DHCP 的讨论（iptables 对其无效？）

platinum

原帖由 "bingosek" 发表：

哪在server上port 67是不是打开的？

不懂你的意思。。。。。
client 能获得 IP，netstat -lnp 能看到端口监听，端口当然是开着的
不过，和 iptables 无法阻止 DHCP 的这个奇怪现象又有什么联系呢？

platinum

有什么好的工具去探测一个 udp 端口是否存在服务呢？（WIN 下的主机去探测 LINUX 下的 udp/67）

platinum

原帖由 "mocou" 发表：

如果是NAT的话，那只跟FORWARD，PREROUTING链有关。你试试装这些用户的FORWARD跟PREOUTING关掉看看还能不能上

不知你是否看了前面我做的两个试验？

platinum

[quote]原帖由 "bingosek"]还有，我想看看client做dhcp request的时候，在cmd下用netstat -an看看跟server连接的状态是什么[/quote 发表：

1、我不确定 udp 是否能通过 netstat 看到连接状态，我认为不可以，因为他不是 tcp
2、整个过程是瞬间完成的

platinum

原帖由 "双眼皮的猪" 发表：


nmap -sU
但是好象dhcp服务端的端口扫不到...

就算能扫到，windows 下也没有 nmap 啊，我前面都说了是 WIN scan LINUX

platinum

[quote]原帖由 "bingosek"]强烈建议service dhcpd stop[/quote 发表：

这个讨论其实没有什么真正的应用价值，就是想搞清楚
我不确定是否因为我的 iptables 有 bug，希望其他人也协助我来做一个测试，看情况是否和我一样

platinum

bingosek 兄如果有兴趣，可以和我一起做一个同样的试验
或者有什么更好的试验方法也可以提出来
我只想知道为什么：）

platinum

嗯，我有看过
同样的方法，对 DNS 服务（udp/53）是有效的
如果 server 上做 NAT，同时有 DNS 代理，client 的 DNS 指向 server
那么 DROP 掉 udp/53，client 是无法通过解析获得 IP 的
但同样的方法，对 DHCP 无效

platinum

IPTABLES -A INPUT -p UDP -i $LAN_IFACE --dport 67 --sport 68 -j ACCEPT
那也就是说在不做nat的dhcp server上就能封住，而在有nat的dhcp server封不住咯？

没明白，“在不做nat的dhcp server上就能封住，而在有nat的dhcp server封不住”？

platinum

原帖由 "depthblue" 发表：
这个问题很有意思
DHCP的东西忘的差不了，我估计和arp有关系，DHCP　request发的广播
这个广播的MAC为全１
不用iptables封，而用arptables或者ebtables肯定能封住

我想到了一点，iptables 是工作在 3 层以上的，而 dhcp 实际上是 2 层的协议，不知是否和这个有关

我现在没条件，我打算再做一次试验试试
首先需要知道 client 的 MAC 地址
iptables -I INPUT -m mac --mac xxxxxxx -j DROP
然后试试行不行，不知这种方法是否可以匹配到

不过。。。
这种匹配方式比我两个试验里的方法都更严格了，那两种方式都不行，这个能行吗？

有机会再试一下