OpenWrt в Proxmox как домашний умный шлюз: DHCP, DNS, sing-box и выборочный VPN для всей сети

[SonOfRageAndLove]

Пару месяцев назад пришел к примерно такому же решению (но с другим сетевым стеком и по другой причине - тогда как раз началась чехарда с версиями OpenWRT, переход на 25-ю ветку, и очень хотелось начать обновлять "домашний роутер", сначала спокойно подготовив ВМ с новой версией, а потом в Proxmox просто переключить управление со старой ВМ на новую).

Но идеалистическая лодка разбилась о быт под названием провайдерский роутер. Разумеется, он был переведен их ТП в режим моста. И я даже смог внутри ВМ получить провайдерский IP, но вот никакие пакеты данных внутрь ВМ с OpenWRT не попадали. Внутрь Proxmox - да, а вот глубже - никак.

Возможно, это minor observation © будет полезно тем, кто решит пройти изложенный в статье полный путь, и остановится за метр у клетчатого флага. Если вы вынуждены использовать провайдерское оборудование - обратите внимание.

[lalexrus]

изучите что такое rule_set в sing-box , откуда их качать и как использовать, и почему ваш набор domain suffix не очень то обязан работать (в частности для telegram, anthropic и т.д.).
Однако в целом решение правильное особенно с точки зрения наличия всяких умных ТВ, приставок (с гугл тв) или того же apple tv. Ну так то хватило бы чего-то совсем мелкого типа какой-то ягодки или апельсинки ( у меня на orange pi zero), ну а при наличии маршрутизатора - ставить openwrt кмк излишне, достаточно было linux самый простой с sing-box на борту.
Вопрос - а зачем вы 2ip завели в прокси ?

[Trahibidadido]

Можно существенно упростить систему, если на proxmox два сетевых интерфейса.

Выделить их оба виртуалке под LAN/WAN, что бы работал hardware offloading (если есть). Далее прокинуть этот шлюз в проксмокс как дефолт гейт:

auto vmbr0
iface vmbr0 inet static
	address 192.168.1.2/24
	gateway 192.168.1.1
	bridge-ports none
	bridge-stp off
	bridge-fd 0

Где 192.168.1.2 будет IP проксмокса, а 192.168.1.1 IP машинки с OpenWRT, оно же гейтвей.
Для того что бы не терять контроль над машиной в случае оффлайна ВМ роутера, можно воткнуть usb сетевуху или выделить еще один контроллер при наличии, главное со статической адресацией, типо так:

auto vmbr1
iface vmbr1 inet static
	address 10.0.0.1/24
	bridge-ports #id USB-NIC
	bridge-stp off
	bridge-fd 0

И воткнуть в тот же свитч что и остальную сеть.

В итоге у вас полностью виртуализованый роутер, один гейтвей на всю сеть, нет никаких проблем с тем что бы поднять еще виртуалок в той же сети для dns/sign-box/тунелей и прочего что неудобно на OpenWRT.

Минус один, если вам нужны VLAN, будет больно.