Bridge wlan dan 4addr:
Menjembatani wlan0 adalah rasa sakit. Anda biasanya tidak dapat menambahkannya ke antarmuka jembatan (brctl mengembalikan "Operasi tidak diizinkan"), dan menggunakan filter VirtualBox "dijembatani" menghasilkan kekacauan besar konflik ARP dan DHCP. Penyebabnya adalah bahwa frame 802.11 hanya berisi tiga alamat secara default: alamat MAC dari kedua perangkat nirkabel (laptop dan AP) dan penerima akhir (seperti dalam Ethernet). Selalu diasumsikan bahwa hanya ada satu kemungkinan penggagas.
802.11 dapat membawa yang keempat, alamat MAC pencetusnya, dan ini digunakan dalam mode WDS oleh repeater. Fitur ini juga dapat diaktifkan di Linux, menggunakan iw, dan mengaktifkan mode ini akan memungkinkan wlan0 untuk digunakan dalam antarmuka jembatan, serta dengan jaringan penghubung VirtualBox:
iw dev wlan0 set 4addr on
Namun, dengan 4addr diaktifkan, Anda kemungkinan besar akan sepenuhnya diabaikan oleh AP: asosiasi berhasil tetapi semua frame data menghilang ke eter. Ini bisa karena alasan keamanan (karena sangat sulit untuk menipu alamat MAC sumber. Ya.) Di router saya (menjalankan OpenRG), perlu untuk mengaktifkan mode "WDS" untuk antarmuka AP nirkabel, tambahkan perangkat WDS yang terbatas pada perangkat saya. alamat MAC laptop, dan tambahkan ke jembatan LAN. Paket 4addr sekarang berfungsi.
Namun, ada masalah lain dengan ini - router sekarang menolak paket tiga-alamat dari laptop, yang mungkin agak merepotkan (harus beralih 4addr setiap kali jaringan WLAN diubah). Solusinya adalah menambahkan, pada laptop, antarmuka nirkabel kedua yang terhubung ke perangkat yang sama, tetapi dengan alamat MAC yang berbeda. Pertama-tama batalkan konfigurasi sebelumnya:
iw dev wlan0 set 4addr off
Kemudian, tambahkan antarmuka kedua - nama itu dipilih secara sewenang-wenang - dengan alamat MAC yang berbeda:
iw dev wlan0 interface add wds.wlan0 type managed 4addr on
ip link set dev wds.wlan0 addr <addr>
ip link set dev wds.wlan0 up
Di sini harus cocok dengan alamat perangkat WDS yang dikonfigurasi di router; selain itu, itu bisa berupa alamat MAC yang valid. MAC asli dari wlan0 kemudian tetap untuk penggunaan "normal".
Dimungkinkan untuk menggunakan wlan0 dan wds.wlan0 pada saat yang sama - walaupun saya baru saja menguji asosiasi dengan AP yang sama dua kali, bukan pada AP yang berbeda. Saya kira mereka harus setidaknya berada di saluran yang sama.
Beberapa orang bertanya mengapa menggunakan ini ketika VirtualBox dapat menjembatani WiFi "baik-baik saja". Jawabannya adalah bahwa VirtualBox tidak mengirim alamat MAC mesin virtual; melainkan, ia melakukan NAT pada lapisan MAC juga. - 2014-08-22
Jembatan wlan langsung
Dalam keadaan tertentu, Anda juga bisa menggunakan wlan_kabel. Menggunakan soket paket untuk langsung menjembatani wlan * -perangkat dengan perangkat ethernet. Namun, Anda hanya dapat menjembatani satu MAC pada satu waktu dengan wlan_kabel. Itu tidak memiliki kelemahan dilarang oleh titik akses, karena hanya MAC asli dari perangkat wlan yang digunakan. Dalam kasus Anda ini berarti, bahwa wlan0 hanya dapat digunakan oleh satu VM dan bahkan oleh tuan rumah. Anda bisa mendapatkan wlan_kabel di sini . Ini mirip dengan solusi macvlan .
Menjembatani dengan ipvlan
IP Vlan tidak memiliki batasan jembatan yang dapat digunakan untuk menjembatani rincian jaringan tentang cara menggunakannya dapat ditemukan di sini
Masquerade alternatif
Perutean Linux dapat digunakan sebagai gantinya dengan iptables-masquerade dan ip_forward untuk mencapai jembatan, tetapi seperti yang disebutkan ini perlu mengaktifkan ip_forward dan akan membuat linux bertindak seperti router, ini perlu diatur dengan hati-hati karena dapat menimbulkan masalah keamanan.
# bridge setup
brctl addbr br0
ifconfig br0 10.10.20.1/24 up
# enable ipv4 forwarding
echo "1" > /proc/sys/net/ipv4/ip_forward
# netfilter cleanup
iptables --flush
iptables -t nat -F
iptables -X
iptables -Z
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
# netfilter network address translation
iptables -t nat -A POSTROUTING -o wlan0 -s 10.10.20.0/24 -j MASQUERADE
Antarmuka br0 kemudian akan memiliki akses ke jaringan wlan0
Penting dan terkait
Juga, dan sangat penting, Anda tidak boleh menggunakan perintah usang, usang seperti ifconfig, brctl , dan sebagainya. Iproute2 suite berisi perintah untuk semua ini, termasuk mengatur antarmuka virtual (sesuatu yang dulu harus kita gunakan openvpn) dan membuat jembatan. Jika Anda tidak tahu cara mengatur jembatan dengan ip, ini dia
ip tuntap add tap0 mode tap user root
ip link set tap0 up
ip link add br0 type bridge
ip link set tap0 master br0
ip link set eth0 master br0
ip addr add 10.173.10.1/24 dev br0
ip link set br0 up
Dengan serangkaian perintah ini, kami membuat antarmuka virtual yang disebut tap0, lalu jembatan yang disebut br0, lalu memperbudak eth0 dan tap0 ke jembatan, yang kami tetapkan alamat IP 10.173.10.1, lalu bawa semuanya. Tiga contoh terpisah untuk menaikkan antarmuka (untuk tap0, eth0, dan br0) diperlukan.
Trik untuk membuat pekerjaan ini adalah dengan menggunakan proxy.arp, yang memungkinkan pc Anda (bukan VM / Linux container / namespace jaringan Anda) untuk menjawab pertanyaan ARP sebagai gantinya.
Dengan kata lain, dengan menggunakan penerusan IPv4 antara antarmuka perangkat keras dan antarmuka virtual Anda, Anda pikir Anda dapat menghubungkan VM / LXC / NNS Anda ke LAN seolah-olah itu adalah antarmuka fisik, tetapi ini tidak benar: Anda lupa sepenuhnya lalu lintas ARP mendasar, yang sebenarnya memungkinkan LAN beroperasi. Jadi, masalahnya adalah: jika saya meneruskan lalu lintas IPv4 dengan benar, bagaimana saya juga bisa meneruskan lalu lintas ARP, sehingga VM / LXC / NNS saya berfungsi? Caranya adalah dengan menggunakan proxy-arp.
Jawaban lengkapnya ada di Blog Bohdi Zazen , dengan judul yang terbuka: Kartu nirkabel jembatan. Ia menggunakan paket usang, uml-utilities, untuk membuat antarmuka virtual dengan menggunakan perintah tunctl: ini adalah satu-satunya perintah yang ia gunakan uml-utilities, sehingga Anda dapat dengan aman mengabaikan mengunduh paket, dan menggunakan perintah I tulis di atas untuk membuat antarmuka tap atau tun, mana pun yang Anda suka, cukup modifikasi perintahnya. lalu buat pasangan veth untuk LXC Anda, dan sekarang buat jembatan antara tap0 dan veth0. Jembatan ini, yang disebut br0, adalah yang harus Anda gunakan untuk proxy-arp, bukan antarmuka tap0 sederhana yang dijelaskan oleh Bohdi Zazen.
Sumber: askubuntu.com , nullroute.eu.org , firejail.wordpress.com , superuser.com