如何在Linux虚拟网桥中创建DHCP Snooping规则

Question

我有一台运行DHCP服务器和虚拟网桥的Linux服务器（10.0.0.1）。虚拟网桥连接4个以太网接口，作为连接我的用户的主交换机。

如果某些用户意外创建了一个在DHCP请求到达主DHCP服务器之前应答DHCP请求的恶意DHCP服务器，则会出现此问题。

因此，我想阻止虚拟交换机上端口之间的所有DHCP请求，但不阻止来自/来自主DHCP服务器的请求。我可以设置哪些ebtables规则来执行此操作？

Answer 1

您必须在Switch上阻止DHCP响应，这是唯一的方法，因为数据包不通过路由器（在这种情况下是linux服务器），某些交换机可以选择进行DHCP侦听。这样，过滤来自端口的DHCP响应。

我希望有所帮助

Answer 2

正确的方法是使用ebtable的过滤器链，通常是前向和输出，规则集匹配UDP端口67:68。