SPEC — DD-WRT R7000 + Proxmox BIG (Rede LAN/WAN)

Data: 2026-07-08
Responsável: Roger / iTecnologys
Dispositivo: Netgear R7000 — DD-WRT v3.0-r44715

1. Topologia correta

Internet
    │
[AT&T Gateway] 192.168.1.254
    │  DHCP + Firewall + Gateway principal
    │
    ├── [BIG Proxmox] 192.168.1.137  (cabos eno3/eno4 → portas LAN)
    │
    └── [R7000 DD-WRT] 192.168.1.1   (modo AP — só Wi-Fi + switch)
            │
        Dispositivos Wi-Fi

Regra de ouro: O DD-WRT não é firewall principal — o gateway AT&T (.254) é a fronteira. O DD-WRT é AP + switch.

2. Modo de operação: AP (Access Point)

Papel	Dispositivo
Gateway + DHCP + DNS	AT&T `.254`
Proxmox host	BIG `.137`
Wi-Fi + switch LAN	R7000 `.1.1`

3. Configuração DD-WRT — Setup → Basic Setup

Campo	Valor	Por quê
WAN Connection Type	`Disabled`	R7000 não roteia internet
Local IP (LAN)	`192.168.1.1`	IP de gestão do DD-WRT
Subnet Mask	`255.255.255.0`	Mesma rede
Gateway	`192.168.1.254`	Encaminhar para AT&T
Local DNS	`192.168.1.254`	DNS do gateway
DHCP Server	Disable	Evitar conflito com `.254`
STP	Disable	Evitar loops

4. Configuração DD-WRT — Security → Firewall

Campo	Valor	Por quê
SPI Firewall	Enable	Proteção básica
Block WAN Requests	Enable	Bloquear scans externos
Filter WAN NAT Redirection	Enable	Segurança
AP Isolation	Disable	Proxmox precisa falar com LAN

5. Configuração DD-WRT — Wireless → Advanced

Campo	Valor
AP Isolation	Disable
Set AP on different subnet	Disable
Multicast forwarding	Enable (se houver VMs)

6. Configuração DD-WRT — Services

Serviço	Porta	WAN Access	Notas
Lighttpd HTTP	`8085`	Disable	Só LAN
Lighttpd HTTPS	`443`	Disable	Só LAN
SSH (dropbear)	`2222`	Disable	Só LAN
Telnet	`23`	Disable	Backup, desativar depois
DNSMasq	`53`	—	Disable se DHCP off

7. Configuração DD-WRT — Administration → Management

Campo	Valor
Web GUI Management (WAN)	Disable
SSH Management (WAN)	Disable
Remote Access	Tudo Disable
Boot Wait	Enable (recovery)

8. Portas físicas R7000 — cabeamento

Porta R7000	Uso	Conectar
WAN (amarela)	Desativada	Nada ou uplink ao `.254` (opcional)
LAN 1–4 (pretas)	Bridge LAN	BIG eno3 + eno4, switch, PCs

NUNCA ligar Proxmox só na porta WAN — eth0 não está no br0.

9. Configuração Proxmox BIG (host)

Campo	Valor
IP	`192.168.1.137` (estático)
Gateway	`192.168.1.254`
DNS	`192.168.1.254`
Interfaces	`eno3` + `eno4` (bond ou ativas)
Proxmox Web	`https://192.168.1.137:8006`
SSH	`root@192.168.1.137`
Tailscale	`100.90.196.58` (quando internet voltar)

10. O que estava errado (causa do problema)

Erro	Efeito
DHCP ativo no DD-WRT	BIG recebeu gateway `.1.1` em vez de `.254`
lan_gateway=0.0.0.0	DD-WRT sem rota para internet
wk_mode=gateway com WAN disabled	Modo inconsistente
Cabo na porta WAN	Proxmox isolado da LAN (`eth0` ∉ `br0`)
Lighttpd WAN Access Enable	Exposição desnecessária

11. NVRAM (aplicar via SSH)

ssh -p 2222 root@192.168.1.1

nvram set wan_proto=disabled
nvram set lan_gateway=192.168.1.254
nvram set wan_gateway=192.168.1.254
nvram set wan_dns=192.168.1.254
nvram set dnsmasq_enable=0
nvram set wk_mode=lan
nvram set wl_ap_isolate=0
nvram set remote_mgt_ssh=0
nvram commit
reboot

12. Validação pós-configuração

# No DD-WRT:
ping -c 3 192.168.1.254    # gateway OK
ping -c 3 192.168.1.137    # BIG OK
arp -a | grep 137          # MAC do BIG visível

# No laptop:
ping 192.168.1.137
curl -k https://192.168.1.137:8006
ssh root@192.168.1.137

13. Segurança — camadas

Camada 1: AT&T Gateway (.254)     → firewall ISP
Camada 2: pfSense (VM no BIG)      → firewall interno
Camada 3: Traefik (VM no BIG)     → reverse proxy
Camada 4: Cloudflare Tunnel        → acesso externo sem expor IP
Camada 5: DD-WRT (R7000)          → só AP, sem exposição WAN

O DD-WRT não substitui pfSense/Traefik — só entrega conectividade LAN limpa ao Proxmox.

Aplicar configuração e reboot do DD-WRT antes de testar Proxmox.

4.8 KiB Raw Blame History Unescape Escape