求助，怎么设置把lan3只允许访问互联网？

波特随风飘

我之前搜到可以用vlan来搞，但是不清楚具体应该怎么操作。

请不要胡乱输入以及粘贴、复制等方式灌水

请尊重作者、并共同维护网站的正常阅读，否则账户将会被限制发帖、回帖，并且积分可能会被清零，站内短信以及阅读权限等都会受到影响，谢谢。 具体限制方式：https://www.right.com.cn/forum/thread-8307840-1-1.html

wangjianxin

感觉你绕路了吧，你两个路由都拨号吗？

波特随风飘

wangjianxin 发表于 2023-6-3 12:39
感觉你绕路了吧，你两个路由都拨号吗？

不，就主路由拨号。
绕路是因为布线限制之类。我也没办法。

阿泥基

只允许访问互联网，是指不让它访问局域网的其他机器吧
需要VLAN隔离，然后新建一个LAN2的防火墙区域，允许转发至WAN但不允许LAN

1.先把VLANID1中的LAN3改为“关”，再添加一个VLANID3；VLANID1和VLANID3的"CPU (eth0)"都设置成"tagged"，LAN3设置为"untagged"，其余为“关”
2.防火墙中新建一个名为LAN2的区域，入站/出站/转发均为接受，允许转发至WAN（不要选择LAN）
3.新建一个LAN2的网络接口，协议为静态地址，IP段与LAN不重复，设备为eth0.3，防火墙区域选择LAN2，并开启DHCP服务器

旧版的swconfig已经好久没用，不保证操作方法正确
配置错误可能会导致有线连接丢失（仍可用WiFi访问），请慎重

波特随风飘

阿泥基 发表于 2023-6-3 14:53
只允许访问互联网的意思，是指不让它访问局域网的其他机器吧
需要VLAN隔离，然后新建防火墙区域并禁止转发 ...

对，我就是不希望lan3口可以访问局域网的其他机器。
谢谢告知具体方法，我马上试试。

阿泥基

阿泥基 发表于 2023-6-3 14:53
只允许访问互联网，是指不让它访问局域网的其他机器吧
需要VLAN隔离，然后新建一个LAN2的防火墙区域，允许 ...

VLANID1和VLANID3的CPU (eth0) 应该都要设置成 tagged

波特随风飘

阿泥基 发表于 2023-6-3 15:03
VLANID1和VLANID3的CPU (eth0) 应该都要设置成 tagged

按你说的试完了，不知道为什么速度慢的离谱，打开网页都卡。具体设置如下图，是不是我有什么设置错了？

阿泥基

波特随风飘 发表于 2023-6-3 15:44
按你说的试完了，不知道为什么速度慢的离谱，打开网页都卡。具体设置如下图，是不是我有什么设置错了？

...

设置看上去没问题，看看系统进程和负载高不高？

波特随风飘

阿泥基 发表于 2023-6-3 15:54
设置看上去没问题，看看系统进程和负载高不高？

不高，刚刚还发现主路由的无线也变得慢到打开网页都卡了。

阿泥基

波特随风飘 发表于 2023-6-3 15:59
不高，刚刚还发现主路由的无线也变得慢到打开网页都卡了。

可能是因为你使用的固件在交换机和硬件NAT上做了特别的匹配
因为一般环境下会考虑多WAN，而不考虑多LAN，所以可以尝试让LAN3走CPU(eth1)
在你现在的设置基础上
VLANID1的eth0改回"untagged"
VLANID2的eth1改为"tagged"
VLANID3的eth1改为"tagged"，eth0改回“关”，LAN3仍然是"untagged"
最后把你LAN3接口的物理设置改为eth1.3

原本是eth0处理LAN和LAN3，而eth1处理WAN
现在是eth0处理LAN，而eth1处理WAN和LAN3
eth1可能更适合处理多个VLAN

波特随风飘

阿泥基 发表于 2023-6-3 16:24
可能是因为你使用的固件在交换机和硬件NAT上做了特别的匹配
因为一般环境下会考虑多WAN，而不考虑多LAN， ...

还是不行……速度一样慢的离谱

阿泥基

波特随风飘 发表于 2023-6-3 17:07
还是不行……速度一样慢的离谱

那就要继续排查了
上面修改了3个地方
1.交换机
2.网络接口
3.防火墙
可以尝试把单个项目复原，来特定是哪个设置导致问题的

wulishui

看到7530，说明这不是openwrt官方的phy驱动，是mtk闭源驱动。我经过测试发现mtk闭源phy驱动vlan有问题，高丢包甚至直接断网，乖乖的使用DSA驱动。
你直接使用它原设置eth0、eth1什么问题都没有，你要使用eth1.1、eth1.2之类就出问题，连多wan都使用不了。

波特随风飘

阿泥基 发表于 2023-6-3 17:26
那就要继续排查了
上面修改了3个地方
1.交换机

我感觉是13楼说的那样，总之谢谢了，至少我现在知道怎么用openwrt的vlan了

波特随风飘

wulishui 发表于 2023-6-3 17:31
看到7530，说明这不是openwrt官方的phy驱动，是mtk闭源驱动。我经过测试发现mtk闭源phy驱动vlan有问题，高 ...

谢谢回答，我感觉你是对的，但是我没能力去修改这部分，暂时就这样吧。