Openwrt硬路由创建访客wifi 作者: 毕世平 时间: 2026-09-28 分类: 默认分类 前言：很早之前用过`极路由`，它原厂系统是`HIWIFI OS`，也是基于`Openwrt`深度定制，稳定性不错。它原厂固件自带一个功能：`访客WIFI`。连接到`访客WIFI`的设备可以正常上网，但是网段跟`主WIFI`不一样，而且连接到`访客WIFI`的设备不能访问路由器的后台，就好像实现了AP隔离一样，个人对此一直比较好奇。 <!--more--> 本文主要介绍在刷了`Openwrt`系统的硬路由上创建一个访客`WIFI`，可以正常上网，但是无法访问路由器后台。 ## 1. 创建网桥设备 根据下面的图示，添加一个网络设备，设备类型选择`网桥设备`，设备名取为`br-guest`，网桥端口可以`留空`（可以在交换机里创建一个vlan3，在新版的openwrt系统当中，可以从br-lan抠一个出来），勾选`允许启动空网桥`，然后点击`保存`，`保存并应用`。   ## 2. 基于网桥设备创建访客网络 基于上一步创建的`br-guest`网桥设备，添加访客网络，取名`guest`，协议选择`静态地址`，设备选择`br-guest`   在接下来弹出的窗口里，设定静态IP地址，不要跟现有的`br-lan`地址一样，子网掩码选择`255.255.255.0`即可，具体如下图：  `高级设置`标签页不需要修改，来到`防火墙设置`标签页，手动创建一个`guest`防火墙区域。然后在`DHCP服务器`标签页里启用`DHCP`服务，ipv6可以设置全部关闭，这样连接到这个区域网络的设备（有线和无线）就不会被分配ipv6地址。然后点击`保存`，`保存并应用`。   ## 3. 给guest网络添加一个wifi 上面创建`br-guest`网桥设备的时候，未勾选物理网口，因此可以创建一个`wifi`设备，附加到此网络`guest`上面，可以根据下面图示操作：  点击右边的添加，2.4g或者5g都可以，如果你想让客人只是简单用个网络，那就选2.4g的（网速慢，但是覆盖广点），具体操作如下图：  网络选中上一步创建的`guest`网络，这样连接到这个名为`guest`的wifi网络的设备都在`192.168.66.0/24`网段，然后也不会被分配ipv6地址。无线安全标签页，加密选择`无加密`即可，这样创建的就是开放网络，也可以设置个简单密码，高级设置里面建议勾选`隔离客户端`。  ## 4. 配置guest防火墙区域策略 上面第2步创建访客网络的时候，选择了新创建`guest`防火墙区域。因此导航到`网络-防火墙`标签页，点击guest所在行的`编辑`，具体修改如下：   入站数据保持`拒绝`，出站数据保持`接受`，转发保持`拒绝`，涵盖的网络保持`guest`网络，允许转发到目标区域选中`wan wan6`，这一项是让从`guest`区域接入路由器的设备上网的前提。 ## 5. 配置通信规则 因为上面`guest`防火墙区域里，入站数据选了`拒绝`，所以接入`guest`网络的设备无法访问路由器后台，但是也无法从路由器获取IP地址（67/UDP）和获取DNS服务器（53/UDP），因此需要单独添加通信规则放行这两个端口流量，具体操作如下图：  > 通信规则名称：`Allow-Guest-DHCP` 协议：`UDP` 源区域：`guest` 目标区域：`设备（输入）` 目标端口：`67` 操作：`接受`  > 通信规则名称：`Allow-Guest-DNS` 协议：`UDP` 源区域：`guest` 目标区域：`设备（输入）` 目标端口：`53` 操作：`接受` 上面两条通信规则都点击`保存`以后，最后统一点击`保存并应用`。 ## 6. 结语 本文操作看似很繁琐，其实要是熟悉了，配置起来也很快。现在可以连接上开放的`guest`无线网络了，看能不能上网，或者能不能访问路由器后台了？ 标签: none