Däi Hotspot-Firewall blockéiert DHCP virum Bail

En neien Telefon verbënnt sech mat dengem Hotspot, weist keng Adress a kritt ni eng. Den Access Point ass a menger, den DHCP-Daemon leeft, an d'Firewall-Regel, déi s de geschriwwen hues, gesäit mat dem Adressplang konform aus. Wat se awer tatsächlech mécht, ass ze verlaangen, datt de Client déi Adress, déi en ufreet, schonn huet. Den éischten DHCP-Pak huet guer keng Adress, sou datt d'Regel ni gräift.

Kuck wéi e Client sech verbënnt

Verfolleg eng Associatioun vun der Clientsäit. D'Radio associéiert, de Client schéckt eng DHCP-Entdeckung, de Server bitt un, de Client freet, de Server bestätegt, an eréischt dann huet de Client eng Adress, déi fir eppes anescht ze gebrauchen ass.

Alles virun där definitiver Bestätegung geschitt, während de Client de Gateway net fir normalen Trafic ka gebrauchen. Dat ass dat Fënster, dat d'Subnet-Regel vergësst.

Wat den éischte Pak tatsächlech enthält

RFC 2131 läit fest, datt DHCP-Broadcasts vun engem Client virum Erhale vun enger Adress eng Quelladress vun Null benotzen. Message vum Client zum Server ginn op UDP-Port 67, a vum Server zum Client op UDP-Port 68. D'Entdeckung kënnt also mat 0.0.0.0 als Quell, an eng Regel, déi eng Quell bannent dengem Client-Subnet verlaangt, passt einfach net dozou.

Dat ass keng falsch Konfiguratioun vum Client. Dat ass de Protokoll, dee sou funktionéiert wéi en entwéckelt gouf, an deem eenzegen Fënster, wou en dat kann.

Wee Wee behandelt et tatsächlech

Wann den Access Point selwer Bails vergëtt, ass dat e lokale Service-Gespräch, an op engem IP-gefiltete lokale Wee geet et ëm d'Politik fir Input an Output. Client-Trafic, deen duerch d'VPN weidergereekt gëtt, ass eng aner Entscheedung, an NAT fir deen Trafic ass nach eng aner. Dës dräi ze vermëschen ass de Wee, wéi aus enger enker Ausnam eng breet gëtt.

Wou de Pak behandelt gëtt, hänkt vum Daemon an der Firewall-Famill of, déi benotzt gëtt. Raw-Socket-Implementatiounen, Bréckenaanordnungen a fréier Filterhaken kënnen en ganz an aner Plaz verréckelen oder blockéieren. Bestäteg d'Interface-Bindung vum Daemon an d'aktiv Haken, ier s du Regelen derbäisetz.

Eng allgemeng Rezept fir Input an Output, déi aus engem Forum kopéiert gouf, ass kee Beweis, datt deng Implementatioun déi Ketten op déi selwecht Manéier duerchgeet.

D'Äntwert ass net ëmmer e Broadcast

Eng Ausnam, déi nëmme Broadcast-Äntwerten erlaabt, ass och falsch. D'Zil vun der DHCP-Äntwert hänkt vum Zoustand vum Client an de Felder vum Message of, an de Protokoll definéiert souwuel de Broadcast- wéi och de Unicast-Fall. Wann däi Server per Unicast un eng Adress äntwert, déi en just wëll verginn, blockéiert eng Regel just fir Broadcast de Schrëtt, deen d'Aarbecht fäerdeg mécht. Schréif d'Regel no dem Austausch, deen de konfiguréierte Server tatsächlech mécht.

Méi spéit Verlängerunge vum Bail widderhuelen den Austausch an engem aneren Zoustand, also loosst hinnen Plaz a net nëmmen der éischter Verbindung.

Fleeg enk, a kuck duerno de Rescht

Behalech déi bestehend Politik, fann déi feelend DHCP-Erlaabnes a beschränk se op d'Interface zum Client, de Protokoll an déi zwee Porten. Beweist, datt d'Ufro de Service erreecht, a beweist duerno, datt de Service äntwert. Dat sinn zwou verschidden Observatiounen, a Service- oder Pool-Konfiguratioun ka nach perfekter Filterung nach ëmmer falsch sinn.

En Table ze leeren ass kee DHCP-Konfiguratiounsschrëtt. An iptables läscht flush Regelen aus der gewielter Kette oder dem Table, an d'NAT-Tabell ze leeren erstellt keng Iwwersetzungsregel. Breet ACCEPT-Politiken ewech huelen Schutz, deen näischt mam Bail ze dinn huet, dofir gehéiert keng vun den zwou an eng wiederverwendbar Hotspot-Reparatur.

Soubal de Client e Bail huet, kontrolléier DNS, Viruleedung a VPN-Ausgang als getrennt Aufgaben. E Bail setzt lokal Adresséierung a soss näischt.