:0 หลุด:349 โอเวอร์รัน:0 เฟรม:0
          แพ็กเก็ต TX:393339 ข้อผิดพลาด:0 ลดลง:0 โอเวอร์รัน:0 ผู้ให้บริการ:0
          การชน:0 txqueuelen:1000
          ไบต์ RX:1210230806 (1.1 GiB) ไบต์ TX:133360867 (127.1 MiB)

lo ลิงก์ encap:Local Loopback
          inet addr:127.0.0.1 มาสก์:255.0.0.0
          inet6 addr: ::1/128 ขอบเขต:โฮสต์
          การทำงานย้อนกลับขึ้น MTU:65536 เมตริก:1
          แพ็กเก็ต RX:642 ข้อผิดพลาด:0 หลุด:0 โอเวอร์รัน:0 เฟรม:0
          แพ็กเก็ต TX:642 ข้อผิดพลาด:0 ลดลง:0 โอเวอร์รัน:0 ผู้ให้บริการ:0
          การชน:0 txqueuelen:1000
          ไบต์ RX:56074 (54.7 KiB) ไบต์ TX:56074 (54.7 KiB)

wlan0 ลิงค์ encap:Ethernet HWaddr 70:4F:57:00:51:AC
          inet6 addr: fe80::724f:57ff:fe00:51ac/64 ขอบเขต: ลิงค์
          การออกอากาศที่เรียกใช้มัลติคาสต์ MTU:1500 เมตริก:1
          แพ็กเก็ต RX:293895 ข้อผิดพลาด:0 หลุด:0 โอเวอร์รัน:0 เฟรม:0
          แพ็กเก็ต TX:383702 ข้อผิดพลาด:0 ลดลง:0 โอเวอร์รัน:0 ผู้ให้บริการ:0
          การชน:0 txqueuelen:1000
          ไบต์ RX:99486914 (94.8 MiB) ไบต์ TX:194289752 (185.2 MiB)

wlan0-1 ลิงค์ encap:Ethernet HWaddr 72:4F:57:00:51:AC
          inet6 addr: fe80::704f:57ff:fe00:51ac/64 ขอบเขต: ลิงค์
          การออกอากาศที่เรียกใช้มัลติคาสต์ MTU:1500 เมตริก:1
          แพ็กเก็ต RX:15014 ข้อผิดพลาด:0 หลุด:0 โอเวอร์รัน:0 เฟรม:0
          แพ็กเก็ต TX:12335 ข้อผิดพลาด:0 ลดลง:0 โอเวอร์รัน:0 ผู้ให้บริการ:0
          การชน:0 txqueuelen:1000
          ไบต์ RX:1962975 (1.8 MiB) ไบต์ TX:2056310 (1.9 MiB)

จนถึงตอนนี้ฉันสามารถบล็อกทราฟฟิกจากที่อยู่ IP แต่ละรายการเท่านั้น แต่สิ่งนี้ค่อนข้างงุ่มง่าม:

$ iptables - A forwarding_rule --source 192.168.1.110 --jump ปฏิเสธ

การใช้อินเทอร์เฟซอินพุตและเอาต์พุต br-วัน หรือ eth0.2, ไม่ทำงาน:

$ iptables -A forwarding_rule -i wlan0-1 -o br-wan --jump ปฏิเสธ

แก้ไข: การเพิ่มผลลัพธ์ของ iptables-บันทึก

# สร้างโดย iptables-save v1.8.3 ในวันพฤหัสบดีที่ 7 ต.ค. 21:18:59 น. 2564
*แนท
: ยอมรับ [29740:1906622]
: ยอมรับอินพุต [1917:191180]
: ยอมรับเอาต์พุต [9468:913173]
:หลังยอมรับ [0:0]
:postrouting_lan_rule - [0:0]
:postrouting_rule - [0:0]
:postrouting_wan_rule - [0:0]
:prerouting_lan_rule - [0:0]
:prerouting_rule - [0:0]
:prerouting_wan_rule - [0:0]
:zone_lan_postrouting - [0:0]
:zone_lan_prerouting - [0:0]
:zone_wan_postrouting - [0:0]
:zone_wan_prerouting - [0:0]
-A PREROUTING -m ความคิดเห็น --comment "!fw3: Custom prerouting rule chain" -j prerouting_rule
-A PREROUTING -i br-lan -m ความคิดเห็น --comment "!fw3" -j zone_lan_prerouting
-A PREROUTING -i br-wan -m ความคิดเห็น --comment "!fw3" -j zone_wan_prerouting
-A PREROUTING -i eth0.2 -m comment --comment "!fw3" -j zone_wan_prerouting
-A POSTROUTING -m comment --comment "!fw3: Custom postrouting rule chain" -j postrouting_rule
-A POSTROUTING -o br-lan -m ความคิดเห็น --comment "!fw3" -j zone_lan_postrouting
-A POSTROUTING -o br-wan -m ความคิดเห็น --comment "!fw3" -j zone_wan_postrouting
-A POSTROUTING -o eth0.2 -m comment --comment "!fw3" -j zone_wan_postrouting
-A zone_lan_postrouting -m ความคิดเห็น --comment "!fw3: Custom lan postrouting rule chain" -j postrouting_lan_rule
-A zone_lan_postrouting -m ความคิดเห็น --comment "!fw3" -j MASQUERADE
-A zone_lan_prerouting -m ความคิดเห็น --comment "!fw3: Custom lan prerouting rule chain" -j prerouting_lan_rule
-A zone_wan_postrouting -m ความคิดเห็น --comment "!fw3: Custom wan postrouting rule chain" -j postrouting_wan_rule
-A zone_wan_postrouting -m ความคิดเห็น --comment "!fw3" -j MASQUERADE
-A zone_wan_prerouting -m ความคิดเห็น --comment "!fw3: Custom wan prerouting rule chain" -j prerouting_wan_rule
ให้สัญญา
# เสร็จสิ้นเมื่อ พฤ. 7 ต.ค. 21:18:59 น. 2564
# สร้างโดย iptables-save v1.8.3 ในวันพฤหัสบดีที่ 7 ต.ค. 21:18:59 น. 2564
* แหลกเหลว
: ยอมรับ [408155:279582022]
: ยอมรับอินพุต [31411:6614761]
:ส่งต่อ ยอมรับ [376252:272911158]
: ยอมรับเอาต์พุต [51318:6113468]
: ยอมรับภายหลัง [402428:277911525]
-A FORWARD -o br-wan -p tcp -m tcp --tcp-flags SYN,RST SYN -m comment --comment "!fw3: Zone wan MTU fixing" -j TCPMSS --clamp-mss-to-pmtu
-A FORWARD -i br-wan -p tcp -m tcp --tcp-flags SYN,RST SYN -m comment --comment "!fw3: Zone wan MTU fixing" -j TCPMSS --clamp-mss-to-pmtu
-A FORWARD -o eth0.2 -p tcp -m tcp --tcp-flags SYN,RST SYN -m comment --comment "!fw3: Zone wan MTU fixing" -j TCPMSS --clamp-mss-to-pmtu
-A FORWARD -i eth0.2 -p tcp -m tcp --tcp-flags SYN,RST SYN -m comment --comment "!fw3: Zone wan MTU fixing" -j TCPMSS --clamp-mss-to-pmtu
ให้สัญญา
# เสร็จสิ้นเมื่อ พฤ. 7 ต.ค. 21:18:59 น. 2564
# สร้างโดย iptables-save v1.8.3 ในวันพฤหัสบดีที่ 7 ต.ค. 21:18:59 น. 2564
*กรอง
:อินพุต ยอมรับ [0:0]
:ทิ้งไปข้างหน้า [0:0]
:เอาต์พุตยอมรับ [0:0]
:forwarding_lan_rule - [0:0]
:forwarding_rule - [0:0]
:forwarding_wan_rule - [0:0]
:input_lan_rule - [0:0]
:input_rule - [0:0]
:input_wan_rule - [0:0]
:output_lan_rule - [0:0]
:output_rule - [0:0]
:output_wan_rule - [0:0]
:ปฏิเสธ - [0:0]
:syn_flood - [0:0]
:zone_lan_dest_ACCEPT - [0:0]
:zone_lan_forward - [0:0]
:zone_lan_input - [0:0]
:zone_lan_output - [0:0]
:zone_lan_src_ACCEPT - [0:0]
:zone_wan_dest_ACCEPT - [0:0]
:zone_wan_forward - [0:0]
:zone_wan_input - [0:0]
:zone_wan_output - [0:0]
:zone_wan_src_REJECT - [0:0]
-A INPUT -i lo -m ความคิดเห็น --comment "!fw3" -j ยอมรับ
-A INPUT -m ความคิดเห็น --comment "!fw3: Custom input rule chain" -j input_rule
-A INPUT -m conntrack --ctstate ที่เกี่ยวข้อง,ESTABLISHED -m ความคิดเห็น --comment "!fw3" -j ยอมรับ
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -m ความคิดเห็น --comment "!fw3" -j syn_flood
-A INPUT -i br-lan -m ความคิดเห็น --comment "!fw3" -j zone_lan_input
-A INPUT -i br-wan -m ความคิดเห็น --comment "!fw3" -j zone_wan_input
-A INPUT -i eth0.2 -m comment --comment "!fw3" -j zone_wan_input
-A FORWARD -m ความคิดเห็น --comment "!fw3: ห่วงโซ่กฎการส่งต่อแบบกำหนดเอง" -j forwarding_rule
-A FORWARD -m conntrack --ctstate ที่เกี่ยวข้อง ก่อตั้ง -m ความคิดเห็น --comment "!fw3" -j ยอมรับ
-A FORWARD -i br-lan -m ความคิดเห็น --comment "!fw3" -j zone_lan_forward
-A FORWARD -i br-wan -m ความคิดเห็น --comment "!fw3" -j zone_wan_forward
-A FORWARD -i eth0.2 -m comment --comment "!fw3" -j zone_wan_forward
-A FORWARD -m ความคิดเห็น --comment "!fw3" -j ปฏิเสธ
-A OUTPUT -o lo -m ความคิดเห็น --comment "!fw3" -j ยอมรับ
-A OUTPUT -m ความคิดเห็น --comment "!fw3: Custom output rule chain" -j output_rule
-A OUTPUT -m conntrack --ctstate ที่เกี่ยวข้อง ก่อตั้ง -m ความคิดเห็น --comment "!fw3" -j ยอมรับ
-A OUTPUT -o br-lan -m ความคิดเห็น --comment "!fw3" -j zone_lan_output
-A OUTPUT -o br-wan -m ความคิดเห็น --comment "!fw3" -j zone_wan_output
-A OUTPUT -o eth0.2 -m ความคิดเห็น --comment "!fw3" -j zone_wan_output
-A forwarding_rule -s 192.168.1.110/32 -j ปฏิเสธ
-A forwarding_rule -s 192.168.1.111/32 -j ปฏิเสธ
-A ปฏิเสธ -p tcp -m ความคิดเห็น --comment "!fw3" -j REJECT --reject-with tcp-reset
-A ปฏิเสธ -m ความคิดเห็น --comment "!fw3" -j REJECT --reject-with icmp-port-unreachable
-A syn_flood -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -m limit --limit 25/sec --limit-burst 50 -m comment --comment "!fw3" -j RETURN
-A syn_flood -m ความคิดเห็น --comment "!fw3" -j DROP
-A zone_lan_dest_ACCEPT -o br-lan -m conntrack --ctstate INVALID -m ความคิดเห็น --comment "!fw3: ป้องกันการรั่วไหลของ NAT" -j DROP
-A zone_lan_dest_ACCEPT -o br-lan -m ความคิดเห็น --comment "!fw3" -j ยอมรับ
-A zone_lan_forward -m ความคิดเห็น --comment "!fw3: Custom lan forwarding rule chain" -j forwarding_lan_rule
-A zone_lan_forward -m ความคิดเห็น --comment "!fw3: นโยบายการส่งต่อโซน lan ไปยัง wan" -j zone_wan_dest_ACCEPT
-A zone_lan_forward -m conntrack --ctstate DNAT -m ความคิดเห็น --comment "!fw3: ยอมรับการส่งต่อพอร์ต" -j ACCEPT
-A zone_lan_forward -m ความคิดเห็น --ความคิดเห็น "!fw3" -j zone_lan_dest_ACCEPT
-A zone_lan_input -m ความคิดเห็น --comment "!fw3: Custom lan input rule chain" -j input_lan_rule
-A zone_lan_input -m conntrack --ctstate DNAT -m ความคิดเห็น --comment "!fw3: ยอมรับการเปลี่ยนเส้นทางพอร์ต" -j ACCEPT
-A zone_lan_input -m ความคิดเห็น --comment "!fw3" -j zone_lan_src_ACCEPT
-A zone_lan_output -m ความคิดเห็น --comment "!fw3: Custom lan output rule chain" -j output_lan_rule
-A zone_lan_output -m ความคิดเห็น --comment "!fw3" -j zone_lan_dest_ACCEPT
-A zone_lan_src_ACCEPT -i br-lan -m conntrack --ctstate NEW,UNTRACKED -m ความคิดเห็น --comment "!fw3" -j ยอมรับ
-A zone_wan_dest_ACCEPT -o br-wan -m conntrack --ctstate INVALID -m ความคิดเห็น --comment "!fw3: ป้องกันการรั่วไหลของ NAT" -j DROP
-A zone_wan_dest_ACCEPT -o br-wan -m ความคิดเห็น --comment "!fw3" -j ยอมรับ
-A zone_wan_dest_ACCEPT -o eth0.2 -m conntrack --ctstate INVALID -m comment --comment "!fw3: ป้องกันการรั่วไหลของ NAT" -j DROP
-A zone_wan_dest_ACCEPT -o eth0.2 -m ความคิดเห็น --comment "!fw3" -j ยอมรับ
-A zone_wan_forward -m ความคิดเห็น --comment "!fw3: Custom wan forwarding rule chain" -j forwarding_wan_rule
-A zone_wan_forward -p esp -m ความคิดเห็น --comment "!fw3: Allow-IPSec-ESP" -j zone_lan_dest_ACCEPT
-A zone_wan_forward -p udp -m udp --dport 500 -m ความคิดเห็น --comment "!fw3: Allow-ISAKMP" -j zone_lan_dest_ACCEPT
-A zone_wan_forward -m ความคิดเห็น --comment "!fw3: นโยบายการส่งต่อโซน wan ไปยัง lan" -j zone_lan_dest_ACCEPT
-A zone_wan_forward -m conntrack --ctstate DNAT -m ความคิดเห็น --comment "!fw3: ยอมรับการส่งต่อพอร์ต" -j ACCEPT
-a zone_wan_forward -m ความคิดเห็น --ความคิดเห็น "!fw3" -j zone_wan_dest_ACCEPT
-A zone_wan_input -m ความคิดเห็น --comment "!fw3: Custom wan input rule chain" -j input_wan_rule
-A zone_wan_input -p udp -m udp --dport 68 -m ความคิดเห็น --comment "!fw3: Allow-DHCP-Renew" -j ACCEPT
-A zone_wan_input -p icmp -m icmp --icmp-type 8 -m ความคิดเห็น --comment "!fw3: Allow-Ping" -j ยอมรับ
-A zone_wan_input -p igmp -m ความคิดเห็น --comment "!fw3: Allow-IGMP" -j ACCEPT
-A zone_wan_input -m conntrack --ctstate DNAT -m ความคิดเห็น --comment "!fw3: ยอมรับการเปลี่ยนเส้นทางพอร์ต" -j ACCEPT
-A zone_wan_input -m ความคิดเห็น --ความคิดเห็น "!fw3" -j zone_wan_src_REJECT
-A zone_wan_output -m ความคิดเห็น --comment "!fw3: Custom wan output rule chain" -j output_wan_rule
-A zone_wan_output -m ความคิดเห็น --comment "!fw3" -j zone_wan_dest_ACCEPT
-A zone_wan_src_REJECT -i br-wan -m ความคิดเห็น --comment "!fw3" -j ปฏิเสธ
-A zone_wan_src_REJECT -i eth0.2 -m ความคิดเห็น --comment "!fw3" -j ปฏิเสธ
ให้สัญญา
# เสร็จสิ้นเมื่อ พฤ. 7 ต.ค. 21:18:59 น. 2564

แก้ไข: การเพิ่มผลลัพธ์ของ ไฟร์วอลล์ส่งออก uci

ไฟร์วอลล์แพ็คเกจ

กำหนดค่าเริ่มต้น
        ตัวเลือก syn_flood '1'
        ป้อนตัวเลือก 'ยอมรับ'
        เอาต์พุตตัวเลือก 'ยอมรับ'
        ตัวเลือกไปข้างหน้า 'ปฏิเสธ'

โซนการกำหนดค่า
        ชื่อตัวเลือก 'lan'
        ป้อนตัวเลือก 'ยอมรับ'
        เอาต์พุตตัวเลือก 'ยอมรับ'
        ตัวเลือกไปข้างหน้า 'ยอมรับ'
        ตัวเลือกมาสก์ '1'
        เครือข่ายตัวเลือก 'lan'

โซนการกำหนดค่า
        ชื่อตัวเลือก 'wan'
        ป้อนตัวเลือก 'ปฏิเสธ'
        เอาต์พุตตัวเลือก 'ยอมรับ'
        ตัวเลือกมาสก์ '1'
        ตัวเลือก mtu_fix '1'
        ตัวเลือกไปข้างหน้า 'ยอมรับ'
        เครือข่ายตัวเลือก 'wan wan6 wwan1 wwan'

การส่งต่อการกำหนดค่า
        ตัวเลือก src 'lan'
        ตัวเลือก dest 'wan'

กฎการกำหนดค่า
        ชื่อตัวเลือก 'อนุญาต-DHCP-ต่ออายุ'
        ตัวเลือก src 'วาน'
        ตัวเลือกโปรโต 'udp'
        ตัวเลือก dest_port '68'
        เป้าหมายตัวเลือก 'ยอมรับ'
        ตระกูลตัวเลือก 'ipv4'

กฎการกำหนดค่า
        ชื่อตัวเลือก 'อนุญาต-Ping'
        ตัวเลือก src 'วาน'
        ตัวเลือกโปรโต 'icmp'
        ตัวเลือก icmp_type 'echo-request'
        ตระกูลตัวเลือก 'ipv4'
        เป้าหมายตัวเลือก 'ยอมรับ'

กฎการกำหนดค่า
        ชื่อตัวเลือก 'Allow-IGMP'
        ตัวเลือก src 'วาน'
        ตัวเลือกโปรโต 'igmp'
        ตระกูลตัวเลือก 'ipv4'
        เป้าหมายตัวเลือก 'ยอมรับ'

กฎการกำหนดค่า
        ชื่อตัวเลือก 'อนุญาต-DHCPv6'
        ตัวเลือก src 'วาน'
        ตัวเลือกโปรโต 'udp'
        ตัวเลือก src_ip 'fc00::/6'
        ตัวเลือก dest_ip 'fc00::/6'
        ตัวเลือก dest_port '546'
        ตระกูลตัวเลือก 'ipv6'
        เป้าหมายตัวเลือก 'ยอมรับ'

กฎการกำหนดค่า
        ชื่อตัวเลือก 'Allow-MLD'
        ตัวเลือก src 'วาน'
        ตัวเลือกโปรโต 'icmp'
        ตัวเลือก src_ip 'fe80::/10'
        รายการ icmp_type '130/0'
        รายการ icmp_type '131/0'
        รายการ icmp_type '132/0'
        รายการ icmp_type '143/0'
        ตระกูลตัวเลือก 'ipv6'
        เป้าหมายตัวเลือก 'ยอมรับ'

กฎการกำหนดค่า
        ชื่อตัวเลือก 'อนุญาต-ICMPv6-อินพุต'
        ตัวเลือก src 'วาน'
        ตัวเลือกโปรโต 'icmp'
        รายการ icmp_type 'echo-request'
        รายการ icmp_type 'echo-reply'
        รายการ icmp_type 'ปลายทางไม่สามารถเข้าถึงได้'
        รายการ icmp_type 'แพ็คเก็ตใหญ่เกินไป'
        รายการ icmp_type 'เกินเวลา'
        รายการ icmp_type 'ส่วนหัวไม่ถูกต้อง'
        รายการ icmp_type 'unknown-header-type'
        รายการ icmp_type 'การชักชวนเราเตอร์'
        รายการ icmp_type 'การชักชวนเพื่อนบ้าน'
        รายการ icmp_type 'โฆษณาเราเตอร์'
        รายการ icmp_type 'โฆษณาเพื่อนบ้าน'
        ขีดจำกัดตัวเลือก '1,000/วินาที'
        ตระกูลตัวเลือก 'ipv6'
        เป้าหมายตัวเลือก 'ยอมรับ'

กฎการกำหนดค่า
        ชื่อตัวเลือก 'Allow-ICMPv6-Forward'
        ตัวเลือก src 'วาน'
        ปลายทางตัวเลือก '*'
        ตัวเลือกโปรโต 'icmp'
        รายการ icmp_type 'echo-request'
        รายการ icmp_type 'echo-reply'
        รายการ icmp_type 'ปลายทางไม่สามารถเข้าถึงได้'
        รายการ icmp_type 'แพ็คเก็ตใหญ่เกินไป'
        รายการ icmp_type 'เกินเวลา'
        รายการ icmp_type 'ส่วนหัวไม่ถูกต้อง'
        รายการ icmp_type 'unknown-header-type'
        ขีดจำกัดตัวเลือก '1,000/วินาที'
        ตระกูลตัวเลือก 'ipv6'
        เป้าหมายตัวเลือก 'ยอมรับ'

กฎการกำหนดค่า
        ชื่อตัวเลือก 'Allow-IPSec-ESP'
        ตัวเลือก src 'วาน'
        ตัวเลือกที่ยกเลิก 'lan'
        ตัวเลือกโปรโต 'esp'
        เป้าหมายตัวเลือก 'ยอมรับ'

กฎการกำหนดค่า
        ชื่อตัวเลือก 'Allow-ISAKMP'
        ตัวเลือก src 'วาน'
        ตัวเลือกที่ยกเลิก 'lan'
        ตัวเลือก dest_port '500'
        ตัวเลือกโปรโต 'udp'
        เป้าหมายตัวเลือก 'ยอมรับ'

รวมการกำหนดค่า
        เส้นทางตัวเลือก '/etc/firewall.user'

การส่งต่อการกำหนดค่า
        ตัวเลือกที่ยกเลิก 'lan'
        ตัวเลือก src 'วาน'

แก้ไข: การเพิ่มผลลัพธ์ของ ลิงค์ไอพี:

1: จริง: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN qlen 1000
    ลิงค์ / ย้อนกลับ 00:00:00:00:00:00 brd 00:00:00:00:00:00
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel สถานะ UNKNOWN qlen 1000
    ลิงค์/อีเธอร์ 70:4f:57:00:51:ae brd ff:ff:ff:ff:ff:ff
5: br-lan: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP qlen 1000
    ลิงค์/อีเธอร์ 70:4f:57:00:51:ae brd ff:ff:ff:ff:ff:ff
6: eth0.1@eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br-lan state UP qlen 1000
    ลิงค์/อีเธอร์ 70:4f:57:00:51:ae brd ff:ff:ff:ff:ff:ff
7: br-wan: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP qlen 1000
    ลิงค์/อีเธอร์ 70:4f:57:00:51:af brd ff:ff:ff:ff:ff:ff
8: eth0.2@eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br-wan สถานะ UP qlen 1000
    ลิงค์/อีเธอร์ 70:4f:57:00:51:af brd ff:ff:ff:ff:ff:ff
9: wlan0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br-lan state UP qlen 1000
    ลิงค์/อีเธอร์ 70:4f:57:00:51:ac brd ff:ff:ff:ff:ff:ff
10: wlan0-1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br-lan state UP qlen 1000
    ลิงค์/อีเธอร์ 72:4f:57:00:51:ac brd ff:ff:ff:ff:ff:ff

แก้ไข: การเพิ่มผลลัพธ์ของ brctl แสดง:

ชื่อบริดจ์ รหัสบริดจ์ อินเทอร์เฟซที่เปิดใช้งาน STP
br-lan 7fff.704f570051ae ไม่มี eth0.1
                                                        wlan0
                                                        wlan0-1
br-wan 7fff.704f570051af ไม่มี eth0.2