使用openwrt实现单网卡esxi分多网段

6 9月 2022
7 分钟阅读
标签:
esxi,
openwrt

前言

我搭建靶场的时候又不能将靶场的网络直接连到我的生产网络，万一靶场有恶意程序扫描我生产网络可能会造成一下不好的影响，毕竟家里挺多设备的。但是因为我的NUC主机只有一张网卡，esxi分了vlan也不能自动获取IP地址，这时就要用到软路由给esxi里面的端口组分配IP地址了。

未命名文件.png

安装openwrt

到openwrt官方网站下载最新的镜像，我当前下载的是openwrt-22.03.3-x86-64-generic-ext4-combined.img.gz，使用gnuzip解压得到img后缀的镜像文件，需要转为vmware专用格式，这里我使用qemu-img命令行转换格式。

➜  qemu-img convert -f raw -O vmdk openwrt-22.03.3-x86-64-generic-ext4-combined.img openwrt-22.03.3-x86-64-generic-ext4-combined.vmdk
➜  ls -al openwrt-22.03.3-x86-64-generic-ext4-combined.vmdk 
.rw-r--r-- kali-team users 25 MB Sun Apr  2 13:26:57 2023  openwrt-22.03.3-x86-64-generic-ext4-combined.vmdk

将vmdk后缀文件上传到esxi，创建虚拟机的时候把默认的硬盘删除掉再添加现有的硬盘文件，也是就是刚刚上传的硬盘文件。

Untitled

把默认的硬盘删除掉，然后添加新的硬盘，控制器位置改成IDE控制器0，不然启动不了。

Untitled

选择刚刚上传的硬盘文件，将软路由用不到的设备删除。

Untitled

配置单网卡

为了能一步步了解步骤，和openwrt能联网更新安装中文界面，先添加一个VM Network网卡。

Untitled

编辑/etc/config/network文件，ipaddr改为VM Network网卡同一个网段，比如我的esxi服务器的IP是10.168.1.2，所以软路由的桥接地址192.168.1.1改为10.168.1.3。保存配置文件后重启。

root@OpenWrt:~# cat /etc/config/network 

config interface 'loopback'
        option device 'lo'
        option proto 'static'
        option ipaddr '127.0.0.1'
        option netmask '255.0.0.0'

config globals 'globals'
        option ula_prefix 'fd84:83b8:ea18::/48'

config device
        option name 'br-lan'
        option type 'bridge'
        list ports 'eth0'

config interface 'lan'
        option device 'br-lan'
        option proto 'static'
        option ipaddr '10.168.1.3'
        option netmask '255.255.255.0'
        option ip6assign '60'

Untitled

Web管理界面

默认密码password，登录进去后改密码

Untitled

登录后台可以到网络测试，发现网络不通，到Interfaces添加网关和广播，保存应用后就可以联网了。

Untitled

添加DNS服务器

Untitled

安装中文界面

更新软件库，改清华大学源，更新完直接安装luci-i18n-base-zh-cn再刷新页面就是中文的了。

root@OpenWrt:~# sed -i 's_downloads.openwrt.org_mirrors.tuna.tsinghua.edu.cn/openwrt_' /etc/opkg/distfeeds.conf
root@OpenWrt:~# opkg update
Downloading https://mirrors.tuna.tsinghua.edu.cn/openwrt/releases/22.03.3/targets/x86/64/packages/Packages.gz
Updated list of available packages in /var/opkg-lists/openwrt_core
Downloading https://mirrors.tuna.tsinghua.edu.cn/openwrt/releases/22.03.3/targets/x86/64/packages/Packages.sig
Signature check passed.
Downloading https://mirrors.tuna.tsinghua.edu.cn/openwrt/releases/22.03.3/packages/x86_64/base/Packages.gz
Updated list of available packages in /var/opkg-lists/openwrt_base
Downloading https://mirrors.tuna.tsinghua.edu.cn/openwrt/releases/22.03.3/packages/x86_64/base/Packages.sig
Signature check passed.
Downloading https://mirrors.tuna.tsinghua.edu.cn/openwrt/releases/22.03.3/packages/x86_64/luci/Packages.gz
Updated list of available packages in /var/opkg-lists/openwrt_luci
Downloading https://mirrors.tuna.tsinghua.edu.cn/openwrt/releases/22.03.3/packages/x86_64/luci/Packages.sig
Signature check passed.
Downloading https://mirrors.tuna.tsinghua.edu.cn/openwrt/releases/22.03.3/packages/x86_64/packages/Packages.gz
Updated list of available packages in /var/opkg-lists/openwrt_packages
Downloading https://mirrors.tuna.tsinghua.edu.cn/openwrt/releases/22.03.3/packages/x86_64/packages/Packages.sig
Signature check passed.
Downloading https://mirrors.tuna.tsinghua.edu.cn/openwrt/releases/22.03.3/packages/x86_64/routing/Packages.gz
Updated list of available packages in /var/opkg-lists/openwrt_routing
Downloading https://mirrors.tuna.tsinghua.edu.cn/openwrt/releases/22.03.3/packages/x86_64/routing/Packages.sig
Signature check passed.
Downloading https://mirrors.tuna.tsinghua.edu.cn/openwrt/releases/22.03.3/packages/x86_64/telephony/Packages.gz
Updated list of available packages in /var/opkg-lists/openwrt_telephony
Downloading https://mirrors.tuna.tsinghua.edu.cn/openwrt/releases/22.03.3/packages/x86_64/telephony/Packages.sig
Signature check passed.
root@OpenWrt:~# opkg install luci-i18n-base-zh-cn
Installing luci-i18n-base-zh-cn (git-23.090.61754-f7f34d4) to root...
Downloading https://mirrors.tuna.tsinghua.edu.cn/openwrt/releases/22.03.3/packages/x86_64/luci/luci-i18n-base-zh-cn_git-23.090.61754-f7f34d4_all.ipk
Configuring luci-i18n-base-zh-cn.

添加多网卡

一开始br-lan桥接了esxi的VM Network网卡是为了联网更新，但是添加多网卡就要把配置重新改掉。把openwrt虚拟机关掉添加一块网卡，再重启系统。

Untitled

到Web管理界面添加新接口，刚刚的HostOnly Network网卡就是eth1

Untitled

要其他虚拟机在openwrt虚拟机中自动分配到IP地址，所以openwrt要当网关，所以IP要设置为192.168.233.1。那之前的VM Network网卡eth0就是路由器的WAN口，新添加的HostOnly Network网卡就是LAN口，其他虚拟机都接HostOnly Network网卡才可以进入新的网段，而不是都连到esxi服务器这个10.168.1.0/24网段。

Untitled

root@OpenWrt:~# cat /etc/config/network 

config interface 'loopback'
        option device 'lo'
        option proto 'static'
        option ipaddr '127.0.0.1'
        option netmask '255.0.0.0'

config globals 'globals'
        option ula_prefix 'fda9:ae83:3e7a::/48'

config device
        option name 'br-lan'
        option type 'bridge'
        list ports 'eth0'

config interface 'lan'
        option proto 'static'
        option netmask '255.255.255.0'
        option ip6assign '60'
        list dns '8.8.8.8'
        list dns '1.1.1.1'
        option device 'eth1'
        option ipaddr '192.168.233.1'
        option broadcast '192.168.233.255'

config device
        option name 'eth0'

config interface 'wan'
        option proto 'dhcp'
        option device 'br-lan'

更新网络过后只能通过LAN口，也就是192.168.233.0/24这个段访问Web控制台，因为openwrt默认是不允许WAN口访问Web控制台的，就像你家光猫不能访问它的下面的路由器一样，但是我们又想通过10.168.1.0/24这个网段登录WAN口访问Web管理界面，所以要设置防火墙将192.168.233.0/24这个网段到openwrt的流量全部拦截掉，允许WAN口访问Web控制台。
修改防火墙配置文件(/etc/config/firewall)，input表示入网，output表示出网，ACCEPT表示放行，REJECT表示拒绝，DROP表示直接丢弃，所以把lan和wan的配置倒过来就好了，我也不想192.168.233.0/24能访问软路由，所以把lan口的流量都禁掉。

config defaults                                                                                                                                                               
        option syn_flood        1
        option input            ACCEPT
        option output           ACCEPT
        option forward          REJECT
# Uncomment this line to disable ipv6 rules 
#       option disable_ipv6     1

config zone
        option name             lan
        list   network          'lan'
-        option input            ACCEPT
-        option output           ACCEPT
-        option forward          ACCEPT
+        option input            REJECT
+        option output           REJECT
+        option forward          REJECT

config zone
        option name             wan
        list   network          'wan'
        list   network          'wan6'
-        option input            REJECT
+        option input            ACCEPT
        option output           ACCEPT
-        option forward          REJECT
+        option forward          ACCEPT
        option masq             1
        option mtu_fix          1

config forwarding
        option src              lan
        option dest             wan

改完重启一下防火墙

root@OpenWrt:/etc/init.d/firewall restart
root@OpenWrt:~#

现在就可以再次登录Web控制台界面了，你也可以在Web设置防火墙

Untitled

设置防火墙

再创建一个ubuntu虚拟机，添加HostOnly Network网卡，用来对这个网卡做测试。

Untitled

添加防火墙后，不能访问路由器的Web控制台

Untitled

但是它还可以访问10.168.1.0/24这个段，很明显是不合理的，所以要再添加防火墙规则把他们拦截了。

Untitled

添加过滤规则，拦截从192.168.233.0/24到10.168.1.0/24的全部协议。

Untitled

保存并应用后，从192.168.233.0/24到10.168.1.0/24都不通了

Untitled

总结

网上的靶场并不是全部可信的，所以隔离出来一个受保护的网络非常重要，如果NUC主机有多张网卡就不需要这么折腾了，但是单网卡分网段目前可行方案就是用软路由自己再隔离一层网络出来，以后的攻击系统也会装到这个隔离网络环境，在使用的时候才添加桥接网卡进去。

使用openwrt实现单网卡esxi分多网段

目录

前言

安装openwrt

配置单网卡

Web管理界面

安装中文界面

添加多网卡

设置防火墙

总结

参考