用uci配置openwrt防火墙

**用uci配置openwrt防火墙**

不知道为何缘由，起心升级了路由器的固件。还不错找到了lean大神定制的openwrt固件，让我的洋垃圾wndr3800闪耀星光。真不敢相信这个路由器还有这么好的性能：在uboot中超频到800m，目前稳定， 带机10来台设备，运行代理客户端，cpu负载10%不到，路由管理界面漂亮且流畅，甚是满意。

本来解决了我透明代理的痛点，但是发现我原来可以通过配置多个wan口ip来访问其他网段局域网机器的功能不能用了。这个关系到我远程到机房项目机器干活的问题，本来以为是个小问题，但是折腾了2天。真是既让人沮丧也让人看清自己个人的能力范畴。好在通过对比过往防火墙配置文件找到可疑配置，修改解决了。以下一方面是解决过程，一方面是推荐使用uci的配置工具，openwrt都是文本配置文件，手改容易出错导致直接起不来，又要花大量时间刷机，这个系统工具改回可靠些。

有人可能问为啥不用luci界面，原因是luci界面的防火墙配置尝试了所有页面显示的配置，都无效。配置文件里的选项并没有全部做到luci页面上，比如这里要修改的防火墙中的default节firewall.@defaults\[0\].fullcone，luci页面是没看到。这个option似乎是后面新加或者是lean版本的加强配置。没找到完整说明，但是根据关键词猜测可能跟nat模式有关。不过暂时不关心了，因为试了下就解决关心的问题了，工作不允许再花时间了。

<table><tbody><tr><td class="line-numbers"><div>1234567891011121314151617181920212223</div></td><td><div class="text codecolorer">root@OpenWrt:~# uci show firewall firewall.@defaults[0]=defaults firewall.@defaults[0].syn_flood='1' firewall.@defaults[0].input='ACCEPT' firewall.@defaults[0].output='ACCEPT' firewall.@defaults[0].forward='REJECT' firewall.@defaults[0].fullcone='1' firewall.@defaults[0].flow_offloading='1' firewall.@defaults[0].flow_offloading_hw='0' firewall.@zone[0]=zone firewall.@zone[0].name='lan' firewall.@zone[0].input='ACCEPT' firewall.@zone[0].output='ACCEPT' firewall.@zone[0].forward='ACCEPT' firewall.@zone[0].network='lan' firewall.@zone[1]=zone firewall.@zone[1].name='wan' firewall.@zone[1].output='ACCEPT' firewall.@zone[1].masq='1' firewall.@zone[1].mtu_fix='1' firewall.@zone[1].input='REJECT' firewall.@zone[1].forward='REJECT'<p>firewall.@zone[1].network='wan wan6'</p></div></td></tr></tbody></table>

copy要修改行，修改值。

<table><tbody><tr><td class="line-numbers"></td><td><div class="text codecolorer">root@OpenWrt:~# uci set firewall.@defaults[0].fullcone='0'<br>root@OpenWrt:~# uci commit firewall</div></td></tr></tbody></table>

可以再uci show firewall看下是否设置成功了。

执行

可以发现ping通其它内网网段ip了。