Správa routeru: panel VyManager nebo API

VyManager – grafický panel

Nejjednodušší způsob správy routeru je grafický panel VyManager . Otevřete ho tlačítkem Open VyManager na stránce routeru – přihlásíte se automaticky, žádné samostatné heslo není potřeba.

Vše se nastavuje myší:

• Firewall – pravidla, skupiny a zásady filtrování provozu.
• VPN (WireGuard) – zprovoznění tunelu a připojení vašich zařízení.
• NAT a přesměrování portů – zpřístupnění služeb navenek.
• DHCP – rozsahy adres přidělované ve vašich sítích.
• Směrování – statické trasy a také BGP a OSPF pro složité topologie.
• Síťová rozhraní routeru.

Panel pokrývá každodenní úlohy bez příkazového řádku. Pro vše ostatní a pro automatizaci je tu API – poskytuje přístup k libovolnému nastavení VyOS bez omezení.

Správa přes API

Router se konfiguruje přes HTTPS API – praktické pro automatizaci i jednorázové úlohy. Níže jsou hotové příklady (curl) pro běžné scénáře.

Co budete potřebovat

• Adresu routeru – jeho veřejnou IP (stránka routeru, pole Public IP).
• Váš API klíč – stránka routeru, blok Router Information, pole API Key (tlačítko Copy).

V příkladech níže: <ROUTER-IP> je vaše veřejná IP, <API-KEY> je váš klíč.

Jak funguje požadavek

Každá změna má dva kroky:

1. Apply – POST na /configure se sadou příkazů (aplikují se atomicky).
2. Save – POST na /config-file, jinak se změny při restartu routeru ztratí (viz „Uložení změn“ níže).

Konfiguraci můžete kdykoli přečíst – POST na /retrieve. Přepínač -k v curl přijímá certifikát routeru podepsaný sebou samým.

1. Čtení konfigurace

curl -k -X POST "https://<ROUTER-IP>/retrieve" \
  --form 'data={"op":"showConfig","path":[]}' \
  --form 'key=<API-KEY>'

Chcete-li zobrazit jen část, zadejte cestu, například NAT: "path":["nat"], rozhraní: "path":["interfaces"].

2. Přesměrování portu na interní server (DNAT)

Přesměrujte port veřejné IP routeru na server ve vaší privátní síti. Příklad: externí port 8080 → server 10.0.0.50:80, pouze z vaší IP 203.0.113.5.

curl -k -X POST "https://<ROUTER-IP>/configure" --form 'key=<API-KEY>' --form 'data=[
  {"op":"set","path":["nat","destination","rule","1000","description"],"value":"web-to-10.0.0.50"},
  {"op":"set","path":["nat","destination","rule","1000","inbound-interface","name"],"value":"eth0"},
  {"op":"set","path":["nat","destination","rule","1000","protocol"],"value":"tcp"},
  {"op":"set","path":["nat","destination","rule","1000","destination","port"],"value":"8080"},
  {"op":"set","path":["nat","destination","rule","1000","source","address"],"value":"203.0.113.5"},
  {"op":"set","path":["nat","destination","rule","1000","translation","address"],"value":"10.0.0.50"},
  {"op":"set","path":["nat","destination","rule","1000","translation","port"],"value":"80"}
]'

Poté uložte (viz „Uložení změn“ níže). Používejte čísla pravidel od 1000 výše , aby nekolidovala s automatickými. Pole source.address omezuje přístup na vaši IP; odstraňte ho, pokud má být port otevřen všem.

3. Pravidlo firewallu

Příklad: zablokovat TCP port 23 k vašim serverům a zbytek provozu ponechat otevřený.

curl -k -X POST "https://<ROUTER-IP>/configure" --form 'key=<API-KEY>' --form 'data=[
  {"op":"set","path":["firewall","ipv4","forward","filter","default-action"],"value":"accept"},
  {"op":"set","path":["firewall","ipv4","forward","filter","rule","100","action"],"value":"drop"},
  {"op":"set","path":["firewall","ipv4","forward","filter","rule","100","protocol"],"value":"tcp"},
  {"op":"set","path":["firewall","ipv4","forward","filter","rule","100","destination","port"],"value":"23"}
]'

Řádek default-action: accept je důležitý – zajišťuje, že veškerý ostatní provoz funguje a blokuje se jen nastavené pravidlo. Firewall lze nastavit také myší v panelu VyManager.

4. WireGuard VPN

Nejjednodušší je panel VyManager – má vestavěné nastavení WireGuard a klíče vygeneruje za vás. Přes API je nastavení vícekrokové: vygenerujte klíče na routeru, pak definujte rozhraní a protějšek (peer). Struktura příkazů:

set interfaces wireguard wg0 address '10.10.0.1/24'
set interfaces wireguard wg0 port '51820'
set interfaces wireguard wg0 peer my-laptop public-key '<your device's public key>'
set interfaces wireguard wg0 peer my-laptop allowed-ips '10.10.0.2/32'

Generování klíčů routeru a kompletní návod najdete v dokumentaci VyOS (sekce WireGuard).

5. Rozsah DHCP v síti

Název vaší sítě je vidět v konfiguraci (viz „Čtení konfigurace“ výše) ve tvaru LAN-eth1, LAN-eth2. Příklad – přidělovat adresy z rozsahu 10.0.0.100-10.0.0.200:

curl -k -X POST "https://<ROUTER-IP>/configure" --form 'key=<API-KEY>' --form 'data=[
  {"op":"set","path":["service","dhcp-server","shared-network-name","LAN-eth1","subnet","10.0.0.0/24","range","0","start"],"value":"10.0.0.100"},
  {"op":"set","path":["service","dhcp-server","shared-network-name","LAN-eth1","subnet","10.0.0.0/24","range","0","stop"],"value":"10.0.0.200"}
]'

6. Uložení změn

Po každém /configure:

curl -k -X POST "https://<ROUTER-IP>/config-file" \
  --form 'data={"op":"save"}' \
  --form 'key=<API-KEY>'

7. Zrušení pravidla

Smažte ho celé (například přesměrování portu ze sekce 2) a znovu uložte:

curl -k -X POST "https://<ROUTER-IP>/configure" \
  --form 'data={"op":"delete","path":["nat","destination","rule","1000"]}' \
  --form 'key=<API-KEY>'

Kompletní reference

Všechny příkazy VyOS s příklady pro každou funkci najdete v oficiální dokumentaci: docs.vyos.io.