dhclient 单播 DHCPREQUEST 过多日志

Question 1

dhclient 使用一些未被 iptables 处理的低级 API 是否正确？

简短版本：对于某些 DHCP 服务器（isc-dhcp 和 dnsmasq 的早期版本）是的，但对于其他一些服务器（dnsmasq 的更高版本）则不是。

详细解释：事情的起因是raw socket。原始套接字根据维基百科，

... 一个互联网套接字，允许直接发送和接收互联网协议数据包，而无需任何特定于协议的传输层格式。

此 ISC Wiki 页面（互联网系统联盟是最常见的 DHCP 程序的作者）指出：

DHCP 协议有一些特定的要求才能真正正常工作 - 特别是能够传输和接收发送到全 1 限制广播地址 (255.255.255.255) 的数据包，并且能够在没有 ARP 的情况下发送单播。虽然 dhcpd 也会打开一个 BSD/UDP 套接字（称为“后备接口”），但无法通过 BSD/UDP 套接字执行此操作，您可以在 netstat 中看到它。

这很有趣，因为它解释了为什么你经常会通过谷歌搜索发现人们试图iptables通过 UDP 端口 67 和 68 控制 DHCP 请求。当然，并不是说这些端口没有打开，只是这不是服务器和客户端之间进行通信的唯一渠道。

但这并不能完全成功：有些人已经采取了彻底关闭其机器的极端措施（ iptables 丢弃了所有内容！），但他们无法通过原始数据包关闭 DHCP。

另一个有趣的实验方法是，再次iptables关闭某人的电脑，然后使用原始套接字进行 DNS 或 TCP 连接：尽管有 iptables，这些通信尝试仍会成功。

关于这一点，可以找到一个非常权威的评论在 Netfilter 网站上，其中规定：

原始套接字绕过 TCP/IP 堆栈。Netfilter 钩子以及 iptables 位于 IP 堆栈内。

这同样适用于数据包嗅探器。

他们还在这里解释了如何规避这个问题：小心，这是一个笑话，Schaaf 说

这不是一个周末项目。

最后，我还想指出，域名系统：在一个Debian 维基页面dnsmasq 的作者 Simon Kelly 指出：

Dnsmasq 打开原始套接字，但它从不从套接字读取数据：相反，它用于与尚未完全配置且无法执行 ARP 的 DHCP 客户端通信。这不是安全问题。更高版本的 dnsmasq 使用不同的技术，不再打开原始套接字。

编辑：

有什么方法可以减少 dhclient 中未答复的单播请求的日志量？

这并不简单，因为 CLI 选项可以减少输出dhclient，-q，可以从 CLI 调用，但不能从dhclient.conf。另外，dhclient它通常不是由网络管理器直接调用，而是由可执行文件调用：ifup事实上，

# strings `(which ifup)` | grep dhclient
/sbin/dhclient
/sbin/dhclient3
dhclient -v -r -pf /run/dhclient.%iface%.pid -lf    /var/lib/dhcp/dhclient.%iface%.leases %iface%
dhclient3 -r -pf /run/dhclient.%iface%.pid -lf /var/lib/dhcp3/dhclient.%iface%.leases %iface%
dhclient -1 -v -pf /run/dhclient.%iface%.pid -lf /var/lib/dhcp/dhclient.%iface%.leases %iface%  [[-e IF_METRIC=%metric%]]
dhclient3 -pf /run/dhclient.%iface%.pid -lf /var/lib/dhcp3/dhclient.%iface%.leases %iface%      [[-e IF_METRIC=%metric%]]
dhclient -6 -r -pf /run/dhclient6.%iface%.pid -lf /var/lib/dhcp/dhclient6.%iface%.leases %iface%
dhclient -1 -6 -pf /run/dhclient6.%iface%.pid -lf /var/lib/dhcp/dhclient6.%iface%.leases %iface%
dhclient -1 -6 -S -pf /run/dhclient6.%iface%.pid -lf /var/lib/dhcp/dhclient6.%iface%.leases %iface%

正如您所见，使用(= verbose!) 选项ifup进行调用，这与您希望的相反。dhclient-v

你有哪些选择？

下载源代码，修改上面的调用，然后为您的内核重新编译它。这应该是小菜一碟。
您可以使用二进制编辑器将转换-v为-q。
您可以修改脚本文件，/etc/init.d/networking通过将的调用替换ifup为
```
ifup .... > /dev/null 2>&1
```
重新启动或重新启动服务networking将完成此修改。这不是理想的做法，因为它会将两个无用的警告扔进垃圾桶和严重的错误消息。
最后，您可以执行以下操作：移至/sbin/dhclient，/sbin/dhclient-true然后创建一个名为的可执行文件，/sbin/dhclient其内容如下：
```
 #!/bin/bash
 ARGS=$(echo "$@" | sed 's/ -v / /g')
 exec /sbin/dhclient-true "-q" "$ARGS"
```

Answer