hostapd#

1
sudo nano /etc/hostapd/hostapd_2g.conf

1
interface=wlan0
2
driver=nl80211
3
ssid=MyHotspot
4
hw_mode=g
5
channel=6
6
ieee80211n=1
7
wmm_enabled=1
8

9
# 监管域
10
country_code=CN
11
ieee80211d=1
12

13
auth_algs=1
14
wpa=2
15
wpa_passphrase=<你的密码>
16
wpa_key_mgmt=WPA-PSK
17
wpa_pairwise=CCMP
18
rsn_pairwise=CCMP

记得把上面配置里的 “<你的密码>” 替换成你实际想设置的 WiFi 密码。

dnsmasq#

1
sudo nano /etc/dnsmasq.d/hotspot.conf

1
interface=wlan0
2
bind-interfaces
3

4
# 网段需要与下面 NAT 规则里的网段一致
5
dhcp-range=192.168.42.100,192.168.42.200,12h
6

7
dhcp-option=3,192.168.42.1 # 本机默认网关
8
dhcp-option=6,223.5.5.5 # 公共 DNS，客户端不经过本机
9

10
# 记录每次 DHCP 交互，排查 "连上但分配不到 IP" 时很有用，不需要时也可以注释掉
11
log-dhcp
12
log-facility=/var/log/dnsmasq-hotspot.log
13
log-async=25

内核转发#

1
sudo nano /etc/sysctl.d/99-hotspot.conf

1
# 客户端要能出网，必须打开 IPv4 转发
2
net.ipv4.ip_forward = 1
3

4
# 我完全不转发 IPv6，有需要可以自行开启
5
net.ipv6.conf.all.forwarding = 0
6

7
# 接上游的有线口不接收 RA
8
net.ipv6.conf.enp37s0.accept_ra = 0

1
sudo sysctl -p /etc/sysctl.d/99-hotspot.conf

放入 /etc/sysctl.d/ 是为了让内核参数单独有个文件管，和 NAT / 防火墙规则分开。

NAT#

客户端用的是私网地址，上游不认识，必须在本机出口上把源地址换成 enp37s0 的地址。

下面列出几种做法，挑一种即可：

nftables（net-firewall/nftables 不提供 /etc/nftables.conf，需要自己建。如果这个文件已经存在，则只在末尾追加下面这段，不要整体替换，因为你可能已经有一整套防火墙规则在里面）：

1
sudo nano /etc/nftables.conf

1
#!/usr/bin/nft -f
2

3
define WAN    = "enp37s0"
4
define LANNET = 192.168.42.0/24
5

6
destroy table ip hotspot_nat
7

8
table ip hotspot_nat {
9
  chain postrouting {
10
    type nat hook postrouting priority srcnat; policy accept;
11
    oifname $WAN ip saddr $LANNET masquerade
12
  }
13
}

1
sudo nft -f /etc/nftables.conf

追加到已有文件时注意两点：

• 首行的 #!/usr/bin/nft -f 只在新建文件时需要，追加时不要带上。
• define 必须在使用之前出现。两行 define 放进文件靠前的 define 区，destroy table ip hotspot_nat 和 table ip hotspot_nat {...} 放到文件末尾。

整段贴在末尾会让 define 出现在使用之后，nft 会直接报错。

LANNET 必须和上面 dnsmasq 的 dhcp-range 对得上，否则 masquerade 匹配不到。

iptables（很多系统还在用）：

1
sudo iptables -t nat -A POSTROUTING -s 192.168.42.0/24 -o enp37s0 -j MASQUERADE

先用 sudo iptables -S FORWARD | head -1 看一眼策略，如果是 DROP，还得放行转发，否则客户端照样上不了网：

1
sudo iptables -A FORWARD -i wlan0 -o enp37s0 -j ACCEPT
2
sudo iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

FORWARD 默认是 ACCEPT 的机器不用加这两条。

firewalld 和 ufw 都要改”默认转发策略 + masquerade”，但改的位置完全不同：

• firewalld：把 enp37s0 划进 external 区并打开 masquerade，两条都带 --permanent：firewall-cmd --zone=external --change-interface=enp37s0 --permanent、firewall-cmd --zone=external --add-masquerade --permanent，最后 firewall-cmd --reload 生效。

• ufw：没有 zone 这个概念，要在 /etc/ufw/before.rules 最前面加一段 nat 规则，再把 /etc/default/ufw 里的 DEFAULT_FORWARD_POLICY 改成 ACCEPT：

  1
  *nat
  2
  :POSTROUTING ACCEPT [0:0]
  3
  -A POSTROUTING -s 192.168.42.0/24 -o enp37s0 -j MASQUERADE
  4
  COMMIT

  改完 sudo ufw reload 生效。

NAT 规则怎么开机生效，取决于你用的工具，各发行版一般都有现成方案。

• nftables：用 Gentoo 自带的 net-firewall/nftables 服务。它是快照模型，适合机器上只维护这一份规则的情况，按顺序执行：

  1
  sudo nft -f /etc/nftables.conf
  2
  sudo rc-service nftables save
  3
  sudo rc-update add nftables default

  这个服务启动时会检查 /var/lib/nftables/rules-save，文件不存在就直接拒绝启动。rc-update 只是加开机链接、不启动服务，所以 save 真正要赶在下次重启之前跑过。

  快照的含义是：/etc/nftables.conf 只在 nft -f 时读一次，save 把当时内核里的整份规则写进 rules-save，开机加载的是它。所以每次改完规则，除了 nft -f，还要再 rc-service nftables save 一次，否则重启会回退到上一次快照。

  正因为快照会把内核里所有表一起写进去，而服务加载前又会 flush ruleset，所以机器上要是有 tailscale、libvirt 这类自己建表的软件，就别用这个服务，改用 接管服务的做法。

• iptables：sudo rc-service iptables save + sudo rc-update add iptables default。

• firewalld：本身就是常驻服务，--permanent 的改动自动持久，不用额外操作。

防火墙过滤（可选）#

如果机器没有配置防火墙，或者防火墙默认放行，等下面 hotspot 服务跑起来热点就能用了，这节可以跳过。

如果机器上有 policy drop 这类默认拒绝的防火墙，需要额外放行这几样：

• wlan0 上的 DHCP（udp/67）：不给 dnsmasq 放行，客户端连上了也拿不到 IP
• wlan0 → enp37s0 的转发
• 转发链里的 ct state established,related accept

（如果把 dnsmasq 改成下发本机地址 dhcp-option=6,192.168.42.1，让客户端走本机 DNS，那还要再加一条 udp/53 的放行。本文下发的是 223.5.5.5，客户端不经过本机，所以不用开。）

最后一条最容易漏：policy drop 只放行”客户端 → 上游”这一个方向，服务器回来的包方向是反的，匹配不到任何规则，全靠 conntrack 放行。少了它客户端能拿到 IP，但什么都连不上——DNS 查询和网页访问一起失败。

hotspot#

新建 /etc/init.d/hotspot：

1
#!/sbin/openrc-run
2
# 职责：配置无线接口 + dnsmasq + hostapd
3
#   - NAT / 防火墙 -> 由你选定的那套工具负责
4
#   - ip_forward -> /etc/sysctl.d/99-hotspot.conf （由 sysctl 服务加载）
5

6
rc_need="net"
7

8
IFACE=wlan0
9
GATEWAY=192.168.42.1
10

11
DNSMASQ_PID=/run/hotspot_dnsmasq.pid
12
HOSTAPD_PID=/run/hotspot_hostapd.pid
13

14
# 等某个 pidfile 出现、且对应进程还活着
15
_wait_pidfile() {
16
  local pf="$1" timeout="$2" i=0 pid
17
  local max=$(( timeout * 10 ))      # 每次 0.1 秒
18
  while [ "$i" -lt "$max" ]; do
19
    if [ -r "$pf" ]; then
20
      pid="$(cat "$pf" 2>/dev/null)"
21
      if [ -n "$pid" ] && kill -0 "$pid" 2>/dev/null; then
22
        return 0
23
      fi
24
    fi
25
    sleep 0.1
26
    i=$(( i + 1 ))
27
  done
28
  return 1
29
}
30

31
start() {
32
  ebegin "Starting hotspot"
33

34
  # USB 网卡由 udev 异步注册，开机时未必已经就绪，所以轮询等待（上限 15 秒）
35
  local i=0
36
  while [ "$i" -lt 150 ]; do
37
    ip link show "$IFACE" >/dev/null 2>&1 && break
38
    sleep 0.1
39
    i=$(( i + 1 ))
40
  done
41
  if ! ip link show "$IFACE" >/dev/null 2>&1; then
42
    eerror "接口 $IFACE 在 15 秒内未出现，热点无法启动"
43
    return 1
44
  fi
45

46
  ip link set "$IFACE" up
47
  ip addr add "$GATEWAY/24" dev "$IFACE" 2>/dev/null
48

49
  # --- dnsmasq ---
50
  dnsmasq --conf-file=/etc/dnsmasq.d/hotspot.conf --pid-file="$DNSMASQ_PID"
51
  if ! _wait_pidfile "$DNSMASQ_PID" 5; then
52
    eerror "dnsmasq 启动失败或未在 5 秒内就绪"
53
    return 1
54
  fi
55

56
  # --- hostapd ---
57
  hostapd -B -P "$HOSTAPD_PID" /etc/hostapd/hostapd_2g.conf
58
  if ! _wait_pidfile "$HOSTAPD_PID" 10; then
59
    ewarn "hostapd 未在 10 秒内就绪（可能需要更久初始化射频），但它已在后台运行"
60
  fi
61

62
  eend 0
63
}
64

65
stop() {
66
  ebegin "Stopping hotspot"
67
  pkill -f "hostapd.*hostapd_2g.conf" 2>/dev/null || true
68
  pkill -f "dnsmasq.*hotspot.conf" 2>/dev/null || true
69
  rm -f "$HOSTAPD_PID" "$DNSMASQ_PID" 2>/dev/null || true
70
  ip addr del "$GATEWAY/24" dev "$IFACE" 2>/dev/null || true
71
  eend 0
72
}

启用服务#

1
sudo chmod +x /etc/init.d/hotspot
2
sudo rc-update add hotspot default
3
sudo rc-service hotspot start

hotspot 是 rc_need="net"，等网络就绪才会启动。

如果你是用 nftables 管理 NAT，还要把它加进开机流程，做法见前面 NAT 那节。

用 systemd 的发行版则需把上面的 start/stop 写成 service unit。别的 OpenRC 发行版思路相同，但网络服务名和配置路径未必一致——本文的 rc_need="net" 依赖 Gentoo netifrc 提供的 net 虚拟服务，Alpine 上对应的服务叫 networking，照抄前先确认。

无线接口被占用#

如果这块网卡之前当客户端用过，net.wlan0 服务或 wpa_supplicant 进程可能还握着它。此时 hostapd 会报 nl80211: Interface wlan0 is in use 这样的错误。先确认：

1
rc-service net.wlan0 status
2
pgrep -a wpa_supplicant

如果有就停掉，再重启热点：

1
sudo rc-service net.wlan0 stop
2
sudo pkill wpa_supplicant
3
sudo rc-service hotspot restart

网卡被 rfkill 软阻塞#

rfkill list 里 Soft blocked: yes 时 hostapd 也起不来：

1
rfkill list
2
sudo rfkill unblock wlan

如果看到的是 Hard blocked: yes，那是机身上的物理开关或 BIOS 关掉了无线，软件解不开，得先去把开关打开。

dhcpcd 抢占地址#

dhcpcd 可能会在这块网卡上尝试 DHCP，失败后留下一个 169.254.x.x 的地址和 /16 路由。因此需要在 /etc/dhcpcd.conf 里加一行：

1
denyinterfaces wlan0

然后重启 dhcpcd，注意要加 --nodeps。dhcpcd 被 hotspot、libvirtd、tailscale 的服务引用，普通 rc-service dhcpcd restart 会让 OpenRC 先把这些依赖服务停掉，却不会自动拉起来，结果是热点、tailscale、虚拟机一起掉线，wlan0 上的 192.168.42.1/24 也会消失。

1
sudo rc-service dhcpcd --nodeps restart
2
ip -4 addr show wlan0     # 确认没有 169.254.x.x 残留

如果之前已经产生过 169.254.x.x，denyinterfaces 不会自动删掉它，只能手动清理：

1
sudo ip addr del 169.254.x.x/16 dev wlan0