SPEC — DD-WRT R7000 + Proxmox BIG (Rede LAN/WAN)
Data: 2026-07-08
Responsável: Roger / iTecnologys
Dispositivo: Netgear R7000 — DD-WRT v3.0-r44715
1. Topologia correta
Internet
│
[AT&T Gateway] 192.168.1.254
│ DHCP + Firewall + Gateway principal
│
├── [BIG Proxmox] 192.168.1.137 (cabos eno3/eno4 → portas LAN)
│
└── [R7000 DD-WRT] 192.168.1.1 (modo AP — só Wi-Fi + switch)
│
Dispositivos Wi-Fi
Regra de ouro: O DD-WRT não é firewall principal — o gateway AT&T (.254) é a fronteira. O DD-WRT é AP + switch.
2. Modo de operação: AP (Access Point)
| Papel |
Dispositivo |
| Gateway + DHCP + DNS |
AT&T .254 |
| Proxmox host |
BIG .137 |
| Wi-Fi + switch LAN |
R7000 .1.1 |
3. Configuração DD-WRT — Setup → Basic Setup
| Campo |
Valor |
Por quê |
| WAN Connection Type |
Disabled |
R7000 não roteia internet |
| Local IP (LAN) |
192.168.1.1 |
IP de gestão do DD-WRT |
| Subnet Mask |
255.255.255.0 |
Mesma rede |
| Gateway |
192.168.1.254 |
Encaminhar para AT&T |
| Local DNS |
192.168.1.254 |
DNS do gateway |
| DHCP Server |
Disable |
Evitar conflito com .254 |
| STP |
Disable |
Evitar loops |
4. Configuração DD-WRT — Security → Firewall
| Campo |
Valor |
Por quê |
| SPI Firewall |
Enable |
Proteção básica |
| Block WAN Requests |
Enable |
Bloquear scans externos |
| Filter WAN NAT Redirection |
Enable |
Segurança |
| AP Isolation |
Disable |
Proxmox precisa falar com LAN |
5. Configuração DD-WRT — Wireless → Advanced
| Campo |
Valor |
| AP Isolation |
Disable |
| Set AP on different subnet |
Disable |
| Multicast forwarding |
Enable (se houver VMs) |
6. Configuração DD-WRT — Services
| Serviço |
Porta |
WAN Access |
Notas |
| Lighttpd HTTP |
8085 |
Disable |
Só LAN |
| Lighttpd HTTPS |
443 |
Disable |
Só LAN |
| SSH (dropbear) |
2222 |
Disable |
Só LAN |
| Telnet |
23 |
Disable |
Backup, desativar depois |
| DNSMasq |
53 |
— |
Disable se DHCP off |
7. Configuração DD-WRT — Administration → Management
| Campo |
Valor |
| Web GUI Management (WAN) |
Disable |
| SSH Management (WAN) |
Disable |
| Remote Access |
Tudo Disable |
| Boot Wait |
Enable (recovery) |
8. Portas físicas R7000 — cabeamento
| Porta R7000 |
Uso |
Conectar |
| WAN (amarela) |
Desativada |
Nada ou uplink ao .254 (opcional) |
| LAN 1–4 (pretas) |
Bridge LAN |
BIG eno3 + eno4, switch, PCs |
NUNCA ligar Proxmox só na porta WAN — eth0 não está no br0.
9. Configuração Proxmox BIG (host)
| Campo |
Valor |
| IP |
192.168.1.137 (estático) |
| Gateway |
192.168.1.254 |
| DNS |
192.168.1.254 |
| Interfaces |
eno3 + eno4 (bond ou ativas) |
| Proxmox Web |
https://192.168.1.137:8006 |
| SSH |
root@192.168.1.137 |
| Tailscale |
100.90.196.58 (quando internet voltar) |
10. O que estava errado (causa do problema)
| Erro |
Efeito |
| DHCP ativo no DD-WRT |
BIG recebeu gateway .1.1 em vez de .254 |
| lan_gateway=0.0.0.0 |
DD-WRT sem rota para internet |
| wk_mode=gateway com WAN disabled |
Modo inconsistente |
| Cabo na porta WAN |
Proxmox isolado da LAN (eth0 ∉ br0) |
| Lighttpd WAN Access Enable |
Exposição desnecessária |
11. NVRAM (aplicar via SSH)
ssh -p 2222 root@192.168.1.1
nvram set wan_proto=disabled
nvram set lan_gateway=192.168.1.254
nvram set wan_gateway=192.168.1.254
nvram set wan_dns=192.168.1.254
nvram set dnsmasq_enable=0
nvram set wk_mode=lan
nvram set wl_ap_isolate=0
nvram set remote_mgt_ssh=0
nvram commit
reboot
12. Validação pós-configuração
# No DD-WRT:
ping -c 3 192.168.1.254 # gateway OK
ping -c 3 192.168.1.137 # BIG OK
arp -a | grep 137 # MAC do BIG visível
# No laptop:
ping 192.168.1.137
curl -k https://192.168.1.137:8006
ssh root@192.168.1.137
13. Segurança — camadas
Camada 1: AT&T Gateway (.254) → firewall ISP
Camada 2: pfSense (VM no BIG) → firewall interno
Camada 3: Traefik (VM no BIG) → reverse proxy
Camada 4: Cloudflare Tunnel → acesso externo sem expor IP
Camada 5: DD-WRT (R7000) → só AP, sem exposição WAN
O DD-WRT não substitui pfSense/Traefik — só entrega conectividade LAN limpa ao Proxmox.
Aplicar configuração e reboot do DD-WRT antes de testar Proxmox.
