Dotaz: iptables, shorewall a wifi

[Standazx]

Mám dotaz ohledně iptables, shorewallu a wifi. Zajímalo by mě jaký je vztah mezi nimi. Zkoušel jsem konfigurovat ip tables a asi mi něco uniká (o konfiguraci iptables jsem četl na root.cz).

jde mi o toto: Pokud jako první pravidlo do řetězců INPUT a OUTPUT dám DROP (iptables -I INPUT 1 -j DROP, iptables -I OUTPUT 1 -j DROP), např. Firefox se chová podle očekávání, ale dhcp klient i přesto získá IP adresu, přestože by mezi routerem a počítačem nemělo být spojení.

Znamená to, že dhcp obchází iptables?

Odpovědi

[Standazx]

Omlouvám se za nepřesnost ... samozřejmě router v sobě obsahuje dhcp server.

[kozzi]

Pozor, nejsem si jistej, ale dhcp nebezi na portu ale pocitac s tim routrem kominukuje pomoci ARP, takze zde firewall nema asi zadnej vyznam.

[thefox]

DHCP funguje nad protokolom UDP na portoch 67 (klient -> server) a 68 (server -> klient), teda pravidlá firewallu by na toto mali zabrať. Prečo tomu tak nie je, budú ale musieť doplniť znalejší.

[Standazx]

Jediné, co mě napadá, že u wiFi to tak úplně neplatí

[Jiří J.]

Jak jste testoval situaci, kdy udajný příchozí packet prošel firewallem? Zkuste pro jistotu tcpdump...

[Standazx]

Prostě jsem jako první pravidlo iptables v řetězcích INPUT a OUTPUT dal DROP.

[Standazx]

Prostě jsem jako první pravidlo iptables v řetězcích INPUT a OUTPUT dal DROP. Pokud předpokládám dobře, toto by mělo zastavit veškerou komunikaci. I přesto WiFi získalo IP adresu.

[pavel]

Nekonfiguruj iptables, na to máš ten Shorewall, který ti je nakonfiguruje. Podívej se do /etc/shorewall/policy, /etc/shorewall/rules a do/etc/shorewall/interfaces.

[Jiří J.]

Firefox se chová podle očekávání, ale dhcp klient i přesto získá IP adresu, přestože by mezi routerem a počítačem nemělo být spojení. Znamená to, že dhcp obchází iptables?

...

I přesto WiFi získalo IP adresu.

Nešlo o to, co jste nastavil, ale zda packety procházejí, není na "zafirewallovaném" stroji nějaká DNS cache?
Pokud je v té wifi síti použita rodina protokolů TCP/IP, pak je úplně jedno, zda je to kabelový ethernet, wifi nebo družicový spoj (z hlediska layer-3 firewallu)..

[Standazx]

Na existenci něčeho jako DNS cache jsem myslel taky, nicméně když po změně rozsahu přidělovaných adres na DHCP serveru WiFi získala opět správnou adresu, tak jsem toto vyloučil.

[macrek]

asi by bolo vhodne keby si poslal vystup z toho firewallu:

iptables -nvL