Ключевые слова:wireless, wifi, freebsd, router, (найти похожие документы)
From: Сгибнев Михаил <msgibnev(ого-го какая собака)gmail.com>
Date: Mon, 15 Jan 2010 17:02:14 +0000 (UTC)
Subject: Как использовать FreeBSD в качестве Wireless Access Point
Оригинал: http://dreamcatcher.ru/bsd/007_freebsd_ap.html
Первоисточник: How To Set Up A FreeBSD Wireless Access Point
В этом документе описывается, как настроить FreeBSD в качестве точки
доступа беспроводной сети. Данная статья ни в коем случае не заменяет
собой FreeBSD Handbook, а лишь дополняет его.
Для достижения желаемого результата, нам необходимо убедиться в
выполнении следующих условий:
* Установлены hostapd и named (BIND)
* Ядро скомпилировано с поддержкой pf (так же возможно использование ipfw/ipfilter)
* Сконфигурирован NAT и правила пакетной фильтрации
* Установлен isc-dhcp3-server
* Вышеуказанные демоны сконфигурированы и запущены
Аппаратное обеспечение:
* Одна сетевая карта подключается к провайдеру. Это наш внешний
интерфейс, обозначаемый ext_if. В данном примере fxp0 и может
отличаться от сетевой карты, имеющейся у вас.
* Беспроводная карта построена на чипсете Atheros и используется для
предоставления беспроводного доступа третьим устройствам. В данном
примере ath0 и может отличаться от сетевой карты, имеющейся у вас.
* Дополнительная сетевая карта, которая подключена к локальной сети
(int_if)
Тестовая конфигурация доступна по этому адресу.
Начало
Хорошей идеей будет подключить нашу машину к Интернет. Как это
сделать, вы можете прочитать в разделе Network Communication FreeBSD
Handbook.
Для простоты, все действия выполняются с правами пользователя root,
хотя это моветон.
Проверяем наличие BIND
Хотя BIND идет в поставке FreeBSD, неполохо было бы убедиться в его
наличии:
which named
Если вы вдруг получили сообщение named not found, установим его:
sudo pkg_add -r bind9
Проверяем наличие hostapd
Наличие hostapd можно проверить командой:
which hostapd
hostapd идет в соcтаве FreeBSD. Если он вдруг не обнаружен, то,
возможно, у вас установлен минимальный набор сетов и вам придется с
помощью программы установки добавить сеты или обновить систему из
исходных текстов.
Проверяем наличие исходных текстов ядра
Посмотрите наличие каталога исходных текстов с помощью команды:
ls -l /usr/src/sys
Если вы получили сообщение No such file or directory, то обратитесь к
главе Synchronizing Your Source FreeBSD Handbook.
Перекомпилируем ядро
Процесс компиляции ядра с поддержкой pf очень хорошо описан в
FreeBSD Handbook. Приведем выжимки из этого документа.
Перейдем в каталог файлов конфигурации ядра и создадим новую
конфигурацию, базируясь на файле GENERIC:
cd /usr/src/sys/`uname -m`/conf
cp GENERIC CUSTOM
Вы можете отредактировать файл конфигурации по своему усмотрению.
Некоторые данные поопциям ядра можно обнаружить в файле
/usr/src/sys/conf/NOTES. Нам же требуется просто добавить поддержку PF:
echo "device pf
device pflog
device pfsync" >> CUSTOM
Если есть желание более гибко управлять трафиком, то можно добавить
поддержку ALTQ:
options ALTQ
options ALTQ_CBQ # Class Bases Queuing (CBQ)
options ALTQ_RED # Random Early Detection (RED)
options ALTQ_RIO # RED In/Out
options ALTQ_HFSC # Hierarchical Packet Scheduler (HFSC)
options ALTQ_PRIQ # Priority Queuing (PRIQ)
options ALTQ_NOPCC # Required for SMP build
Для сборки и установки ядра, выполним следующие команды:
cd /usr/src
make buildkernel KERNCONF=CUSTOM
make installkernel KERNCONF=CUSTOM
Перезагрузка:
shutdown -r now
Исходные данные для настройки сети
* fxp0 - ext_if - получает адрес по DHCP
* fxp1 - lan_if - статический IP, 192.168.0.1; сеть 192.168.0.0/24;
клиенты получают адреса по DHCP
* ath0 - wifi_if - статический IP, 192.168.1.1; беспроводная сеть
диапазона 192.168.1.0/24; клиенты получают адреса по DHCP
Конфигурируем интерфейсы
Поднимаем внутренний и внешние интерфейсы:
dhclient fxp0
ifconfig fxp1 inet 192.168.0.1 netmask 255.255.255.0
Убедимся в том, что драйвера беспроводного адаптера загружены. Для
карт на базе Atheros, выполните команду:
for d in {if_ath,ath_rate,ath_hal}; do kldload $d; done
Для всех карт, включая Atheros, необходимо убедиться в том, что
загружены вспомогательные модули :
for d in {wlan_wep_load,wlan_tkip_load,wlan_ccmp_load,wlan_xauth_load,wlan_acl_load}; do kldload $d; done
Конфигурируем адрес на интерфейсе:
ifconfig ath0 inet 192.168.1.1 netmask 255.255.255.0 ssid YOURSSID mediaopt hostap
Конфигурируем NAT и правила пакетной фильтрации
Разрешим маршрутизацию пакетов и поднимем pf:
sysctl -w net.inet.ip.forwarding=1
pfctl -e
Создадим файл pf.conf, содержащий правила NAT и простейший набор
правил фильтрации:
# # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # #
#
# This configuration is set for use on a machine that is a router with
# three (3) network cards:
# ext_if - connects to the upstream link (cable/dsl modem, WAN, etc.)
# wifi_if - wireless card for internal network
# (if none present, remove all references to it in this file)
# lan_if - wired card for internal network
# (if none present, remove all references to it in this file)
#
# # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # #
#------------------------------------------------------------------------
# macros
#------------------------------------------------------------------------
logopt = "log"
# interfaces
ext_if = "fxp0"
wifi_if = "ath0"
lan_if = "fxp1"
# publically accesible services (transport layer neutral)
pubserv = "{ 22, 443 }"
# internally accessible services (transport layer neutral)
lanserv = "{ 22, 53, 67, 80, 443 }"
# samba ports (transport layer neutral)
samba_ports = "{ 137, 138, 139 }"
# externally permitted inbound icmp types
icmp_types = "echoreq"
# internal network
lan_net = "{ 192.168.0.0/24, 192.168.1.0/24 }"
# hosts granted acces to samba (cifs/smb) shares
smb_net = "{ 192.168.0.0/27, 192.168.1.0/27, 192.168.0.90, 192.168.1.90 }"
# block these networks
table { 0.0.0.0/8, 10.0.0.0/8, 20.20.20.0/24, 127.0.0.0/8, \
169.254.0.0/16, 172.16.0.0/12, 192.0.2.0/24, 192.168.0.0/16, \
224.0.0.0/3, 255.255.255.255 }
#------------------------------------------------------------------------
# options
#------------------------------------------------------------------------
# config
set block-policy return
set loginterface $ext_if
set skip on lo0
# scrub
#scrub all reassemble tcp no-df
#scrub in all fragment reassemble
scrub out all random-id
#------------------------------------------------------------------------
# redirection (and nat, too!)
#------------------------------------------------------------------------
# network address translation
nat on $ext_if from $lan_net to any -> ($ext_if)
#------------------------------------------------------------------------
# firewall policy
#------------------------------------------------------------------------
# restrictive default rules
block all
block return-rst in $logopt on $ext_if proto tcp all
block return-icmp in $logopt on $ext_if proto udp all
block in $logopt on $ext_if proto icmp all
block out $logopt on $ext_if all
# trust localhost
pass in quick on lo0 all
pass out quick on lo0 all
# anti spoofing
block drop in $logopt quick on $ext_if from to any
block drop out $logopt quick on $ext_if from any to
antispoof for { $lan_if, $wifi_if, $ext_if }
# anti fake return-scans
block return-rst out on $ext_if proto tcp all
block return-rst in on $ext_if proto tcp all
block return-icmp out on $ext_if proto udp all
block return-icmp in on $ext_if proto udp all
# toy with script kiddies scanning us
block in $logopt quick proto tcp flags FUP/WEUAPRSF
block in $logopt quick proto tcp flags WEUAPRSF/WEUAPRSF
block in $logopt quick proto tcp flags SRAFU/WEUAPRSF
block in $logopt quick proto tcp flags /WEUAPRSF
block in $logopt quick proto tcp flags SR/SR
block in $logopt quick proto tcp flags SF/SF
# open firewall fully
# warning: insecure. 'nuff said.
#pass in quick all
#pass out quick all
# allow permitted icmp
pass in inet proto icmp all icmp-type $icmp_types keep state
# allow permitted services
pass in on $ext_if inet proto tcp from any to any port $pubserv flags S/SA keep state
pass in on {$lan_if $wifi_if} inet proto {tcp udp} from $lan_net to any port $lanserv keep state
pass in on {$lan_if $wifi_if} inet proto {tcp udp} from $smb_net to any port $samba_ports keep state
# permit access between LAN hosts
pass in from $lan_net to $lan_net keep state
pass out from $lan_net to $lan_net keep state
# permit full outbound access
# warning: potentially insecure. you may wish to lock down outbound access.
pass out from any to any keep state
Загружаем созданную конфигурацию командой:
pfctl -Fa -f /etc/pf.conf
Устанавливаем и конфигурируем сервер ISC DHCP Для раздачи клиентам
адресов, нам необходим DHCP:
pkg_add -r isc-dhcp3-server
Редактируем файл конфигурации /usr/local/etc/dhcpd.conf:
###
### GLOBAL SETTINGS
###
ddns-update-style none;
always-broadcast on;
default-lease-time 7200;
max-lease-time 7200;
authoritative;
option domain-name-servers 192.168.1.1;
option domain-name "localnet.localdomain";
option netbios-name-servers 192.168.1.1;
###
### WIRED LOCAL AREA NETWORK
###
subnet 192.168.0.0 netmask 255.255.255.0 {
#
# NOTES:
# (1) allocation of endings 100-199 by DHCP is
# inteded for clients that are not specified
# later in this file.
# (2) allocation is done in increments of 10
# and this is done intentionally.
#
range 192.168.0.100 192.168.0.199;
option broadcast-address 192.168.0.255;
option subnet-mask 255.255.255.0;
option routers 192.168.0.1;
}
###
### WIRELESS NETWORK
###
subnet 192.168.1.0 netmask 255.255.255.0 {
# NOTE: See: wired->range.notes
range 192.168.1.100 192.168.1.199;
option broadcast-address 192.168.1.255;
option subnet-mask 255.255.255.0;
option routers 192.168.1.1;
}
Конфигурируем hostapd Редактируем /etc/hostapd.conf :
interface=ath0
driver=bsd
logger_syslog=-1
logger_syslog_level=0
logger_stdout=-1
logger_stdout_level=0
debug=3
dump_file=/tmp/hostapd.dump
ctrl_interface=/var/run/hostapd
ctrl_interface_group=wheel
#### IEEE 802.11 related config ####
ssid=YOURSSID
macaddr_acl=0
auth_algs=1
#### IEEE 802.1X related config ####
ieee8021x=0
#### WPA/IEEE 802.11i config #####
wpa=1
wpa_passphrase=ENTER_YOUR_PASSPHRASE_HERE
wpa_key_mgmt=WPA-PSK
wpa_pairwise=CCMP TKIP
Вносим изменения в rc.conf: Чтобы настройки сетевых интерфейсов не
пришлось вбивать заново после перезагрузки, внесем их в /etc/rc.conf:
### GENERAL SETTINGS
gateway_enable="YES"
hostname="wifiap"
### CONFIGURATION FOR EXTERNAL INTERFACE (UPSTREAM LINK)
### example: link to cable/dsl modem
ifconfig_fxp0="DHCP"
### CONFIGURATION FOR INTERNAL WIRED NETWORK
ifconfig_fxp1="inet 192.168.0.1 netmask 255.255.255.0"
### CONFIGURATION FOR INTERNAL WIRELESS NETWORK
ifconfig_ath0="inet 192.168.1.1 netmask 255.255.255.0 ssid YOURSSID mediaopt hostap"
### CONFIGURATION FOR PACKET FILTER
### requires kernel recompile, see:
### http://www.freebsd.org/doc/en_US.ISO8859-1/books/handbook/firewalls-pf.html
pf_enable="YES" # Set to YES to enable packet filter (pf)
pf_rules="/etc/pf.conf" # rules definition file for pf
pf_program="/sbin/pfctl" # where the pfctl program lives
pf_flags="" # additional flags for pfctl
pflog_enable="YES" # Set to YES to enable packet filter logging
pflog_logfile="/var/log/pflog" # where pflogd should store the logfile
### DAEMONS FOR LAN
hostapd_enable="YES" # wireless services (clients use wpa_supplicant)
named_enable="YES" # dns for clients
dhcpd_enable="YES" # dhcp configure clients
sshd_enable="YES" # so we can remotely access this box
Для автоматической загрузки модулем, внесем соответствующие строки в
/boot/loader.conf:
wlan_wep_load="YES"
wlan_tkip_load="YES"
wlan_ccmp_load="YES"
wlan_xauth_load="YES"
wlan_acl_load="YES"
Демоны!
Демоны будут стартовать после перезагрузки. Если ребутиться вам
неохота, то:
/etc/rc.d/pflog start
/etc/rc.d/named start
/etc/rc.d/dhcpd start
/etc/rc.d/hostapd start
Ссылки по теме:
How To Set up a Wi-Fi HotspotWireless HotSpot HowTo
