Isolamento de cliente no Ubuntu com hostapd

Question

Criamos um ponto de acesso Wi-Fi ou um ponto de acesso sem fio usando hostapd no Ubuntu. Como podemos isolar os clientes do mesmo modo que o "Client Isolation" faz em alguns pontos de acesso? Existe alguma maneira de combinar iptables com hostapd para aplicar algumas regras de firewall entre clientes wifi?

    

Answer 1

Crie uma regra iptables na entrada e na saída que permita que o intervalo de endereços de origem converse com o roteador / gateway padrão, regras adicionais para quaisquer servidores ou outros recursos nessa sub-rede.

Crie uma regra final que elimine os pacotes entre o intervalo de endereços de origem e o intervalo de endereços de origem.

iptables -A INPUT -i $WIFI -o $WIFI -s 192.168.1.0/24 -d 192.168.1.1 -j ACCEPT
iptables -A INPUT -i $WIFI -o $WIFI -s 192.168.1.0/24 -d $SOMESERVERIP -j ACCEPT
iptables -A INPUT -i $WIFI -o $WIFI -s 192.168.1.0/24 -d $SOMEOTHERSERVERIP -j ACCEPT
iptables -A INPUT -i $WIFI -o $WIFI -s 192.168.1.0/24 -d 192.168.1.0/24 -j DROP

O básico desta cadeia de eventos é:

1. se estiver na sub-rede e estiver falando com o gateway, aceite-o
2. Se estiver na sub-rede e estiver falando com um servidor, aceite-o
3. A regra 2 se repete até você ficar sem servidores aceitáveis
4. Se estiver na sub-rede e estiver falando com qualquer outra coisa na sub-rede, solte-a

Answer 2

Eu segui as instruções, mas sem sorte. Para explicar ...

Eu configurei um Hotspot no Raspberry Pi. Eu quero conseguir o isolamento do cliente usando o iptables. Antes de mudar para o caminho do iptables, eu tentei colocar ap_isolate=1 flag no arquivo hostapd.conf . Infelizmente, não funcionou para mim. Abaixo estão os passos que eu dei. No entanto, não está funcionando. Você pode gentilmente me avisar se eu perdi alguma coisa aqui.

1. Configure o Hotspot com o endereço do hub (Raspberry Pi) como 192.168.42.1

2. Meu iptables é muito simples, siga as instruções aqui.

   * filtro

   : INPUT ACCEPT [0: 0]

   : FORWARD DROP [0: 0]

   : SAÍDA ACEITAR [0: 0]

   // Aceite todo o tráfego destinado a mim.

   -A ENTRADA -s 192.168.42.0/24 -d 192.168.42.1 -j ACCEPT

   // Rejeitar todo o tráfego destinado a qualquer outra pessoa na rede.

   -A ENTRADA -s 192.168.42.0/24 -d 192.168.42.0/24 -j DROP

3. Conecte duas máquinas ao hotspot WiFi. O endereço IP que eles recebem é 192.168.42.244 e 192.168.42.61

4. Agora, quando faço ping de .244 para .61 ele faz pings. Quando eu ssh de .244 para .61 ele se conecta.

5. Quando vejo o sudo iptables -L -nv output ele semeia 163 pacotes em corrente ACCEPT e 3 pacotes na cadeia DROP Mas a comunicação entre os dois clientes está funcionando. Espero que a comunicação tenha falhado. Qualquer ajuda / ponteiros são apreciados.