Мост wlan и 4addr:
Преодоление wlan0 - это боль. Обычно вы не можете добавить его в интерфейс моста (brctl возвращает «Операция не разрешена»), а использование «мостового» фильтра VirtualBox приводит к большому беспорядку конфликтов ARP и DHCP. Причина этого заключается в том, что кадры 802.11 по умолчанию содержат только три адреса: MAC-адреса как беспроводных устройств (ноутбук и точка доступа), так и конечного получателя (как в Ethernet). Всегда предполагается, что существует только один возможный источник.
802.11 может нести четвертый, MAC-адрес отправителя, и он используется в режиме WDS повторителями. Эту функцию можно включить и в Linux, используя iw, и включение этого режима позволит использовать wlan0 в мостовых интерфейсах, а также в сетях с мостовыми соединениями VirtualBox:
iw dev wlan0 set 4addr on
Однако при включенном 4addr точка доступа может полностью проигнорировать точку доступа: связь успешно завершена, но все кадры данных исчезают в эфире. Это может быть из соображений безопасности (потому что чертовски сложно подделать MAC-адрес источника. Да.) В моем маршрутизаторе (под управлением OpenRG) необходимо включить режим «WDS» для интерфейса беспроводной точки доступа, добавить устройство WDS, ограниченное моим MAC-адрес ноутбука и добавьте его в мост LAN. Пакеты 4addr теперь работают.
Однако есть еще одна проблема - маршрутизатор теперь отклоняет трехадресные пакеты от ноутбука, что может быть довольно неудобно (необходимость переключать 4addr при каждом изменении сети WLAN). Обходной путь - добавить на ноутбуке второй беспроводной интерфейс, связанный с тем же устройством, но с другим MAC-адресом. Сначала отмените предыдущую конфигурацию:
iw dev wlan0 set 4addr off
Затем добавьте второй интерфейс - имя было выбрано произвольно - с другим MAC-адресом:
iw dev wlan0 interface add wds.wlan0 type managed 4addr on
ip link set dev wds.wlan0 addr <addr>
ip link set dev wds.wlan0 up
Здесь должен соответствовать адрес устройства WDS, настроенный в маршрутизаторе; кроме этого, это может быть любой действительный MAC-адрес. Исходный MAC-адрес wlan0 остается для «нормального» использования.
Можно использовать и wlan0, и wds.wlan0 одновременно - хотя я только дважды проверял связь с одной и той же AP, а не с разными AP. Я предполагаю, что они должны были бы по крайней мере быть на том же канале.
Некоторые люди спрашивают, зачем использовать это, когда VirtualBox может «мостить» WiFi «просто отлично». Ответ заключается в том, что VirtualBox не отправляет MAC-адреса виртуальных машин; скорее это выполняет NAT на уровне MAC также. - 2014-08-22
Прямой мост WLAN
При определенных обстоятельствах вы также можете использовать wlan_kabel. Он использует пакетные сокеты для прямого соединения устройств wlan * с устройствами Ethernet. Тем не менее, вы можете соединить только один MAC-адрес за один раз с wlan_kabel. У него нет недостатка быть заблокированным точками доступа, потому что используется только оригинальный MAC-адрес устройства WLAN. В вашем случае это будет означать, что wlan0 может использоваться только одной виртуальной машиной, а не хостом. Вы можете получить wlan_kabel здесь . Это похоже на решение Macvlans .
Соединение с ipvlan
IP Vlan не имеет ограничения моста, который он может использовать для моста сети. Подробности о том, как его использовать, можно найти здесь.
Маскарадная альтернатива
Вместо этого можно использовать Linux-маршрутизацию с iptables-masquerade и ip_forward для создания моста, но, как уже упоминалось, для этого требуется включить ip_forward, и Linux будет действовать как маршрутизатор, поэтому его нужно настраивать осторожно, поскольку это может вызвать некоторые проблемы с безопасностью.
# bridge setup
brctl addbr br0
ifconfig br0 10.10.20.1/24 up
# enable ipv4 forwarding
echo "1" > /proc/sys/net/ipv4/ip_forward
# netfilter cleanup
iptables --flush
iptables -t nat -F
iptables -X
iptables -Z
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
# netfilter network address translation
iptables -t nat -A POSTROUTING -o wlan0 -s 10.10.20.0/24 -j MASQUERADE
Интерфейс br0 будет иметь доступ к сети wlan0.
Важное и связанное
Кроме того, что очень важно, вы не должны использовать устаревшие устаревшие команды, такие как ifconfig, brctl и так далее. Пакет iproute2 содержит команды для всего этого, включая настройку виртуальных интерфейсов (то, для чего нам когда-то приходилось использовать openvpn) и создание мостов. Если вы не знаете, как настроить мост с IP, здесь мы идем
ip tuntap add tap0 mode tap user root
ip link set tap0 up
ip link add br0 type bridge
ip link set tap0 master br0
ip link set eth0 master br0
ip addr add 10.173.10.1/24 dev br0
ip link set br0 up
С помощью этого набора команд мы создаем виртуальный интерфейс с именем tap0, затем мост с именем br0, затем порабощаем eth0 и tap0 мосту, которому мы назначаем IP-адрес 10.173.10.1, а затем приводим его в действие. Требуются три отдельных случая запуска интерфейсов (для tap0, eth0 и br0).
Уловка, чтобы сделать эту работу, состоит в том, чтобы использовать proxy.arp, который позволяет вашему компьютеру (не вашему пространству имен контейнера / сети VM / Linux) отвечать на запросы ARP вместо них.
Другими словами, используя переадресацию IPv4 между вашим аппаратным интерфейсом и виртуальным интерфейсом, вы думаете, что можете подключить вашу VM / LXC / NNS к вашей локальной сети, как если бы это был физический интерфейс, но это не так: вы забываете абсолютно основной трафик ARP, который действительно позволяет локальной сети работать. Итак, проблема в том, что если я правильно пересылаю трафик IPv4, как я также могу пересылать трафик ARP, чтобы моя VM / LXC / NNS работала? Хитрость заключается в использовании proxy-arp.
Полный ответ на этот вопрос можно найти в блоге Бохди Дзазена , под названием «Мостовые беспроводные карты». Он использует устаревший пакет, uml-утилиты, для создания виртуального интерфейса с помощью команды tunctl: это единственная команда, для которой он использует uml-утилиты, так что вы можете спокойно пренебречь загрузкой пакета и использовать команду I Выше написано, чтобы создать интерфейс tap или tun, в зависимости от того, что вам нравится, просто измените команду соответствующим образом. затем создайте пару веток для вашего LXC, а теперь создайте мост между tap0 и veth0. Этот мост, называемый br0, - это то, для чего вы должны использовать proxy-arp вместо простого интерфейса tap0, описанного Bohdi Zazen.
Источники: askubuntu.com , nullroute.eu.org , firejail.wordpress.com , superuser.com