182 lines
4.8 KiB
Markdown
182 lines
4.8 KiB
Markdown
# SPEC — DD-WRT R7000 + Proxmox BIG (Rede LAN/WAN)
|
||
|
||
**Data:** 2026-07-08
|
||
**Responsável:** Roger / iTecnologys
|
||
**Dispositivo:** Netgear R7000 — DD-WRT v3.0-r44715
|
||
|
||
---
|
||
|
||
## 1. Topologia correta
|
||
|
||
```
|
||
Internet
|
||
│
|
||
[AT&T Gateway] 192.168.1.254
|
||
│ DHCP + Firewall + Gateway principal
|
||
│
|
||
├── [BIG Proxmox] 192.168.1.137 (cabos eno3/eno4 → portas LAN)
|
||
│
|
||
└── [R7000 DD-WRT] 192.168.1.1 (modo AP — só Wi-Fi + switch)
|
||
│
|
||
Dispositivos Wi-Fi
|
||
```
|
||
|
||
**Regra de ouro:** O DD-WRT **não é firewall principal** — o gateway AT&T (`.254`) é a fronteira. O DD-WRT é **AP + switch**.
|
||
|
||
---
|
||
|
||
## 2. Modo de operação: AP (Access Point)
|
||
|
||
| Papel | Dispositivo |
|
||
|-------|-------------|
|
||
| Gateway + DHCP + DNS | AT&T `.254` |
|
||
| Proxmox host | BIG `.137` |
|
||
| Wi-Fi + switch LAN | R7000 `.1.1` |
|
||
|
||
---
|
||
|
||
## 3. Configuração DD-WRT — Setup → Basic Setup
|
||
|
||
| Campo | Valor | Por quê |
|
||
|-------|-------|---------|
|
||
| **WAN Connection Type** | `Disabled` | R7000 não roteia internet |
|
||
| **Local IP (LAN)** | `192.168.1.1` | IP de gestão do DD-WRT |
|
||
| **Subnet Mask** | `255.255.255.0` | Mesma rede |
|
||
| **Gateway** | `192.168.1.254` | Encaminhar para AT&T |
|
||
| **Local DNS** | `192.168.1.254` | DNS do gateway |
|
||
| **DHCP Server** | **Disable** | Evitar conflito com `.254` |
|
||
| **STP** | Disable | Evitar loops |
|
||
|
||
---
|
||
|
||
## 4. Configuração DD-WRT — Security → Firewall
|
||
|
||
| Campo | Valor | Por quê |
|
||
|-------|-------|---------|
|
||
| **SPI Firewall** | Enable | Proteção básica |
|
||
| **Block WAN Requests** | Enable | Bloquear scans externos |
|
||
| **Filter WAN NAT Redirection** | Enable | Segurança |
|
||
| **AP Isolation** | **Disable** | Proxmox precisa falar com LAN |
|
||
|
||
---
|
||
|
||
## 5. Configuração DD-WRT — Wireless → Advanced
|
||
|
||
| Campo | Valor |
|
||
|-------|-------|
|
||
| **AP Isolation** | **Disable** |
|
||
| **Set AP on different subnet** | **Disable** |
|
||
| **Multicast forwarding** | Enable (se houver VMs) |
|
||
|
||
---
|
||
|
||
## 6. Configuração DD-WRT — Services
|
||
|
||
| Serviço | Porta | WAN Access | Notas |
|
||
|---------|-------|------------|-------|
|
||
| **Lighttpd HTTP** | `8085` | **Disable** | Só LAN |
|
||
| **Lighttpd HTTPS** | `443` | **Disable** | Só LAN |
|
||
| **SSH (dropbear)** | `2222` | **Disable** | Só LAN |
|
||
| **Telnet** | `23` | **Disable** | Backup, desativar depois |
|
||
| **DNSMasq** | `53` | — | **Disable** se DHCP off |
|
||
|
||
---
|
||
|
||
## 7. Configuração DD-WRT — Administration → Management
|
||
|
||
| Campo | Valor |
|
||
|-------|-------|
|
||
| **Web GUI Management (WAN)** | **Disable** |
|
||
| **SSH Management (WAN)** | **Disable** |
|
||
| **Remote Access** | **Tudo Disable** |
|
||
| **Boot Wait** | **Enable** (recovery) |
|
||
|
||
---
|
||
|
||
## 8. Portas físicas R7000 — cabeamento
|
||
|
||
| Porta R7000 | Uso | Conectar |
|
||
|-------------|-----|----------|
|
||
| **WAN (amarela)** | Desativada | **Nada** ou uplink ao `.254` (opcional) |
|
||
| **LAN 1–4 (pretas)** | Bridge LAN | **BIG eno3 + eno4**, switch, PCs |
|
||
|
||
**NUNCA** ligar Proxmox só na porta WAN — `eth0` não está no `br0`.
|
||
|
||
---
|
||
|
||
## 9. Configuração Proxmox BIG (host)
|
||
|
||
| Campo | Valor |
|
||
|-------|-------|
|
||
| **IP** | `192.168.1.137` (estático) |
|
||
| **Gateway** | `192.168.1.254` |
|
||
| **DNS** | `192.168.1.254` |
|
||
| **Interfaces** | `eno3` + `eno4` (bond ou ativas) |
|
||
| **Proxmox Web** | `https://192.168.1.137:8006` |
|
||
| **SSH** | `root@192.168.1.137` |
|
||
| **Tailscale** | `100.90.196.58` (quando internet voltar) |
|
||
|
||
---
|
||
|
||
## 10. O que estava errado (causa do problema)
|
||
|
||
| Erro | Efeito |
|
||
|------|--------|
|
||
| **DHCP ativo no DD-WRT** | BIG recebeu gateway `.1.1` em vez de `.254` |
|
||
| **lan_gateway=0.0.0.0** | DD-WRT sem rota para internet |
|
||
| **wk_mode=gateway** com WAN disabled | Modo inconsistente |
|
||
| **Cabo na porta WAN** | Proxmox isolado da LAN (`eth0` ∉ `br0`) |
|
||
| **Lighttpd WAN Access Enable** | Exposição desnecessária |
|
||
|
||
---
|
||
|
||
## 11. NVRAM (aplicar via SSH)
|
||
|
||
```bash
|
||
ssh -p 2222 root@192.168.1.1
|
||
|
||
nvram set wan_proto=disabled
|
||
nvram set lan_gateway=192.168.1.254
|
||
nvram set wan_gateway=192.168.1.254
|
||
nvram set wan_dns=192.168.1.254
|
||
nvram set dnsmasq_enable=0
|
||
nvram set wk_mode=lan
|
||
nvram set wl_ap_isolate=0
|
||
nvram set remote_mgt_ssh=0
|
||
nvram commit
|
||
reboot
|
||
```
|
||
|
||
---
|
||
|
||
## 12. Validação pós-configuração
|
||
|
||
```bash
|
||
# No DD-WRT:
|
||
ping -c 3 192.168.1.254 # gateway OK
|
||
ping -c 3 192.168.1.137 # BIG OK
|
||
arp -a | grep 137 # MAC do BIG visível
|
||
|
||
# No laptop:
|
||
ping 192.168.1.137
|
||
curl -k https://192.168.1.137:8006
|
||
ssh root@192.168.1.137
|
||
```
|
||
|
||
---
|
||
|
||
## 13. Segurança — camadas
|
||
|
||
```
|
||
Camada 1: AT&T Gateway (.254) → firewall ISP
|
||
Camada 2: pfSense (VM no BIG) → firewall interno
|
||
Camada 3: Traefik (VM no BIG) → reverse proxy
|
||
Camada 4: Cloudflare Tunnel → acesso externo sem expor IP
|
||
Camada 5: DD-WRT (R7000) → só AP, sem exposição WAN
|
||
```
|
||
|
||
O DD-WRT **não substitui** pfSense/Traefik — só entrega conectividade LAN limpa ao Proxmox.
|
||
|
||
---
|
||
|
||
*Aplicar configuração e reboot do DD-WRT antes de testar Proxmox.*
|