OpenWrt 防火墙优化

一、 基础安全加固（防御扫描与攻击）

默认情况下，OpenWrt 的防火墙（基于 nftables 或旧版本的 iptables）已经启用了较为严格的入站拦截（DROP），但仍可进一步收紧：

1. 关闭不必要的 WAN 口访问

   • LuCI 界面：登录路由，进入 网络 -> 防火墙 -> 常规设置。

   • 区域设置：确保 WAN 区域的入站数据（Input）设置为 拒绝 (Reject) 或 丢弃 (Drop)，转发（Forward）设置为 拒绝，出站（Output）设置为 接受。

2. 防范端口扫描与 SYN 泛洪

   • 在防火墙自定义规则（网络 -> 防火墙 -> 自定义规则）中，可以添加防范 SYN 攻击和端口扫描的规则（现代 OpenWrt 内核已默认开启部分抗 DoS 保护，如非必要可不加过长规则以免影响性能）。

3. 禁用 WAN 口 Ping（可选）

   • 如果不想让外网探测到你的路由器，可以禁止 WAN 口响应 ICMP（Ping）：

     • 在 网络 -> 防火墙 -> 区域 中，找到 WAN 区域的编辑页面，将 ICMP 限制（或高级设置中的 ICMP 流量）勾选限制或拒绝，或者在自定义规则中加入：

       Plaintext

       # 针对 nftables / iptables 可通过防火墙设置直接勾选“限制 ICMP”
       

     • 在 LuCI 的 网络 -> 防火墙 -> 常规设置 -> ICMP 过滤 中可以直接勾选。

二、 性能与网络加速优化

1. 启用硬件加速 / Flow Offloading（软件分流）

   • 原理：绕过 Linux 内核的部分网络栈处理，直接在网卡或网络驱动层转发数据包，极大降低 CPU 占用，提升吞吐量（特别是千兆/万兆宽带）。

   • 设置方法：

     • 进入 网络 -> 防火墙。

     • 在常规设置页面找到 流量分载 (Flow Offloading)。

     • 勾选 启用 SYN 代理、启用流量分载（部分版本有 Software flow offloading 和 Hardware flow offloading）。

     • 注意：如果开启了 QoS、AdGuard Home/OpenClash 等需要深度包检测（DPI）的插件，开启 Flow Offloading 可能会导致部分流量绕过插件，需根据实际情况取舍。

2. 启用 BBR 拥塞控制算法

   • 虽然属于内核层优化，但对防火墙背后的整体网络吞吐、高延迟环境下的丢包恢复有极大的提升。

   • 通过 SSH 连接路由器，修改 /etc/sysctl.conf：

     Plaintext

     net.core.default_qdisc=fq
     net.ipv4.tcp_congestion_control=bbr
     

     执行 sysctl -p 生效。

三、 访问控制与安全隔离（LAN / Guest / IoT）

通过防火墙规则，可以实现不同网段的安全隔离，防止物联网设备（智能家居）攻击主网络。

1. 隔离访客网络 (Guest Network)

   • 创建一个新的无线接口并桥接到新建的 guest 接口和防火墙区域。

   • 在防火墙规则中设置：

     • guest 区域可以访问 WAN（允许上网）。

     • guest 区域禁止访问 LAN 区域（拒绝访问主路由网段）。

   • LuCI 设置：网络 -> 防火墙 -> 区域转发，添加一条：guest -> wan (接受)，不要添加 guest -> lan 的规则。

2. 端口转发与 DMZ 安全防范

   • 尽量避免使用 DMZ 主机（将所有流量暴露给某台内网设备），存在极大安全隐患。

   • 采用精准的端口映射（Port Forwarding）：网络 -> 防火墙 -> 端口转发，仅开放需要的端口，并建议修改外网映射端口（例如将内网的 80 映射到外网的高位端口如 8888）。

四、 DNS 与广告过滤层面的防火墙配合

1. 防止 DNS 污染与劫持（强制重定向）

   • 运营商或某些恶意 Wi-Fi 经常劫持 53 端口的 DNS 请求。可以在防火墙中设置端口重定向，将内网所有发往外部的 DNS 请求强制重定向到路由器本地（如 AdGuard Home 或 mosdns 监听的端口）。

   • 设置方法：网络 -> 防火墙 -> 端口转发 -> 添加：

     • 外部源区域：lan

     • 协议：TCP/UDP

     • 外部端口：53

     • 内部 IP：路由器自身 IP (如 192.168.1.1)

     • 内部端口：53（或你的代理 DNS 端口）

五、 总结与排查建议

• 修改后测试：每次调整完防火墙规则后，建议使用 testspeed 或访问 ipw.cn 等网站测试上下行速率，确保 Flow Offloading 生效且没有多余的性能损耗。

• 日志监控：如果发现网络不稳定或某些服务无法访问，可以查看 系统 -> 系统日志 或通过 SSH 查看内核日志 (dmesg / logread)，检查防火墙是否有过多的 DROP 记录。