Pont wlan et 4addr:
Le pontage de wlan0 est une douleur. Normalement, vous ne pouvez pas l'ajouter à une interface de pont (brctl renvoie "Opération non autorisée"), et l'utilisation du filtre "ponté" de VirtualBox entraîne un gros désordre de conflits ARP et DHCP. La raison en est que les trames 802.11 ne contiennent que trois adresses par défaut: les adresses MAC des deux appareils sans fil (ordinateur portable et AP) et du destinataire final (comme dans Ethernet). On suppose toujours qu'il n'y a qu'un seul donneur d'ordre possible.
Le 802.11 peut porter la quatrième, l'adresse MAC de l'expéditeur, et celle-ci est utilisée en mode WDS par les répéteurs. Cette fonctionnalité peut également être activée sur Linux, en utilisant iw, et l'activation de ce mode permettra à wlan0 d'être utilisé dans les interfaces de pont, ainsi qu'avec la mise en réseau pontée VirtualBox:
iw dev wlan0 set 4addr on
Cependant, avec 4addr activé, vous risquez d'être complètement ignoré par l'AP: l'association réussit mais toutes les trames de données disparaissent dans l'éther. Cela pourrait être pour des raisons de sécurité (car il est sacrément difficile d'usurper l'adresse MAC source. Ouais.) Dans mon routeur (exécutant OpenRG), il est nécessaire d'activer le mode "WDS" pour l'interface AP sans fil, ajoutez un périphérique WDS limité à mon l'adresse MAC de l'ordinateur portable et ajoutez-la au pont LAN. Les paquets 4addr fonctionnent maintenant.
Il y a un autre problème avec cela - le routeur rejette maintenant les paquets de trois adresses de l'ordinateur portable, ce qui peut être assez gênant (devoir basculer 4addr à chaque fois que le réseau WLAN est changé). La solution de contournement consiste à ajouter, sur l'ordinateur portable, une deuxième interface sans fil liée au même appareil, mais avec une adresse MAC différente. Annulez d'abord la configuration précédente:
iw dev wlan0 set 4addr off
Ensuite, ajoutez une deuxième interface - le nom a été choisi arbitrairement - avec une adresse MAC différente:
iw dev wlan0 interface add wds.wlan0 type managed 4addr on
ip link set dev wds.wlan0 addr <addr>
ip link set dev wds.wlan0 up
Ici doit correspondre à l'adresse du périphérique WDS configurée dans le routeur; à part cela, il peut s'agir de n'importe quelle adresse MAC valide. Le MAC d'origine de wlan0 reste alors pour une utilisation "normale".
Il est possible d'utiliser à la fois wlan0 et wds.wlan0 - même si je n'ai testé que deux fois l'association au même AP, pas à des AP différents. Je suppose qu'ils devraient au moins être sur le même canal.
Certaines personnes ont demandé pourquoi utiliser cela lorsque VirtualBox peut relier le WiFi "très bien". La réponse est que VirtualBox n'envoie pas les adresses MAC des machines virtuelles; il exécute plutôt le NAT au niveau de la couche MAC également. - 2014-08-22
Pont WLAN direct
Dans certaines circonstances, vous pouvez également utiliser wlan_kabel. Il utilise des sockets paquets pour relier directement les périphériques wlan * aux périphériques Ethernet. Cependant, vous ne pouvez relier qu'un seul MAC à la fois avec wlan_kabel. Il n'a pas l'inconvénient d'être interdit par les points d'accès, car seul le MAC d'origine du périphérique WLAN est utilisé. Dans votre cas, cela signifierait que wlan0 ne pourrait être utilisé que par une machine virtuelle et pas même par l'hôte. Vous pouvez obtenir wlan_kabel ici . Ceci est similaire à la solution macvlans .
Passerelle avec ipvlan
IP Vlan n'a pas la limitation d'un pont, il pourrait être utilisé pour combler un réseau. Les détails sur la façon de l'utiliser peuvent être trouvés ici
Alternative à la mascarade
Le routage Linux peut être utilisé à la place avec iptables-masquerade et ip_forward pour obtenir un pont, mais comme mentionné, cela nécessite d'activer ip_forward et fera en sorte que Linux agisse comme un routeur, cela doit être configuré avec soin car cela pourrait introduire des problèmes de sécurité.
# bridge setup
brctl addbr br0
ifconfig br0 10.10.20.1/24 up
# enable ipv4 forwarding
echo "1" > /proc/sys/net/ipv4/ip_forward
# netfilter cleanup
iptables --flush
iptables -t nat -F
iptables -X
iptables -Z
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
# netfilter network address translation
iptables -t nat -A POSTROUTING -o wlan0 -s 10.10.20.0/24 -j MASQUERADE
L'interface br0 aura alors accès au réseau wlan0
Important et connexe
De plus, et c'est très important, vous ne devez pas utiliser de commandes obsolètes et obsolètes comme ifconfig, brctl , etc. La suite iproute2 contient des commandes pour tout cela, y compris la configuration d'interfaces virtuelles (quelque chose pour laquelle nous avons dû utiliser openvpn) et la création de ponts. Si vous ne savez pas comment configurer un pont avec ip, c'est parti
ip tuntap add tap0 mode tap user root
ip link set tap0 up
ip link add br0 type bridge
ip link set tap0 master br0
ip link set eth0 master br0
ip addr add 10.173.10.1/24 dev br0
ip link set br0 up
Avec cet ensemble de commandes, nous créons une interface virtuelle appelée tap0, puis un pont appelé br0, puis asservissons eth0 et tap0 au pont, auquel nous attribuons une adresse IP de 10.173.10.1, puis nous montons le tout. Les trois instances distinctes d'activation des interfaces (pour tap0, eth0 et br0) sont requises.
L'astuce pour que cela fonctionne est d'utiliser proxy.arp, qui permet à votre PC (et non à votre espace de noms VM / Linux conteneur / réseau) de répondre aux requêtes ARP à leur place.
En d'autres termes, en utilisant le transfert IPv4 entre votre interface matérielle et votre interface virtuelle, vous pensez que vous pouvez connecter votre VM / LXC / NNS à votre LAN comme s'il s'agissait d'une interface physique, mais ce n'est pas vrai: vous oubliez absolument le trafic ARP fondamental, qui permet vraiment au LAN de fonctionner. Donc, le problème est: si je transfère correctement le trafic IPv4, comment puis-je également transférer le trafic ARP, afin que ma VM / LXC / NNS fonctionne? L'astuce consiste à utiliser proxy-arp.
La réponse complète est dans le blog de Bohdi Zazen , avec le titre révélateur: Bridge wireless cards. Il utilise un package obsolète, uml-utilities, pour créer une interface virtuelle au moyen de la commande tunctl: c'est la seule commande pour laquelle il utilise uml-utilities, de sorte que vous pouvez négliger en toute sécurité le téléchargement du package, et utiliser la commande I écrit ci-dessus pour créer une interface tap ou tun, comme vous le souhaitez, modifiez simplement la commande en conséquence. puis créez une paire de veth pour votre LXC, et créez maintenant un pont entre tap0 et veth0. Ce pont, appelé br0, est ce pour quoi vous devez utiliser proxy-arp, au lieu de la simple interface tap0 décrite par Bohdi Zazen.
Sources: askubuntu.com , nullroute.eu.org , firejail.wordpress.com , superuser.com