Hinaharang ng firewall ng hotspot mo ang DHCP bago ang lease

May bagong telepono na kumokonekta sa hotspot mo, walang ipinapakitang address at hindi ito nakakakuha kailanman. Maayos ang access point, tumatakbo ang DHCP daemon, at ang firewall rule na isinulat mo ay mukhang tugma sa plano ng address. Ang totoong ginagawa nito ay hinihiling na taglay na ng kliyente ang address na hinihiling nito. Walang address ang unang DHCP packet, kaya hindi kailanman gumagana ang patakaran.

Panoorin ang isang kliyenteng kumokonekta

Sundan ang isang asosasyon mula sa panig ng kliyente. Nag-aasosasyon ang radyo, nagpapadala ang kliyente ng DHCP discovery, nag-aalok ang server, humihiling ang kliyente, nagkukumpirma ang server, at pagkatapos lamang nito nagkakaroon ang kliyente ng address na magagamit para sa iba pa.

Lahat ng bago ang huling kumpirmasyong iyon ay nangyayari habang hindi magamit ng kliyente ang gateway para sa ordinaryong trapiko. Iyon ang window na nakakalimutan ng patakaran ng subnet.

Ano ba talaga ang laman ng unang packet

Itinatakda ng RFC 2131 na ang DHCP broadcast ng kliyente bago ito makakuha ng address ay gumagamit ng source address na sero. Ang mga mensahe mula sa kliyente patungo sa server ay pumupunta sa UDP port 67, at mula sa server patungo sa kliyente sa UDP port 68. Kaya dumarating ang discovery na may 0.0.0.0 bilang source, at ang patakarang nangangailangan ng source sa loob ng subnet ng kliyente mo ay talagang hindi tumutugma dito.

Hindi ito maling configuration sa panig ng kliyente. Ito ang protocol na gumagana ayon sa disenyo, sa nag-iisang window kung saan kaya nito.

Aling landas ang talagang humahawak nito

Kung ang access point mismo ang nagbibigay ng lease, ito ay usapan ng lokal na serbisyo, at sa lokal na landas na sinasala ng IP, tungkol ito sa patakaran ng input at output. Ang naipapasang trapiko ng kliyente sa VPN ay ibang desisyon, at ang NAT para sa trapikong iyon ay iba na naman. Ang paghahalo ng tatlong ito ang dahilan kung bakit nagiging malawak ang makitid na eksepsiyon.

Depende sa daemon at sa pamilya ng firewall na ginagamit kung saan hinahawakan ang packet. Maaaring ilipat o harangin ito ng mga raw socket implementation, bridge setup at naunang filtering hook sa ganap na ibang lugar. Tiyakin ang interface binding ng daemon at ang mga aktibong hook bago magdagdag ng mga patakaran.

Ang pangkalahatang recipe ng input at output na kinopya mula sa forum ay hindi patunay na dumadaan ang implementasyon mo sa mga chain na iyon sa parehong paraan.

Hindi laging broadcast ang sagot

Mali rin ang eksepsiyong pinapayagan lamang ang mga broadcast na sagot. Depende sa estado ng kliyente at sa mga field ng mensahe ang destinasyon ng DHCP na sagot, at tinutukoy ng protocol ang parehong broadcast at unicast na kaso. Kung ang server mo ay sumasagot nang unicast sa isang address na ipapamigay pa lang, hinaharangan ng patakarang broadcast lamang ang hakbang na tumatapos sa gawain. Isulat ang patakaran ayon sa palitan na talagang ginagawa ng naka-configure na server.

Inuulit ng mga susunod na renewal ng lease ang palitan sa ibang estado, kaya bigyan sila ng espasyo at hindi lamang ang unang koneksiyon.

Ayusin nang makitid, pagkatapos suriin ang iba

Panatilihin ang umiiral na patakaran, hanapin ang nawawalang pahintulot sa DHCP at limitahan ito sa interface na nakaharap sa kliyente, sa protocol at sa dalawang port. Patunayan na nakakarating ang kahilingan sa serbisyo, pagkatapos patunayan na sumasagot ang serbisyo. Dalawang magkaibang obserbasyon iyon, at ang configuration ng serbisyo o pool ay maaari pa ring mali sa likod ng perpektong filtering.

Ang pag-flush ng table ay hindi hakbang sa configuration ng DHCP. Sa iptables, tinatanggal ng flush ang mga patakaran mula sa piniling chain o table, at ang pag-flush ng NAT table ay hindi gumagawa ng translation rule. Ang paglalagay ng malalawak na ACCEPT policy ay nag-aalis ng proteksiyong walang kaugnayan sa lease, kaya wala sa dalawa ang nababagay sa magagamit muli na pag-aayos ng hotspot.

Kapag may lease na ang kliyente, suriin ang DNS, forwarding at VPN egress bilang magkakahiwalay na gawain. Ang lease ay nagtatatag ng lokal na addressing at wala nang iba.