Дополнительный шлюз OpenWrt может принимать IPv4-трафик выбранного клиента и пересылать его существующему основному маршрутизатору через то же подключение LAN. Оставьте DHCP основному маршрутизатору, измените только одного тестового клиента и проверьте обратный путь, прежде чем доверять этой схеме сетевую политику.

Ключевые выводы

Объединение портов мостом не создаёт шлюз третьего уровня.

Сохраните единственный DHCP-сервер и свободный постоянный адрес управления.

Однорукая схема допускает асимметричные ответы и перенаправления ICMP.

Изменение шлюза IPv4 не перенаправляет IPv6 автоматически.

При отказе верните клиенту исходные шлюз и DNS.

Что может контролировать дополнительный шлюз OpenWrt?

Руководство предназначено для стабильной OpenWrt 25.12 с fw4/nftables, одного Ethernet-подключения к доверенной домашней LAN и одного разрешённого клиента. Оно основано на официальных документах и поведении протоколов; полное сквозное испытание на устройствах не проводилось. Измеренных результатов и обещаний надёжности принудительных политик здесь нет.［1］

Начните со списка путей и обязанностей владельца сети. Дополнительный шлюз полезен для изучения маршрутизации или осознанно спроектированной службы. Если требуется только изменить публичный выход устройства, сравните контроль частной сети и повседневный интернет-выход, прежде чем добавлять ещё один обслуживаемый маршрутизатор.

Однорукий маршрутизатор OpenWrt принимает и отправляет маршрутизируемые пакеты на одном устройстве LAN. Основной маршрутизатор может возвращать ответы непосредственно клиенту, минуя OpenWrt. Другие узлы LAN также общаются напрямую. Такая топология не препятствует клиенту выбрать исходный шлюз и сама по себе не является прозрачным прокси или VPN.

Шаг 1: запишите оба пути и зарезервируйте адрес управления

Ниже приведены примерные адреса; замените их для своей LAN. Перед назначением проверьте аренды, статические резервирования основного маршрутизатора и существующие устройства. Отсутствие ответа ping само по себе не подтверждает свободу адреса.

Роль	Пример	Обязанность
Основной маршрутизатор	`192.168.8.1/24`	Исходный шлюз интернета, DHCP и существующий DNS
OpenWrt	`192.168.8.2/24`	Постоянный адрес управления и тестовая пересылка
Тестовый клиент	`192.168.8.10/24`	Сначала использует `.1`, затем `.2` для IPv4
Компьютер управления	Прежняя отдельная аренда	Оставляет шлюз `.1` и обращается к `.2` напрямую

Планируемый исходящий путь: клиент → OpenWrt → основной маршрутизатор → WAN. При обычной пересылке IPv4 без трансляции источника обратный путь может быть основной маршрутизатор → клиент. Запишите оба направления; односторонние стрелки скрывают существенное ограничение.

Проверьте адреса, прошивку и управление по списку подготовки нового маршрутизатора. Создайте закрытую резервную копию OpenWrt. Настройки основного маршрутизатора только запишите, не меняйте. Подтвердите проводной локальный способ восстановления и сохраните исходные шлюз, DNS, режим адресации и состояние IPv6 клиента.

Та же схема работает и с машиной на Debian вместо OpenWrt; руководство по боковому шлюзу dae описывает такую реализацию, её DNS и восстановление.

Шаг 2: настройте OpenWrt в изоляции

Не подключайте LAN OpenWrt с заводскими настройками к рабочей LAN до проверки DHCP и адреса. Устройство может занять адрес основного маршрутизатора и объявлять собственный DHCP. Подключите напрямую только компьютер управления, сохраните закрытую копию и сначала назначьте свободный постоянный адрес.

В Network → Interfaces измените существующий LAN. Сохраните реальное назначение моста или устройства, выберите статический IPv4, укажите .2/24 и вышестоящий шлюз .1. Настройте разрешённый доступный резолвер для самого OpenWrt. Проверьте изменения и примените с защитой отката LuCI; при необходимости переведите компьютер в новую подсеть и подключитесь заново.［2］

Фрагмент показывает связь полей, а не файл для замены конфигурации. ACTUAL_LAN_DEVICE должен соответствовать уже настроенному устройству портов. Адрес DNS ниже предполагает, что основной маршрутизатор действительно предоставляет DNS на .1.

config interface 'lan'
        option device 'ACTUAL_LAN_DEVICE'
        option proto 'static'
        option ipaddr '192.168.8.2'
        option netmask '255.255.255.0'
        option gateway '192.168.8.1'
        list dns '192.168.8.1'

На дополнительном устройстве отключите сервер DHCPv4 LAN и установите службы LAN RA, DHCPv6 и NDP proxy в disabled. В LuCI проверьте ignore службы DHCP и отдельные настройки служб IPv6. Их владельцем остаётся основной маршрутизатор. Не отключайте его DHCP и не копируйте общий рецепт «dumb AP», не проверив изменяемые службы.［3］

Лишь после этого подключите один проверенный порт LAN к основной сети. Не подключайте второй неуправляемый кабель, не создавайте петлю и не включайте WAN в мост по угаданному имени порта. Состав моста DSA описывает связность второго уровня; адрес шлюза и маршруты принадлежат логическому интерфейсу.［4］

Шаг 3: проверьте пересылку до переключения клиента

Создайте новое подключение управления к .2. Убедитесь, что компьютер продолжает выходить в интернет через .1 и получает ожидаемый DHCP. При потере доступа используйте локальные проверки восстановления управления, а не открывайте администрирование на WAN.

Изучите таблицу IPv4 OpenWrt: нужны непосредственно подключённый маршрут LAN и маршрут по умолчанию через .1 на настоящем устройстве LAN. Маршрут не является разрешением межсетевого экрана. Проверьте действующую политику пересылки зоны LAN и разрешите только необходимую IPv4-пересылку тестового клиента, включая пересылку внутри зоны при необходимости. Если широкая существующая политика LAN уже разрешает её, запишите эту границу, не называя схему изолированной.［2］［5］

Сохраните input-разрешения доверенной сети управления. Для диагностики нельзя менять все input или forward на ACCEPT. Если правила принадлежат другому менеджеру межсетевого экрана, остановитесь и поручите узкое разрешение его владельцу. Этот пример не устанавливает прокси, туннель или службу анализа содержимого.

Только на тестовом клиенте сохраните зарезервированный адрес и подсеть, изменив шлюз IPv4 на .2. Первоначально оставьте прежний DNS, чтобы не менять маршрутизацию и разрешение одновременно. Если для переопределения шлюза нужна ручная адресация, запишите все прежние параметры и убедитесь, что адрес зарезервирован и не конфликтует с арендами. Не меняйте глобальную опцию шлюза DHCP и не обновляйте аренды всего дома.

Как работают DNS дополнительного маршрутизатора и обратный трафик?

DNS требует отдельного решения. С резолвером .1 клиент обращается к нему напрямую в той же подсети, без шлюза .2. С резолвером .2 на OpenWrt должна реально работать доступная служба DNS, а её вышестоящие запросы следуют собственной маршрутизации OpenWrt. Ни один вариант не доказывает прохождение обычного приложения через дополнительный шлюз.［3］

Метод проверки	Ожидаемое наблюдение	Действие при отказе
Проверить адрес, шлюз и сервер DHCP клиента	Прежний идентификатор, шлюз `.2`, DHCP основного маршрутизатора	Вернуть настройки клиента и проверить второй сервер
Изучить маршруты OpenWrt и создать новый запрос клиента	Исходящий поток входит в OpenWrt и направляется к `.1`	Проверить разрешения пересылки и доступность следующего узла
Изучить заголовки или счётчики одного ограниченного разрешённого потока	Известен обратный путь, включая прямые ответы	Не заявлять двустороннюю проверку при обходе OpenWrt
Запросить новое имя через выбранный DNS	Запрос и вышестоящий путь соответствуют схеме	Вернуть DNS и проверить наличие службы
Проверить маршруты клиента после нескольких новых запросов	Неожиданное перенаправление не меняет следующий узел	Изучить ICMP redirects и прекратить заявления о принуждении
Повторить проверку по IPv6	IPv6 соответствует отдельно определённой схеме	Учитывать прямой IPv6 основного маршрутизатора отдельно

Linux может отправлять ICMP redirects, если лучший следующий узел находится в той же сети. Тогда клиент способен использовать .1 напрямую, хотя сохранённый шлюз показывает .2. Проверяйте действующий маршрут и следующий узел, а не только поле настройки. Документация ядра описывает send_redirects и accept_redirects. Любое изменение ограничивайте настоящим устройством и сохраняйте прежнее значение; не меняйте глобально посторонние интерфейсы.［6］

Не включайте широкий masquerading для LAN ради сокрытия асимметричных ответов. Если обязательная политика требует симметричного потока, остановитесь и спроектируйте с владельцем отдельную маршрутизируемую подсеть/VLAN либо проверенную узкую трансляцию источника. Один мост такой гарантии не даёт.

Шаг 4: проверьте IPv6, отключение питания и восстановление

Объявления IPv6 основного маршрутизатора могут продолжать давать клиенту прямой маршрут IPv6 по умолчанию. Замена только шлюза IPv4 его не перемещает. При создании настоящей нижестоящей сети IPv6 используйте процедуру делегирования префикса и межсетевого экрана. Не включайте второй RA-сервер на общей LAN как обходное решение.

На клиенте проверьте публичный выход для поддерживаемых семейств адресов. В исходной схеме пересылки IPv4-выход обычно остаётся WAN основного маршрутизатора. Это ожидаемо, но не доказывает пересылку исходящего запроса OpenWrt; сопоставьте адрес с маршрутами и данными пересылки.

Когда исходная схема работает, в согласованное окно отключите питание только разрешённого дополнительного устройства. Новые запросы IPv4 через .2 должны перестать работать, а компьютер управления через .1 — сохранить исходный путь. DNS также может отказать, если перенесён на .2; IPv6 способен продолжить работу напрямую. Это различия для измерения, не гарантии автоматического резервирования.

Восстановите исходные шлюз и DNS тестового клиента, обычно .1, либо прежний режим DHCP. Создайте новые запросы и проверьте разрешение имён, оба семейства и управление. После возвращения питания .2 повторите проверки маршрутов, DNS и DHCP перед дальнейшим использованием.

Для завершения сначала восстановите клиента, затем отключите дополнительное устройство от рабочей LAN и верните его прежнюю конфигурацию локально. Старые службы DHCP/RA восстанавливайте только после изоляции: конкурирующий сервер не должен возвращаться в рабочую сеть. Отмените только изменения межсетевого экрана или sysctl этой процедуры, сравните сохранённые значения. Сохраните посторонние настройки и подтвердите работу основного маршрутизатора и незатронутого клиента.

Итоги

Выделите уникальный адрес управления; подключайтесь после отключения конкурирующих служб.
Меняйте шлюз IPv4 одного клиента, оставив отдельный компьютер на исходном пути.
Проверяйте DNS, асимметрию, перенаправления и IPv6 независимо.
Восстановите клиента до отключения или перенастройки дополнительного шлюза.

Часто задаваемые вопросы (FAQ)

Дополнительный шлюз равен точке доступа?

Нет. Точка доступа передаёт кадры мостом, шлюз принимает маршрутизируемые пакеты, выбирает следующий узел и требует разрешения пересылки. Роли могут совмещаться, но проверяются отдельно.

Должны оба маршрутизатора предоставлять DHCP?

В общей подсети сохраните единственным сервером основной маршрутизатор. Даже непересекающиеся пулы второго сервера могут распространять конфликтующие шлюзы и резолверы.

Почему публичный IP не изменился?

Пример пересылает дальше через существующий маршрутизатор без нового интернет-выхода. Обычно виден его WAN-адрес; наличие дополнительной пересылки доказывайте внутренним маршрутом.

Каждый ответ пройдёт через OpenWrt?

Не обязательно. Основной маршрутизатор может отправить ответ клиенту той же подсети напрямую. Для симметричного трафика нужна обеспечивающая его топология или проверенная трансляция.

Может клиент обойти дополнительный шлюз?

Да. Прямая связь в подсети, принятые перенаправления, ручной выбор основного шлюза и прямой IPv6 создают другие пути. Не считайте топологию обязательной защитной границей.

Нужно указать дополнительный адрес как DNS?

Только если там действительно работает разрешённая служба и вы намерены её использовать. При первой проверке маршрута оставьте прежний DNS, затем меняйте и проверяйте его отдельно.

Что менять после отключения питания дополнительного маршрутизатора?

Верните только исходные шлюз и DNS тестового клиента либо его режим DHCP. Не сбрасывайте основной маршрутизатор: он по-прежнему обслуживает исходное подключение и адреса всего дома.

Источники:

OpenWrt — 25.12.0 release notes — https://openwrt.org/releases/25.12/notes-25.12.0
OpenWrt — Static routes — https://openwrt.org/docs/guide-user/network/routing/routes_configuration
OpenWrt — DHCP and DNS configuration — https://openwrt.org/docs/guide-user/base-system/dhcp ; odhcpd configuration reference — https://git.openwrt.org/project/odhcpd/plain/README.md
OpenWrt — Bridging all LAN ports — https://openwrt.org/docs/guide-user/network/dsa/dsa-common-config-1-bridging-all-lan-ports
OpenWrt — Firewall configuration — https://openwrt.org/docs/guide-user/firewall/firewall_configuration
Linux kernel — IP sysctl — https://www.kernel.org/doc/html/latest/networking/ip-sysctl.html

Sources checked 11 октября 2026 г.

Рекомендуемые статьи:

Дополнительный шлюз OpenWrt без потери доступа