Como parar o tráfego dhcp via bridge openvpn?

Question

Em maiúsculas e minúsculas, tenho dois roteadores openwrt conectados à bridge openvpn.

O tráfego pode ser parado pelo iptables com o iptables-mod-extra:

iptables -I FORWARD -m physdev --physdev-out tap0 -p udp --dport 67:68 -j DROP
iptables -I FORWARD -m physdev --physdev-in tap0 -p udp --dport 67:68 -j DROP
iptables -I INPUT -m physdev --physdev-in tap0 -p udp --dport 67:68 -j DROP

O tráfego também pode ser interrompido por ebtables:

ebtables -I FORWARD -i tap0 -p IPv4 --ip-protocol udp --ip-destination-port 67:68 -j DROP 
ebtables -I FORWARD -o tap0 -p IPv4 --ip-protocol udp --ip-destination-port 67:68 -j DROP 
ebtables -I INPUT -i tap0 -p IPv4 --ip-protocol udp --ip-destination-port 67:68 -j DROP 
ebtables -I OUTPUT -o tap0 -p IPv4 --ip-protocol udp --ip-destination-port 67:68 -j DROP

    

Answer 1

Sua configuração sobre a ponte VPN e a separação DHCP está correta.

O problema é (muito provavelmente) dentro do seu segundo AP / router "10.0.0.5" que lembra internamente (por muito tempo?) que um dispositivo estava conectado à sua interface Wi-Fi e que não atualiza essas informações quando pacotes com o mesmo endereço MAC vem de outra interface, no seu caso a interface TAP do túnel VPN.

Conectado a "10.0.0.1" novamente, seu dispositivo ("Macbook") envia solicitações ARP "Who has 10.0.0.5" que passam pelo túnel VPN para "10.0.0.5", mas que não são respondidas ou não é encaminhado para a interface correta (agora TAP).

Você precisa verificar como a interface VPN TAP é conectada dentro do AP / roteador, se a configuração da ponte for apropriada para sua configuração.

Sugiro que você repita seus testes e capture logs do tcpdump nas interfaces em questão, também bridge interna e / com interface (s) Wi-Fi para ver onde as respostas do ARP vão e, em seguida, abra uma nova pergunta com tags apropriadas. esse problema possivelmente específico com seu AP / roteador.