Το τείχος προστασίας του hotspot μπλοκάρει το DHCP πριν από τη μίσθωση

Ένα νέο τηλέφωνο συνδέεται στο hotspot σας, δεν εμφανίζει καμία διεύθυνση και ποτέ δεν αποκτά. Το σημείο πρόσβασης είναι εντάξει, ο δαίμονας DHCP εκτελείται και ο κανόνας τείχους προστασίας που γράψατε φαίνεται συνεπής με το σχέδιο διευθύνσεων. Αυτό που κάνει στην πραγματικότητα είναι να απαιτεί ο πελάτης να κατέχει ήδη τη διεύθυνση που ζητά. Το πρώτο πακέτο DHCP δεν έχει καθόλου διεύθυνση, οπότε ο κανόνας δεν ενεργοποιείται ποτέ.

Παρακολουθήστε έναν πελάτη να συνδέεται

Ακολουθήστε έναν συσχετισμό από την πλευρά του πελάτη. Το ραδιόφωνο συσχετίζεται, ο πελάτης στέλνει ανακάλυψη DHCP, ο διακομιστής προσφέρει, ο πελάτης ζητά, ο διακομιστής επιβεβαιώνει, και μόνο τότε ο πελάτης έχει διεύθυνση χρησιμοποιήσιμη για οτιδήποτε άλλο.

Όλα πριν από την τελική επιβεβαίωση συμβαίνουν όσο ο πελάτης δεν μπορεί να χρησιμοποιήσει την πύλη για συνηθισμένη κίνηση. Αυτό είναι το παράθυρο που ξεχνά ο κανόνας υποδικτύου.

Τι περιέχει πραγματικά το πρώτο πακέτο

Το RFC 2131 ορίζει ότι οι εκπομπές DHCP ενός πελάτη πριν αποκτήσει διεύθυνση χρησιμοποιούν διεύθυνση προέλευσης μηδέν. Τα μηνύματα από πελάτη προς διακομιστή πηγαίνουν στη θύρα UDP 67 και από διακομιστή προς πελάτη στη θύρα UDP 68. Η ανακάλυψη φτάνει επομένως με το 0.0.0.0 ως προέλευση, και ένας κανόνας που απαιτεί προέλευση μέσα στο υποδίκτυο πελάτη σας απλώς δεν ταιριάζει.

Αυτό δεν είναι λάθος διαμόρφωση από την πλευρά του πελάτη. Είναι το πρωτόκολλο να λειτουργεί όπως σχεδιάστηκε, στο μόνο παράθυρο όπου μπορεί.

Ποια διαδρομή το χειρίζεται πραγματικά

Αν το ίδιο το σημείο πρόσβασης παρέχει μισθώσεις, πρόκειται για τοπική συνομιλία υπηρεσίας, και σε τοπική διαδρομή φιλτραρισμένη κατά IP αφορά πολιτική εισόδου και εξόδου. Η προωθημένη κίνηση πελάτη μέσω VPN είναι άλλη απόφαση, και το NAT γι’ αυτή την κίνηση είναι πάλι διαφορετικό. Το να συγχέονται τα τρία είναι ο τρόπος με τον οποίο μια στενή εξαίρεση γίνεται ευρεία.

Το πού χειρίζεται το πακέτο εξαρτάται από τον δαίμονα και την οικογένεια τείχους προστασίας που χρησιμοποιείται. Υλοποιήσεις με ακατέργαστα socket, διατάξεις γέφυρας και παλαιότερα άγκιστρα φιλτραρίσματος μπορούν να το μετακινήσουν ή να το μπλοκάρουν εντελώς αλλού. Επιβεβαιώστε τη δέσμευση διεπαφής του δαίμονα και τα ενεργά άγκιστρα πριν προσθέσετε κανόνες.

Μια γενική συνταγή εισόδου/εξόδου αντιγραμμένη από φόρουμ δεν είναι απόδειξη ότι η υλοποίησή σας διασχίζει αυτές τις αλυσίδες με τον ίδιο τρόπο.

Η απάντηση δεν είναι πάντα εκπομπή

Μια εξαίρεση που επιτρέπει μόνο απαντήσεις εκπομπής είναι επίσης λάθος. Ο προορισμός της απάντησης DHCP εξαρτάται από την κατάσταση του πελάτη και τα πεδία του μηνύματος, και το πρωτόκολλο ορίζει και την περίπτωση εκπομπής και την περίπτωση μονοεκπομπής. Αν ο διακομιστής σας απαντά με μονοεκπομπή σε διεύθυνση που πρόκειται να εκχωρήσει, ένας κανόνας μόνο για εκπομπή μπλοκάρει το βήμα που ολοκληρώνει τη δουλειά. Γράψτε τον κανόνα με βάση την ανταλλαγή που εκτελεί πραγματικά ο διαμορφωμένος διακομιστής.

Οι μεταγενέστερες ανανεώσεις μίσθωσης επαναλαμβάνουν την ανταλλαγή σε άλλη κατάσταση, οπότε αφήστε χώρο γι’ αυτές και όχι μόνο για την πρώτη σύνδεση.

Διορθώστε στενά και μετά ελέγξτε τα υπόλοιπα

Διατηρήστε την υπάρχουσα πολιτική, βρείτε την παραχώρηση DHCP που λείπει και περιορίστε την στη διεπαφή προς τον πελάτη, στο πρωτόκολλο και στις δύο θύρες. Αποδείξτε ότι το αίτημα φτάνει στην υπηρεσία και μετά αποδείξτε ότι η υπηρεσία απαντά. Πρόκειται για δύο διαφορετικές παρατηρήσεις, και η διαμόρφωση της υπηρεσίας ή της δεξαμενής μπορεί να είναι ακόμη λανθασμένη πίσω από τέλειο φιλτράρισμα.

Το άδειασμα ενός πίνακα δεν είναι βήμα διαμόρφωσης DHCP. Στο iptables το flush διαγράφει κανόνες από την επιλεγμένη αλυσίδα ή τον πίνακα, και το άδειασμα του πίνακα NAT δεν δημιουργεί κανόνα μετάφρασης. Ο καθορισμός ευρέων πολιτικών ACCEPT αφαιρεί προστασία άσχετη με τη μίσθωση, γι’ αυτό κανένα από τα δύο δεν ανήκει σε μια επαναχρησιμοποιήσιμη διόρθωση hotspot.

Μόλις ο πελάτης έχει μίσθωση, ελέγξτε DNS, προώθηση και έξοδο VPN ως ξεχωριστές εργασίες. Η μίσθωση καθιερώνει τοπική διευθυνσιοδότηση και τίποτα παραπέρα.