2.4防火墙 firewall4

1.3 你亲手写过 nftables:五链、conntrack 状态、masquerade、DNAT。但没人会在路由器上一条条手写这些——OpenWRT 用 firewall4 提供一个更高层的抽象:zone(区域)。你把接口划进 lan / wan 等区域,设几条区域间的规则,fw4 就替你编译成 1.3 那种 nftables。这章讲清这个 zone 模型,以及它最终怎么变回你熟悉的 nftables——学完你既会用 OpenWRT 的方式配防火墙,也知道它背后生成了什么。

1zone 模型:防火墙的核心抽象

1.3 你按接口 / 链一条条写规则,能用但繁琐——一台路由器有多个接口(LAN 几个口、WAN、guest、VPN…),逐个写易错。zone 把接口按信任级别分组:

每个 zone 有默认策略(对应 1.3 的 policy),分三个方向:input(到路由器本身、来自该区域的流量,1.3 的 INPUT 链)、output(路由器发往该区域,OUTPUT 链)、forward(该区域接口之间转发,FORWARD 链)。关键的思路转变:你不再想"这条规则挂哪个链",而是想"哪个区域默认怎样、哪些区域之间允许转发、有哪些例外",fw4 替你落到 1.3 的链和规则。

2三要素:zone / forwarding / rule

/etc/config/firewall 主要由三种段构成。zone 段(定义区域 + 三方向默认策略 + 绑定接口):

config zone
    option name 'lan'
    list network 'lan'
    option input 'ACCEPT'
    option output 'ACCEPT'
    option forward 'ACCEPT'

config zone
    option name 'wan'
    list network 'wan' 'wan6'
    option input 'REJECT'      # 外网不能主动连路由器本身
    option output 'ACCEPT'
    option forward 'REJECT'    # 外网不能主动转发进内网
    option masq '1'            # 出 wan 做 masquerade（SNAT，见 §3）

wan 的 input / forward 是 REJECT——这就是"外网主动连不进来"的默认防线(落 1.3 有状态防火墙 + IPv6 章那句"真正挡外部的是这条,不是 NAT")。forwarding 段(允许一个区域转发到另一个):

config forwarding
    option src 'lan'
    option dest 'wan'          # 允许 LAN → WAN（内网能出外网）

只有这条、没有反向 wan→lan,所以内网能出、外网进不来。它对应 1.3 FORWARD 链里"允许 lan 到 wan"+ conntrack 放行回包。rule 段(基线之上的具体例外):

config rule
    option name 'Allow-SSH-WAN'
    option src 'wan'
    option proto 'tcp'
    option dest_port '22'
    option target 'ACCEPT'     # 破例：允许从 WAN 连本机 22（谨慎！）

这类似 1.3 里你手动加的 tcp dport 22 … accept。OpenWRT 默认已内置一批 rule(放行 DHCP、DNS、ICMP/ping、IPv6 的 RA 等)。

3NAT:masquerade 与端口转发

masquerade(SNAT,0.6):不用单独写规则,给 wan 区域加 option masq '1' 即可(§2 已见)。fw4 就在 nftables 的 postrouting 链上,为出 wan 的流量生成一条 masquerade——正是 1.3 你手写的 oifname "wan" masquerade。家用路由器的 NAT,在 OpenWRT 里就是"wan 区域打开 masq"。端口转发(DNAT,0.6)用 redirect 段:

config redirect
    option name 'Game-Server'
    option src 'wan'
    option src_dport '25565'       # 公网端口
    option dest 'lan'
    option dest_ip '192.168.1.50'  # 内网目标（配 2.3 的静态租约！）
    option dest_port '25565'
    option proto 'tcp'
    option target 'DNAT'

这就是 0.6 / 1.3 的端口转发:到 wan 口 25565 的 tcp,目的地址改写成 192.168.1.50:25565。fw4 把它编译成 nftables prerouting 链的 dnat 规则(1.3)。dest_ip 要指向稳定的内网 IP——所以先在 2.3 给它配静态租约。

4fw4 怎么编译成 nftables

fw4 不是常驻防火墙,而是个编译器:读 /etc/config/firewall 的 zone/forwarding/rule/redirect,生成一整套 1.3 那样的 nftables 规则装进内核。对照 2.2 的"配置→执行→内核":

• 读 firewall 配置(本章)+ 从 netifd 知道每个区域含哪些接口;
• 按模板生成 nftables:每个 zone 生成对应 input/forward 链和默认策略、每条 forwarding 生成转发放行、每条 rule/redirect 生成具体规则,并自动加上 conntrack 有状态放行(1.3 的 established,related accept)、masquerade 等;
• 用 nftables 原子加载整套规则进内核(1.3 的 nft)。

想看它生成了什么:

fw4 print          # 打印 fw4 将生成的完整 nftables（不实际加载）
nft list ruleset   # 看内核里实际生效的规则（1.3 那个命令）