Het opzetten van een Gast Netwerk is een ideale manier om je netwerk af te scheiden van je gasten. In deze blog leg ik uit hoe je dit met Tomato doet.

Als we visite krijgen dan ben ik vaak bezig om het wachtwoord van ons draadloos netwerk in te typen in de devices (smartphone/tablet) van het bezoek. Het is handiger om hiervoor een gast netwerk te hebben met alleen internet access en een makkelijk wachtwoord.

Het opzetten van een gast netwerk is mogelijk met de Tomato Firmware, maar dit vereist wel wat meer stappen. In deze blog leg ik uit hoe je dit voor elkaar krijgt.

Ten eerste moet je in Tomato een bridge toevoegen in je ‘Basic -> Network’ settings zoals hieronder (br1).

Tomato - Bridge toevoegen
Het is verstandig om dit op een ander subnet te doen als je eigen netwerk.

Nu moeten we een draadloze SSID maken voor onze gasten. Dit doe je in de ‘Advanced -> Virtual Wireless’ setting. Voeg hier een ‘wl0.1’ interface toe zoals hieronder aangegeven. Voor de 5 GHz band gebruik je ‘wl1.1’.

Tomato - Virtual Wireless
Je kunt de draadloze instellingen voor je gast netwerk verder configureren door op de Virtual Wireless Interface (wl0.1) knop bovenin het scherm te drukken.
Tomato - Virtual Wireless Properties
Tenslotte moet je je Virtual Wireless network nog bridgen in de VLAN Settings.
Tomato - VLAN Wireless Setting
Om er tenslotte zeker van te zijn dat je visite alleen maar op Internet kan, kun je het een en ander nog finetunen in het Firewall Script van het ‘Administration’ menu. Voeg hier de volgende regels toe:

GUEST_NET="192.168.2.0/24"
LAN_IP="$(nvram get lan_ipaddr)"
LAN_NET="$LAN_IP/$(nvram get lan_netmask)"

# limit guests to essential router services
iptables -I INPUT -i br1 -j DROP
iptables -I INPUT -i br1 -p udp --dport 67 -j ACCEPT
iptables -I INPUT -i br1 -p tcp --dport 53 -j ACCEPT
iptables -I INPUT -i br1 -p udp --dport 53 -j ACCEPT

# allow routing from guest network to private network
iptables -I FORWARD -i br1 -o br0 -m state --state NEW -j ACCEPT

# deny access to private network by guests (internet only)
iptables -I FORWARD -i br1 -d $LAN_NET -m state --state NEW -j DROP

# deny access to all other private networks by guests (internet only)
iptables -I FORWARD -i br1 -d 192.168.1.0/24 -m state --state NEW -j DROP
iptables -I FORWARD -i br1 -d 192.168.2.0/24 -m state --state NEW -j DROP

# enable nat on guest network (only necessary if not using static route on primary router)
iptables -t nat -A POSTROUTING -s $GUEST_NET -j SNAT --to $LAN_IP

In principe ben je nu klaar en kun je de visite voortaan op je gast netwerk laten inloggen zonder je zorgen te maken over de veiligheid van je eigen netwerk.