netfilter가 DHCP 릴레이 역할을 할 수 있나요?

Question 1

그런 것 같은데, 제게는 불완전한 해결책이 있습니다. 이 솔루션의 효율성은 네트워크 구성에 따라 달라질 수 있습니다.

DHCP 서버는 Docker 브리지 네트워크 내에 위치하며 , 및 을 통해 실행되므로 실행되는 네트워크 네임스페이스를 제어할 수 있습니다 CAP_NET_BIND.CAP_NET_RAWCAP_NET_ADMIN

~을 위한DHCPDISCOVER패킷이 DHCP 서버에 도착하면 다음 규칙이 사용됩니다.

table netdev filterearly_lan {
    chain ingress {
        type filter hook ingress device eth0 priority -500; policy drop;
        
        ip saddr 0.0.0.0 ether daddr ff:ff:ff:ff:ff:ff ip daddr 255.255.255.255 udp sport 68 udp dport 67 ip saddr set $LOCAL_NETWORK ip daddr set $DHCP meta pkttype set host accept;
    }
}

이렇게 하면 다음에 나열된 문제를 피할 수 있습니다.이것문제는 패킷이 정상적으로 넷필터를 통과하여 다음 주소로 전송될 수 있다는 의미는 아닙니다 NFQUEUE.

table inet filter {
    chain forward {
        type filter hook forward priority 0; policy drop;

        udp sport 68 udp dport 67 queue num 0;
        udp sport 67 udp dport 68 queue num 0;
    }
}

$LOCAL_NETWORK서브넷 내의 모든 IP가 될 수 있지만 어떤 이유로 로컬 장치의 IP가 될 수는 없습니다. 네트워크 주소(예: 192.168.1.0)로 설정할 수 있는 것 같습니다. 대상 MAC 주소를 변경할 필요는 없는 것 같습니다.

브로드캐스트 요청으로 응답하는 클라이언트를 처리하려면 라우팅을 위해 패킷 유형을 호스트로 변경해야 하며 다음에서 얻을 수 있습니다.DHCPOFFER패킷( ingress인터페이스에 구애받지 않도록 여기에서는 사용되지 않음):

table inet filter {
    chain raw {
        type filter hook prerouting priority -400; policy accept;

        ip daddr 255.255.255.255 udp sport 67 udp dport 68 @nh,128,32 set @th,192,32 meta pkttype set host;
    }
}

DHCPOFFER패킷이 유니캐스트로 전송 되면질문postrouting클라이언트가 IP를 얻기 전에 클라이언트에게 ARP 요청이 이루어집니다(이 단계에서). 이 문제를 우회하려면:

table inet mangle {
    chain postrouting {
        type filter hook postrouting priority 50;

        udp sport 67 ether daddr set ff:ff:ff:ff:ff:ff ip daddr set 255.255.255.255;
    }       
}

ARP 요청이 발행되면 ARP 요청 내용에서 대상 MAC 및 IP를 복구할 수 있습니다.DHCPOFFER올바른 목적지로 보내세요. 패킷 분석 중에 의심이 발생하지 않도록 TTL도 복원해야 합니다.

table netdev filterearly_lan {
    chain egress {
        type filter hook egress device eth0 priority 500; policy accept;

            #Restore the TTL that is changed during the routing process
            udp sport 67 ip ttl set 64 continue;                        
            #Client asked for broadcast
            udp sport 67 @th,256,48 0x800000000000 ip daddr set 255.255.255.255 ether daddr set ff:ff:ff:ff:ff:ff;
            #Set the ether addr to the CHADDR. Only if unicast flag
            udp sport 67 @th,256,48 0x000000000000 @ll,0,48 set @th,400,48;
            #Set the ip daddr from the YIADDR. Only if unicast flag
            udp sport 67 @th,256,48 0x000000000000 @nh,128,32 set @th,304,32;
    }
}

대답은 다음과 같아야합니다.SNAT다른 네트워크에서 왔으므로 올바르게 편집되었습니다.

table inet nat {
    chain postrouting {
        type nat hook postrouting priority 100; policy accept;

        oifname "eth0" masquerade;
    }
}

DHCP 서버 구성과 패킷에 필요한 수정 사항은 이 질문과 대답의 범위를 벗어납니다. 이상적으로는 DHCP 서버가 다양한 네트워크에 IP 주소 제공을 지원합니다. 서버가 IP를 스푸핑할 수 없으면 패킷을 수정하여 SIADDRDHCP를 변경해야 합니다.옵션54(서버 식별자).

이 구성을 사용하면 Docker 브리지 뒤에서 DHCP 서버를 사용할 수 있으므로 원래 질문에서 제기된 요구 사항을 충족할 수 있습니다.

Answer