dhcp request op lokale machine

[Blokker_1999]

We waren gisterenavond in de klas bezig met het opzetten van een dhcp server en dat wilde niet onmiddelijk lukken. Na heel wat zoekwerk kwamen we er achter dat de server niet goed geïnstalleerd was en na herinstallatie kregen we deze eindelijk aan de gang.

Maar dan wil je die natuurlijk ook testen. De dhcp server was geïnstalleerd op een Debian 8 machine die in het netwerk geïsoleerd stond (om geen hindernis te zijn voor anderen hun computers) en ik had het lumineuze idee om in eerste instantie na te gaan of er een antwoord kwam met het tooltje dhcping. Wat we ook probeerden, er kwam nooit een antwoord van de server ook al gaven we aan de -s parameter het externe ip van de machine op.

Nu herinner ik mij dat ik vorig jaar al had gemerkt dat de dhcp server een speciaal geval is als het op de interactie met het netwerk aankomt. Zo is het bijv. niet mogelijk om het verkeer van/naar een dhcp server af te blokken met de iptables firewall op diezelfde server omdat de server luistert naar broadcasts voor de ipfilter (aangezien je een ip adres vraagt valt er moeilijk iets te doen op IP niveau).

Ik vermoed dan ook dat dit dezelfde reden is waarom dhcping geen antwoord kreeg van de dhcpd. Het pakket dat de vraag stelde daalde niet ver genoeg af in de netwerk stack om bij de dhcpd uit te komen. Iemand die dit kan bevestigen of een andere, betere theorie heeft?

[spone]

Zo is het bijv. niet mogelijk om het verkeer van/naar een dhcp server af te blokken met de iptables firewall op diezelfde server omdat de server luistert naar broadcasts voor de ipfilter (aangezien je een ip adres vraagt valt er moeilijk iets te doen op IP niveau).

DHCP gaat gewoon naar het broadcast IP adres 255.255.255.255, icm poort 67 en 68. Lijkt me prima te filteren

[Blokker_1999]

Toen ik vorig jaar een DHCPd op CentOS had opgezet moest ik deze niet doorlaten in de firewall, ondanks dat de firewall alles blokkeerd gingen de dhcp requests er gewoon door. Zie ook de laatste post hier: https://www.centos.org/forums/viewtopic.php?t=8728

[spone]

Hmm, interessant. Hoe ik het zo kan bedenken zou het volgende effectief moeten zijn:

code:

iptables -A INPUT -i <interface> -dport 67:68 -sport 67:68 -j DROP

Eventueel zou je daarvoor nog eerder een regel kunnen maken die -m mac <macadres> gebruikt om de boel expliciet voor bepaalde mac adressen toe te staan.

[Brahiewahiewa]

Blokker_1999 schreef op zaterdag 17 oktober 2015 @ 13:00:
... andere, betere theorie heeft?

Heb je op de dhcp-server wel de firewall geconfigureerd?
Als die dichtstaat komt er niks uit, natuurlijk