Il-firewall tal-hotspot tiegħek jimblokka DHCP qabel il-kera

Telefon ġdid jingħaqad mal-hotspot tiegħek, ma jurix indirizz u qatt ma jiksbu. Il-punt ta' aċċess huwa tajjeb, id-daemon DHCP qed jaħdem, u r-regola tal-firewall li ktibt tidher konsistenti mal-pjan tal-indirizzi. Fil-verità dak li tagħmel huwa li titlob li l-klijent diġà jkollu l-indirizz li qed jitlob. L-ewwel pakkett DHCP m'għandux indirizz xejn, għalhekk ir-regola qatt ma tiskatta.

Ara kif jingħaqad klijent

Segwi assoċjazzjoni waħda min-naħa tal-klijent. Ir-radju jassoċja, il-klijent jibgħat skoperta DHCP, is-server joffri, il-klijent jitlob, is-server jikkonferma, u biss imbagħad il-klijent ikollu indirizz li jista' jintuża għal xi ħaġa oħra.

Kollox qabel dik il-konferma finali jiġri waqt li l-klijent ma jistax juża l-gateway għat-traffiku ordinarju. Dik hija t-tieqa li r-regola tas-subnet tinsa.

X'fih verament l-ewwel pakkett

RFC 2131 jispeċifika li x-xandiriet DHCP ta' klijent qabel ma jikseb indirizz jużaw indirizz tas-sors żero. Il-messaġġi mill-klijent għas-server imorru għall-port UDP 67, u dawk mis-server għall-klijent għall-port UDP 68. Għalhekk l-iskoperta tasal b'0.0.0.0 bħala sors, u regola li teħtieġ sors ġewwa s-subnet tal-klijent tiegħek sempliċement ma taqbilx magħha.

Din mhix konfigurazzjoni ħażina min-naħa tal-klijent. Dan il-protokoll qed jaħdem kif inhu mfassal, fl-unika tieqa fejn jista'.

Liema mogħdija tassew tittrattaha

Jekk il-punt ta' aċċess innifsu jipprovdi l-kiri, din hija konverżazzjoni ta' servizz lokali, u f'mogħdija lokali ffiltrata bl-IP tikkonċerna l-politika tal-input u tal-output. It-traffiku tal-klijent imqassam mill-VPN hija deċiżjoni oħra, u n-NAT għal dak it-traffiku huwa differenti wkoll. Li tħallat it-tlieta huwa kif eċċezzjoni dejqa ssir wiesgħa.

Fejn jiġi ttrattat il-pakkett jiddependi mid-daemon u mill-familja tal-firewall li tintuża. L-implimentazzjonijiet ta' socket mhux maħdum, l-arranġamenti tal-pont u l-ganċijiet tal-filtrazzjoni preċedenti jistgħu jċaqalquh jew jimblukkawh x'imkien ieħor għal kollox. Ikkonferma t-twaħħil tal-interface tad-daemon u l-ganċijiet attivi qabel ma żżid regoli.

Riċetta ġenerali tal-input u tal-output ikkupjata minn forum mhix prova li l-implimentazzjoni tiegħek tgħaddi minn dawk il-ktajjen bl-istess mod.

It-tweġiba mhix dejjem xandira

Eċċezzjoni li tippermetti biss tweġibiet ta' xandira hija wkoll ħażina. Id-destinazzjoni tat-tweġiba DHCP tiddependi mill-istat tal-klijent u mill-oqsma tal-messaġġ, u l-protokoll jispeċifika kemm il-każ tax-xandira kif ukoll dak tal-unicast. Jekk is-server tiegħek iwieġeb bl-unicast għal indirizz li se jassenja, regola tax-xandira biss timblokka l-pass li jtemm ix-xogħol. Ikteb ir-regola skont l-iskambju li s-server konfigurat fil-fatt iwettaq.

Tiġdid tal-kera aktar tard jerġa' jagħmel l-iskambju fi stat differenti, għalhekk ħalli spazju għalihom u mhux biss għall-ewwel konnessjoni.

Sewwi b'mod dejjaq, imbagħad iċċekkja l-bqija

Żomm il-politika eżistenti, sib il-permess DHCP nieqes u illimita lilha għall-interface li tħares lejn il-klijent, il-protokoll u ż-żewġ ports. Ipprova li t-talba tasal għas-servizz, imbagħad ipprova li s-servizz iwieġeb. Dawn huma żewġ osservazzjonijiet differenti, u l-konfigurazzjoni tas-servizz jew tal-pool xorta tista' tkun ħażina wara filtrazzjoni perfetta.

L-ibbrejjar ta' tabella mhuwiex pass tal-konfigurazzjoni DHCP. F'iptables flush iħassar regoli mill-ktajjen jew mit-tabella magħżula, u l-ibbrejjar tat-tabella NAT ma joħloqx regola ta' traduzzjoni. L-iffissar ta' politiki ACCEPT wesgħin ineħħi protezzjoni li mhix marbuta mal-kiri, u għalhekk l-ebda waħda minnhom ma tappartjeni f'tiswija tal-hotspot li tista' terġa' tintuża.

Ladarba l-klijent ikollu l-kera, iċċekkja DNS, il-ġarr 'il quddiem u l-ħruġ tal-VPN bħala kompiti separati. Il-kera tistabbilixxi l-indirizzar lokali u xejn aktar.