# SPEC — DD-WRT R7000 + Proxmox BIG (Rede LAN/WAN)

**Data:** 2026-07-08  
**Responsável:** Roger / iTecnologys  
**Dispositivo:** Netgear R7000 — DD-WRT v3.0-r44715

---

## 1. Topologia correta

```
Internet
    │
[AT&T Gateway] 192.168.1.254
    │  DHCP + Firewall + Gateway principal
    │
    ├── [BIG Proxmox] 192.168.1.137  (cabos eno3/eno4 → portas LAN)
    │
    └── [R7000 DD-WRT] 192.168.1.1   (modo AP — só Wi-Fi + switch)
            │
        Dispositivos Wi-Fi
```

**Regra de ouro:** O DD-WRT **não é firewall principal** — o gateway AT&T (`.254`) é a fronteira. O DD-WRT é **AP + switch**.

---

## 2. Modo de operação: AP (Access Point)

| Papel | Dispositivo |
|-------|-------------|
| Gateway + DHCP + DNS | AT&T `.254` |
| Proxmox host | BIG `.137` |
| Wi-Fi + switch LAN | R7000 `.1.1` |

---

## 3. Configuração DD-WRT — Setup → Basic Setup

| Campo | Valor | Por quê |
|-------|-------|---------|
| **WAN Connection Type** | `Disabled` | R7000 não roteia internet |
| **Local IP (LAN)** | `192.168.1.1` | IP de gestão do DD-WRT |
| **Subnet Mask** | `255.255.255.0` | Mesma rede |
| **Gateway** | `192.168.1.254` | Encaminhar para AT&T |
| **Local DNS** | `192.168.1.254` | DNS do gateway |
| **DHCP Server** | **Disable** | Evitar conflito com `.254` |
| **STP** | Disable | Evitar loops |

---

## 4. Configuração DD-WRT — Security → Firewall

| Campo | Valor | Por quê |
|-------|-------|---------|
| **SPI Firewall** | Enable | Proteção básica |
| **Block WAN Requests** | Enable | Bloquear scans externos |
| **Filter WAN NAT Redirection** | Enable | Segurança |
| **AP Isolation** | **Disable** | Proxmox precisa falar com LAN |

---

## 5. Configuração DD-WRT — Wireless → Advanced

| Campo | Valor |
|-------|-------|
| **AP Isolation** | **Disable** |
| **Set AP on different subnet** | **Disable** |
| **Multicast forwarding** | Enable (se houver VMs) |

---

## 6. Configuração DD-WRT — Services

| Serviço | Porta | WAN Access | Notas |
|---------|-------|------------|-------|
| **Lighttpd HTTP** | `8085` | **Disable** | Só LAN |
| **Lighttpd HTTPS** | `443` | **Disable** | Só LAN |
| **SSH (dropbear)** | `2222` | **Disable** | Só LAN |
| **Telnet** | `23` | **Disable** | Backup, desativar depois |
| **DNSMasq** | `53` | — | **Disable** se DHCP off |

---

## 7. Configuração DD-WRT — Administration → Management

| Campo | Valor |
|-------|-------|
| **Web GUI Management (WAN)** | **Disable** |
| **SSH Management (WAN)** | **Disable** |
| **Remote Access** | **Tudo Disable** |
| **Boot Wait** | **Enable** (recovery) |

---

## 8. Portas físicas R7000 — cabeamento

| Porta R7000 | Uso | Conectar |
|-------------|-----|----------|
| **WAN (amarela)** | Desativada | **Nada** ou uplink ao `.254` (opcional) |
| **LAN 1–4 (pretas)** | Bridge LAN | **BIG eno3 + eno4**, switch, PCs |

**NUNCA** ligar Proxmox só na porta WAN — `eth0` não está no `br0`.

---

## 9. Configuração Proxmox BIG (host)

| Campo | Valor |
|-------|-------|
| **IP** | `192.168.1.137` (estático) |
| **Gateway** | `192.168.1.254` |
| **DNS** | `192.168.1.254` |
| **Interfaces** | `eno3` + `eno4` (bond ou ativas) |
| **Proxmox Web** | `https://192.168.1.137:8006` |
| **SSH** | `root@192.168.1.137` |
| **Tailscale** | `100.90.196.58` (quando internet voltar) |

---

## 10. O que estava errado (causa do problema)

| Erro | Efeito |
|------|--------|
| **DHCP ativo no DD-WRT** | BIG recebeu gateway `.1.1` em vez de `.254` |
| **lan_gateway=0.0.0.0** | DD-WRT sem rota para internet |
| **wk_mode=gateway** com WAN disabled | Modo inconsistente |
| **Cabo na porta WAN** | Proxmox isolado da LAN (`eth0` ∉ `br0`) |
| **Lighttpd WAN Access Enable** | Exposição desnecessária |

---

## 11. NVRAM (aplicar via SSH)

```bash
ssh -p 2222 root@192.168.1.1

nvram set wan_proto=disabled
nvram set lan_gateway=192.168.1.254
nvram set wan_gateway=192.168.1.254
nvram set wan_dns=192.168.1.254
nvram set dnsmasq_enable=0
nvram set wk_mode=lan
nvram set wl_ap_isolate=0
nvram set remote_mgt_ssh=0
nvram commit
reboot
```

---

## 12. Validação pós-configuração

```bash
# No DD-WRT:
ping -c 3 192.168.1.254    # gateway OK
ping -c 3 192.168.1.137    # BIG OK
arp -a | grep 137          # MAC do BIG visível

# No laptop:
ping 192.168.1.137
curl -k https://192.168.1.137:8006
ssh root@192.168.1.137
```

---

## 13. Segurança — camadas

```
Camada 1: AT&T Gateway (.254)     → firewall ISP
Camada 2: pfSense (VM no BIG)      → firewall interno
Camada 3: Traefik (VM no BIG)     → reverse proxy
Camada 4: Cloudflare Tunnel        → acesso externo sem expor IP
Camada 5: DD-WRT (R7000)          → só AP, sem exposição WAN
```

O DD-WRT **não substitui** pfSense/Traefik — só entrega conectividade LAN limpa ao Proxmox.

---

*Aplicar configuração e reboot do DD-WRT antes de testar Proxmox.*