Ghi bàn: Để chặn lưu lượng truy cập UDP đến các thiết bị ở phía mạng LAN của cổng này (sử dụng chương trình cơ sở dd-wrt), giao tiếp với internet và với nhau, để kiểm tra các ứng dụng giao tiếp cụ thể đang chạy trên từng thiết bị.
ngoại lệ: cho phép UDP tối thiểu cần thiết để hỗ trợ các hoạt động mạng cơ bản để các thiết bị này tiếp tục liên lạc (ví dụ: qua TCP) với internet và với nhau.
Những gì tôi đã cố gắng cho đến nay:
Đã thêm quy tắc (thông qua phiên SSH) trên bộ định tuyến/cổng này:
iptables -I FORWARD -p udp -j DROP
iptables -I INPUT -p udp -j DROP
Đã quan sát (những gì đang hoạt động tốt):
- quy tắc
iptables -I FORWARD -p udp -j DROP chặn thành công các thiết bị ở phía LAN giao tiếp qua UDP với các thiết bị ở phía WAN, như đã được xác minh bằng việc không thể giao tiếp giữa các thiết bị này với tiện ích ncat -u.
Đã quan sát (những gì không hoạt động):
- Các thiết bị trên mạng LAN có thể giao tiếp với nhau bằng UDP:
- Trên thiết bị-1 (ở phía mạng LAN):
ncat -lvu # khởi chạy trình nghe ncat bằng UDP trên cổng mặc định 31337
- Trên thiết bị-2 (ở phía mạng LAN):
ncat -vu <ip-addr-device-1> # khởi chạy trình gọi ncat bằng UDP trên cổng mặc định 31337
Kỳ vọng (kết quả mong muốn):
- người gọi ncat trên thiết bị-2 không thể để giao tiếp bằng UDP với trình nghe ncat trên thiết bị-1.
- người gọi ncat trên thiết bị-2 có thể để giao tiếp bằng TCP với trình nghe ncat trên thiết bị-1, bằng cách không sử dụng tham số ncat
-u.
thông tin bổ sung:
- Sử dụng lệnh
iptables -I INPUT -p udp -j DROP tác động quá nhiều đến giao tiếp khác, nhưng dù sao cũng được sử dụng, để chứng minh quy tắc này không hiệu quả trong việc ngăn chặn giao tiếp UDP giữa hai thiết bị này.
- Sử dụng phần cứng: tp-link AC1750 (Archer C7 v5)
- Sử dụng phần sụn: dd-wrt, với cài đặt "Chế độ điều hành = Cổng"
- Các thiết bị phía sau cổng là UWP, iOS, Android. Các ví dụ được đưa ra ở đây sử dụng thiết bị UWP (Windows 10).
- tôi đã thấy Làm cách nào để chặn UDP trong khi vẫn cho phép kết nối UDP ra bên ngoài với iptables?, nhưng không có vẻ hiệu quả trong trường hợp của tôi, như đã được chứng minh bằng cách thử
iptables -I INPUT -p udp -j DROP.
