OpenVPN Bridge dhcp-requests blokkeren

[sab]

Ik heb samen met een vriend een OpenVPN bridge opgezet zodat we fijn elkaars fileshares kunnen benaderen en lan-games kunnen spelen.
Alles gaat vrolijk en wel maar er is alleen 1 probleempje. Mijn dhcp daemon loopt ook ip's, en belangrijker Gateways uit te delen aan de pc's aan zijn kant.
Dit geeft het effect dat de clients aan zijn kant het internet opduiken via Mijn gateway.
Ik heb dit momenteel opgelost door voor alle bekende mac-adressen aan zijn kant in mijn dhcpd.conf een andere gateway op te geven, maar mooi is anders.

Ik had ook al een poging gedaan met iptables (driedubbelop, ik weet het), maar dat heeft geen effect.

code:

iptables -I FORWARD -p tcp --sport 67 -o tap0 -j DROP
iptables -I FORWARD -p udp --sport 67 -o tap0 -j DROP
iptables -I OUTPUT -p tcp --sport 67 -o tap0 -j DROP
iptables -I OUTPUT -p udp --sport 67 -o tap0 -j DROP
iptables -I INPUT -p tcp --dport 67 -i tap0 -j DROP
iptables -I INPUT -p udp --dport 67 -i tap0 -j DROP

Aangezien de firewall verder niks doet zijn dit de enige regels, default policy staat dan ook op accept.

We draaien allebei Debian Testing en de bridge wordt alsvolgt via /etc/network/interfaces opgezet:

code:

auto br0
iface br0 inet static
        address 192.168.42.1
        netmask 255.255.255.0
        gateway 192.168.42.32
        pre-up /usr/sbin/openvpn --mktun --dev tap0
        pre-up /sbin/ip link set tap0 up
        pre-up /sbin/ip link set eth0 up
        pre-up /usr/sbin/brctl addbr br0
        pre-up /usr/sbin/brctl addif br0 eth0
        pre-up /usr/sbin/brctl addif br0 tap0
        post-down /usr/sbin/brctl delif br0 eth0
        post-down /usr/sbin/brctl delif br0 tap0
        post-down /usr/sbin/brctl delbr br0
        post-down /usr/sbin/openvpn --rmtun --dev tap0

Het liefst zou ik dit dus oplossen met een firewall, omdat ik ook een aantal clients aan mijn kant wil verbieden om verbinding te maken met clients aan zijn kant.
Suggesties, anyone?

[Baxlash]

Ik heb zelf ervaring met Tinc om lan-to-lan verbindingen op te zetten. Hierbij hadden ik het zelfde probleem als jij nu omschrijft, en is opgelost door wat configuratie opties van Tincd.

Ik denk dat het punt is dat de data die de dhcp deamon verstuurt al voor de firewall opgepakt wordt, opnieuw ingepakt wordt in een VPN packet, en naar de andere kant wordt gestuurd. Je firewall ziet daardoor niets meer dan een vpn verbinding, en niet specifiek welke poorten er in verpakt zitten.

[sab]

Subtiel schopje