Openwrt isc-dhcpd-4.2.4

Question

Toda vez que o serviço dhcp é iniciado, ele escuta não apenas em 0.0.0.0:67, mas também em 0.0.0.0:PORT, em que PORT é um número aleatório.

Alguém sabe de onde vem esse comportamento?

root@OpenWrt:/# netstat -ntapue
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name    
tcp        0      0 10.0.16.1:22            0.0.0.0:*               LISTEN      898/sshd
netstat: /proc/net/tcp6: No such file or directory
udp        0      0 10.0.16.1:514           0.0.0.0:*                           922/syslog-ng
udp        0      0 0.0.0.0:60738           0.0.0.0:*                           1290/dhcpd
udp        0      0 0.0.0.0:67              0.0.0.0:*                           1290/dhcpd
udp        0      0 10.0.16.1:69            0.0.0.0:*                           974/tftpd-hpa
netstat: /proc/net/udp6: No such file or directory

Minha configuração é:

# dhcpd.conf

ddns-updates off;

authoritative;

# don't let clients modify their own A records
ignore client-updates;

default-lease-time 3600;
max-lease-time 86400;

option domain-name "lan";

option domain-name-servers 212.24.188.130, 212.24.188.131;

subnet 10.0.16.0 netmask 255.255.255.0 {
        host marvin
        { hardware ethernet 48:5D:11:2F:22:31;
        fixed-address 10.0.16.202; }
      range 10.0.16.207 10.0.16.209;
      option subnet-mask 255.255.255.0;
      option broadcast-address 10.0.16.255;
      option routers 10.0.16.1;
      deny unknown-clients;

      next-server 10.0.16.1;
      filename "pxelinux.0";
}

    

Answer 1

Pesquisa no google retorna que é uma espécie de bug:

link

Na barra de ativação, há também um link para a solução proposta (pacote de construção a partir da fonte com opções extras para o script ./configure):

link

Eu verifiquei as notas de lançamento para as versões mais recentes estáveis (4.2.5-P1) e de desenvolvimento (4.2.6b1 e 4.3.0b1) do ISC DHCPD e este bug não parece estar corrigido lá.

Para o OpenWRT reconstruir o pacote a partir do código-fonte com opções customizadas, você precisa construir seu próprio pacote opkg usando o compilador cruzado para a arquitetura do seu roteador, ou até mesmo reconstruir toda a imagem do OpenWRT: link

Então, para resolver o problema de segurança, sugiro que você bloqueie todas as portas, exceto as necessárias (22, 67, 69, 514) com o seu firewall.