Hotspot xavfsizlik devori DHCP ni ijaradan oldin bloklaydi

Yangi telefon hotspotingizga ulanadi, hech qanday manzil ko'rsatmaydi va hech qachon olmaydi. Kirish nuqtasi yaxshi, DHCP dasturi ishlayapti va siz yozgan xavfsizlik devori qoidasi manzillar rejasiga mos ko'rinadi. Lekin u aslida mijoz o'zi so'rayotgan manzilga allaqachon ega bo'lishini talab qiladi. Birinchi DHCP paketida umuman manzil yo'q, shuning uchun qoida hech qachon ishlamaydi.

Mijozning ulanishini kuzating

Bitta assotsiatsiyani mijoz tomondan kuzatib boring. Radio ulanadi, mijoz DHCP qidiruvini yuboradi, server taklif qiladi, mijoz so'raydi, server tasdiqlaydi va shundan keyingina mijozda boshqa narsa uchun yaroqli manzil bo'ladi.

O'sha yakuniy tasdiqdan oldingi hamma narsa mijoz shlyuzdan oddiy trafik uchun foydalana olmayotganda sodir bo'ladi. Quyi tarmoq qoidasi unutadigan oyna aynan shu.

Birinchi paketda aslida nima bor

RFC 2131 mijozning manzil olishdan oldingi DHCP translyatsiyalari nol manba manzilidan foydalanishini belgilaydi. Mijozdan serverga xabarlar UDP 67 portiga, serverdan mijozga xabarlar UDP 68 portiga ketadi. Shuning uchun qidiruv 0.0.0.0 manba bilan keladi va mijoz quyi tarmog'ingiz ichida manba talab qiluvchi qoida unga shunchaki mos kelmaydi.

Bu mijoz tomonidagi noto'g'ri sozlama emas. Bu protokolning loyihalashtirilganidek ishlashi, buni qila oladigan yagona oynada.

Buni aslida qaysi yo'l hal qiladi

Agar kirish nuqtasi o'zi ijara bersa, bu mahalliy xizmat suhbati va IP bo'yicha filtrlangan mahalliy yo'lda bu kirish va chiqish siyosatiga tegishli. VPN orqali uzatiladigan mijoz trafigi boshqa qaror, va bu trafik uchun NAT yana boshqacha. Bu uchtasini aralashtirish tor istisnoni keng istisnoga aylantirish yo'lidir.

Paket qayerda hal qilinishi dastur va ishlatilayotgan xavfsizlik devori oilasiga bog'liq. Xom soket ilovalari, ko'prik tuzilmalari va oldingi filtrlash ilgaklari uni butunlay boshqa joyga ko'chirishi yoki to'sishi mumkin. Qoidalar qo'shishdan oldin dasturning interfeys bog'lanishini va faol ilgaklarni tasdiqlang.

Forumdan ko'chirilgan umumiy kirish va chiqish retsepti sizning ilovangiz o'sha zanjirlardan xuddi shunday o'tishiga dalil emas.

Javob har doim translyatsiya bo'lavermaydi

Faqat translyatsiya javoblariga ruxsat beruvchi istisno ham noto'g'ri. DHCP javobining manzili mijoz holati va xabar maydonlariga bog'liq, protokol esa ham translyatsiya, ham bitta manzilli holatni belgilaydi. Agar serveringiz bermoqchi bo'lgan manzilga bitta manzilli javob bersa, faqat translyatsiyaga mo'ljallangan qoida ishni tugatuvchi qadamni to'sadi. Qoidani sozlangan server aslida bajaradigan almashinuvga moslab yozing.

Keyingi ijara yangilanishlari almashinuvni boshqa holatda takrorlaydi, shuning uchun faqat birinchi ulanishga emas, ularga ham joy qoldiring.

Tor doirada tuzating, so'ng qolganini tekshiring

Mavjud siyosatni saqlang, yetishmayotgan DHCP ruxsatini toping va uni mijozga qaragan interfeys, protokol va ikki port bilan cheklang. So'rov xizmatga yetib borishini isbotlang, so'ng xizmat javob berishini isbotlang. Bular ikki xil kuzatuv va xizmat yoki manzillar hovuzi sozlamasi mukammal filtrlash ortida ham noto'g'ri bo'lishi mumkin.

Jadvalni tozalash DHCP sozlash bosqichi emas. iptables da flush tanlangan zanjir yoki jadvaldan qoidalarni o'chiradi, NAT jadvalini tozalash esa tarjima qoidasini yaratmaydi. Keng ACCEPT siyosatlarini o'rnatish ijaraga aloqasi bo'lmagan himoyani olib tashlaydi, shuning uchun ikkalasi ham qayta ishlatiladigan hotspot tuzatishiga tegishli emas.

Mijoz ijaraga ega bo'lgach, DNS, yo'naltirish va VPN chiqishini alohida vazifalar sifatida tekshiring. Ijara faqat mahalliy manzillashni o'rnatadi, undan boshqa narsa emas.