ubuntu dhcp如何与防火墙配合

Ubuntu DHCP 与防火墙配合实践

一、端口与方向速览

• DHCP 基于 UDP，涉及 67/68 端口；DHCPv6 使用 546/547。
• 角色与方向对照：
  • DHCP 服务器：入站 UDP 67（接收 Discover/Request），出站 UDP 68（发送 Offer/Ack）
  • DHCP 客户端（如 dhclient）：入站 UDP 68（接收 Offer/Ack），出站 UDP 67（发送 Discover/Request）
• 若启用 IPv6，需额外放行 UDP 546/547。

二、使用 UFW 的推荐做法

• 安装与启用
  • 安装：sudo apt update && sudo apt install ufw
  • 启用：sudo ufw enable
• 仅放行 DHCP 相关流量（示例为所有来源，可按需收紧）
  • IPv4
    • 服务器：sudo ufw allow in proto udp from any to any port 67
    • 客户端：sudo ufw allow in proto udp from any to any port 68
  • IPv6（如启用 DHCPv6）
    • 服务器：sudo ufw allow in proto udp from any to any port 547
    • 客户端：sudo ufw allow in proto udp from any to any port 546
• 查看与重载
  • 查看：sudo ufw status verbose
  • 重载：sudo ufw reload
• 说明
  • UFW 规则默认持久化，重启后仍然有效；如需更细粒度控制，可在规则中加入 from <网段> 限制来源。

三、使用 iptables 的推荐做法

• 基本放行（示例为所有来源，可按需收紧）
  • 服务器
    • 入站：sudo iptables -A INPUT -p udp --dport 67 -j ACCEPT
    • 出站：sudo iptables -A OUTPUT -p udp --sport 67 -j ACCEPT
  • 客户端
    • 入站：sudo iptables -A INPUT -p udp --dport 68 -j ACCEPT
    • 出站：sudo iptables -A OUTPUT -p udp --sport 68 -j ACCEPT
• 可选：同时放行源端口 67/68，以兼容某些实现
  • 例如：sudo iptables -A INPUT -p udp --sport 67 -j ACCEPT
• 持久化保存
  • 安装：sudo apt-get install iptables-persistent
  • 保存：sudo netfilter-persistent save
  • 重载：sudo netfilter-persistent reload
• 说明
  • 若系统启用 IPv6，请为 UDP 546/547 添加对应规则。

四、常见场景与排错要点

• 场景一：本机作为 DHCP 服务器
  • 放行 UDP 67 入站（服务器收 Discover/Request），放行 UDP 68 出站（服务器发 Offer/Ack）；如启用 IPv6，放行 UDP 547 入站、546 出站。
• 场景二：本机作为 DHCP 客户端（如 dhclient）
  • 放行 UDP 68 入站（收 Offer/Ack），放行 UDP 67 出站（发 Discover/Request）；如启用 IPv6，放行 UDP 546 入站、547 出站。
• 场景三：多网卡/仅特定网段放行
  • 在 UFW 中使用 from <网段> to any 或在 iptables 中增加 -s <网段> 条件，仅对内部接口放行，避免外网滥用。
• 快速验证
  • 查看状态：sudo ufw status 或 sudo iptables -L -v -n
  • 抓包定位：sudo tcpdump -ni <接口> udp and port 67 or port 68（IPv6 加 and port 546 or port 547）
  • 服务日志：sudo journalctl -u isc-dhcp-server -b（服务器）或查看 /var/log/syslog（客户端）。