ฉันจะสวมหน้ากากระหว่างสะพาน vlan.js ได้อย่างไร

ฉันได้สร้างสะพาน VLAN สองตัวในระบบที่ใช้ openwrt ซึ่งมีอินเทอร์เฟซทางกายภาพเดียว

*) eth0->lan->br-ลาน
*) br-lan->br-lan.2(VLAN INTF)->br-vlan2(BRIDGE INTF)
*) br-lan->br-lan.20(VLAN INTF)->br-vlan20(BRIDGE INTF)

ฉันใช้เซิร์ฟเวอร์ DHCP โดยเครื่องอูบุนตู

ฉันกำลังพยายามกำหนดเส้นทางระหว่าง vlan เพื่อเปิดการสื่อสารระหว่าง vlan แต่ฉันไม่สามารถประสบความสำเร็จ

สิ่งที่ฉันทำคือ

 iptables -t nat -I โพสต์ -o br-vlan2 -j MASQUERADE

 iptables -A FORWARD -i br-vlan2 -o br-vlan20 -mstate --state ที่เกี่ยวข้อง ก่อตั้งขึ้น -j ยอมรับ

 iptables -A ไปข้างหน้า -i br-vlan20 -o br-vlan2 -j
 ยอมรับ

 เสียงสะท้อน 1 > /proc/sys/net/ipv4/ip_forward

และฉันได้ลองอัปเดต /etc/config/firewall ด้วยกฎการส่งต่อ

โซนการกำหนดค่า
        ชื่อตัวเลือก 'vlan2'
        รายการเครือข่าย 'br-lan.2'
        ป้อนตัวเลือก 'ยอมรับ'
        เอาต์พุตตัวเลือก 'ยอมรับ'
        ตัวเลือกไปข้างหน้า 'ยอมรับ'

โซนการกำหนดค่า
        ชื่อตัวเลือก 'vlan20'
        รายการเครือข่าย 'br-lan.20'
        ป้อนตัวเลือก 'ยอมรับ'
        เอาต์พุตตัวเลือก 'ยอมรับ'
        ตัวเลือกไปข้างหน้า 'ยอมรับ'

การส่งต่อการกำหนดค่า
        ตัวเลือก src 'br-lan.2'
        ตัวเลือกที่ยกเลิก 'br-lan.20'

การส่งต่อการกำหนดค่า
        ตัวเลือก src 'br-lan.20'
        ตัวเลือกที่ยกเลิก 'br-lan.2'

เกิดอะไรขึ้นที่นี่? และเป็นผู้เริ่มต้นสำหรับแนวคิดเกี่ยวกับเราเตอร์

แก้ไข:

นี่คือลักษณะของการตั้งค่าของฉัน

             ไอพี: 192.168.2.10 192.168.20.10
             GW: 192.168.2.1 192.168.20.1
                   |ลูกค้า 1| |ลูกค้า 2|
                         ^ ^
                     ____|______________|________
                    | br-vlan2 | br-vlan20 |    
 _____________ |192.168.2.2 | 192.168.20.2 |   
| | |_____________|______________|
| 192.168.1.1 | | |br-lan IP: 192.168.1.2|
| เราเตอร์ |---->|eth0| GW: 192.168.1.1 |
|_____________| |____|_______________________|          
                    | เครื่อง x86 เป็น AP |
                    |____________________________|

เราเตอร์ OpenWRT ทั่วไปมักจะมีอินเทอร์เฟซอีเธอร์เน็ตเดียวใน CPU ซึ่งเชื่อมต่อภายในกับชิป "สวิตช์อัจฉริยะ" พอร์ตอื่นๆ ของสวิตช์มีให้ใช้งานภายนอกเป็นแจ็ค พอร์ตหนึ่งมักจะระบุว่าเป็น "WAN" และพอร์ตอื่นๆ คือ "LAN" สวิตช์ได้รับการกำหนดค่าด้วยวิธีต่อไปนี้: ลิงก์ CPU-switch คือ trunk (VLAN ทั้งหมดถูกแท็ก) หนึ่งพอร์ต ("WAN") ทำให้ VLAN หนึ่งไม่ติดแท็ก และพอร์ตที่เหลือ ("LAN") ทำให้ VLAN อื่นไม่ติดแท็ก นี่คือการตั้งค่า "เราเตอร์บนแท่ง" มาตรฐานโดยพื้นฐานแล้ว โดยที่สวิตช์ทำงานเป็นตัวขยายพอร์ตอย่างง่ายสำหรับเราเตอร์ที่มีจำนวนพอร์ตต่ำ

ส่วนที่เหลือดูเหมือนกับกรณีของคุณทุกประการ คอมพิวเตอร์ Linux ซึ่งมีอินเทอร์เฟซอีเทอร์เน็ตเดียว เพื่อเสริมการตั้งค่าสวิตช์ สวิตช์จะถูกแบ่งออกเป็นอินเทอร์เฟซย่อย VLAN จากนั้น อินเทอร์เฟซย่อยเหล่านั้นจะได้รับการกำหนดค่าตามฟังก์ชัน: LAN ถูกใส่เข้าไปในบริดจ์ที่มีอินเตอร์เฟส WLAN ในขณะที่ WAN ถูกกำหนดค่าโดยไม่มีบริดจ์

การตั้งค่านี้มีลักษณะดังต่อไปนี้ (eth0 เป็นอินเทอร์เฟซเดียวของเราเตอร์):

• eth0 มีอินเทอร์เฟซย่อย VLAN สองตัวคือ .1 และ .2
• eth0.1 และ wlan0 และ wlan1 รวมกันเป็น br-lan ซึ่งมีการกำหนดที่อยู่ IP และใส่ลงในโซน LAN
• eth0.2 มีการกำหนดที่อยู่ด้วย

ในกรณีที่คุณต้องการบริดจ์จริง ๆ นี่คือวิธี:

กำหนดค่าอินเทอร์เฟซ 'vlan20'
        ตัวเลือก ifname 'eth0.20'
        ตัวเลือกประเภท 'สะพาน'
        ตัวเลือกโปรโต 'คงที่'
        ตัวเลือกเน็ตมาสก์ '255.255.255.0'
        ตัวเลือก ipaddr '192.168.20.1'

กำหนดค่าอินเทอร์เฟซ 'vlan2'
        ตัวเลือก ifname 'eth0.2'
        ตัวเลือกประเภท 'สะพาน'
        ตัวเลือกโปรโต 'คงที่'
        ตัวเลือกเน็ตมาสก์ '255.255.255.0'
        ตัวเลือก ipaddr '192.168.2.1'

สิ่งนี้จะถูกแปลเป็น: อินเทอร์เฟซย่อย VLAN สองรายการจะถูกสร้างขึ้นจาก eth0และสร้างสะพานสองแห่ง br-vlan20 และ br-vlan2. แต่ละอินเทอร์เฟซย่อยของ VLAN จะเข้าร่วมในบริดจ์ของตัวเอง จากนั้นบริดจ์จะมีการกำหนด IP

หากคุณไม่ต้องการบริดจ์ (เช่น คุณไม่ได้วางแผนที่จะเพิ่มอินเทอร์เฟซอื่น) ให้ลบออก ตัวเลือกประเภท 'สะพาน' บรรทัดจากคำจำกัดความ

ระวังอุปกรณ์ที่อยู่อีกด้านของ eth0 ลิงค์ในกรณีนี้ต้องเตรียมรับมือกับแท็กเฟรม!

การตั้งค่าไฟร์วอลล์สำหรับกรณีนี้อาจมีลักษณะดังนี้:

โซนการกำหนดค่า
        ชื่อตัวเลือก 'zone20'
        ป้อนตัวเลือก 'ยอมรับ'
        เอาต์พุตตัวเลือก 'ยอมรับ'
        ตัวเลือกไปข้างหน้า 'ยอมรับ'
        เครือข่ายตัวเลือก 'vlan20'

โซนการกำหนดค่า
        ชื่อตัวเลือก 'zone2'
        ป้อนตัวเลือก 'ยอมรับ'
        เอาต์พุตตัวเลือก 'ยอมรับ'
        ตัวเลือกไปข้างหน้า 'ยอมรับ'
        ตัวเลือกมาสก์ '1'
        เครือข่ายตัวเลือก 'vlan2'

การส่งต่อการกำหนดค่า
        ตัวเลือก src 'zone20'
        ตัวเลือกทำลาย 'zone2'

การส่งต่อการกำหนดค่า
        ตัวเลือก src 'โซน 2'
        ตัวเลือกที่ยกเลิก 'zone20'

สังเกตว่า โซน's เครือข่าย ตัวเลือกในไฟร์วอลล์สอดคล้องกับ อินเตอร์เฟซชื่อใน เครือข่าย ไฟล์การกำหนดค่า ชื่ออินเตอร์เฟส Linux ปรากฏเพียงครั้งเดียวใน เครือข่าย ไฟล์คอนฟิกูเรชันและไม่มีที่อื่น การส่งต่อ's src และ วันที่ ตัวเลือกอย่างไรก็ตามสอดคล้องกับ โซน's ชื่อ ตัวเลือก.