Hostapd
Материал из ALT Linux Wiki
Строка 208: | Строка 208: | ||
* [http://forum.altlinux.org/index.php/topic,30273.0.html Настройка программной точки доступа с нуля] для ALT Linux KDesktop 6.0.2 на ноутбуке Acer Aspire 7540G-304G32Mi. | * [http://forum.altlinux.org/index.php/topic,30273.0.html Настройка программной точки доступа с нуля] для ALT Linux KDesktop 6.0.2 на ноутбуке Acer Aspire 7540G-304G32Mi. | ||
- | |||
[[Категория:WiFi]] | [[Категория:WiFi]] | ||
{{Category navigation|title=Wi-Fi|category=WiFi|sortkey={{SUBPAGENAME}}}} | {{Category navigation|title=Wi-Fi|category=WiFi|sortkey={{SUBPAGENAME}}}} |
Текущая версия на 15:00, 2 июля 2015
- Настройка компьютера в качестве точки доступа
Инструкция переработана с учётом реалий седьмой платформы.
Содержание |
Введение
Источники информации
Для справки:
- Беспроводная точка доступа, используя Linux — Хабрахабр
- Простая реализация криптостойкого шифрования WiFi с помощью hostapd — IBM
- Точка доступа Wi-Fi своими руками за 2 минуты — Либератум
Компоненты
- Демон hostapd, обеспечивающий работу точки доступа: пакет hostapd.
- В репозитории есть несколько демонов для выдачи адресов IP. Самый удобный - dnsmasq из одноимённого пакета, он может выполнять две функции: DHCP и DNS.
Более сложный вариант — демон dhcpd, выдающий адреса IP (пакет dhcp-server) и демон named, обслуживающий запросы к DNS (пакет bind).
Примечания к настройке
На 2015 год наиболее защищённым для WiFi является протокол шифрования WPA2/CCMP (алгоритм шифрования AES). Для простоты используем вариант WPA2-PSK, поскольку WPA2-Enterprise требует службу RADIUS. Также не стоит включать WPS, поскольку он использует всего лишь шестизначный цифровой "пароль" (PIN-code) и взламывается перебором за несколько часов.
Для простоты настройки и с целью снизить нагрузку на беспроводную сеть выделим для Wifi отдельную подсеть. Это наиболее простой вариант для случая, когда компьютер (сервер) с адаптером WiFi подключен к интернету напрямую. (Чаще всего в руководствах описана настройка моста, объединяющего проводную и беспроводную сети. Такой вариант проще в случае, когда точка доступа организуется на компьютере, подключенном в интернет через другое устройство.)
Сетевые интерфейсы управляются пакетом etc-net. Если используется NetworkManager, смотрите другую инструкцию.
Для примера использованы:
- подсеть 198.51.100.0/24 — внешняя (адрес внешнего интерфейса 198.51.100.234, сервер DNS провайдера 198.51.100.2);
- подсеть 192.0.2.0/24 — беспроводная;
- подсеть IPv6 2001:db8::/64 выделена хосту (серверу);
- внешний интерфейс — enp1s0;
- беспроводной интерфейс — wlp3s2;
- имя беспроводной сети «WiFi on Linux», ключ сети «Many-many secret+password*phrase».
Не забудьте изменить эти значения на реальные :).
Все команды выполняются с правами суперпользователя.
Настройка
Устанавливаем пакеты
apt-get install hostapd dnsmasq
Конфигурация hostapd
Вносим изменения в файл конфигурации /etc/hostapd/hostapd.conf в следующих параметрах:
interface=wlp3s2 driver=nl80211 ssid="WiFi on Linux" country_code=RU hw_mode=g channel=1 wpa=2 wpa_passphrase="Many-many secret+password*phrase" wpa_key_mgmt=WPA-PSK wpa_pairwise=CCMP wps_state=0 ieee80211n=1 ht_capab=[HT40+][SHORT-GI-20][SHORT-GI-40]
Комментарии к параметрам.
Драйвер «nl80211» подходит для большинства адаптеров WiFi, другие варианты для WiFi: hostap и madwifi.
Конфигурация подразумевает, что адаптер WiFi поддерживает режим IEEE 802.11n (включены "ieee80211n=1" и "ht_capab=[HT40+][SHORT-GI-20][SHORT-GI-40][DSSS_CCK-40]", а требуемые параметры wmm_* уже настроены в конфиге).
Если адаптер не поддерживает 802.11n, параметры "ieee80211n" и "ht_capab" не добавляйте.
Параметр "ht_capab=[HT40+]" означает, что 40-мегагерцовая полоса будет использовать диапазон от несущей "вверх", это подходит для выбранного первого канала (параметр "channel=1") — в работе будет использована полоса первого и второго каналов.
Конфигурация интерфейса
В etc-net за конфигурацию интерфейса wlp3s2 отвечают файлы /etc/net/ifaces/wlp3s2/options и /etc/net/ifaces/wlp3s2/ipv4address. Если каталог /etc/net/ifaces/wlp3s2 не существует, создадим его:
mkdir -p /etc/net/ifaces/wlp3s2
В этом каталоге создадим файл настроек интерфейса /etc/net/ifaces/wlp3s2/options:
TYPE=eth BOOTPROTO=static CONFIG_WIRELESS=yes CONFIG_IPV4=yes CONFIG_IPV6=yes CONFIG_IPX=no DISABLED=no NM_CONTROLLED=no
Если IPv6 не нужен — укажите "CONFIG_IPV6=no".
Также создадим файл /etc/net/ifaces/wlp3s2/ipv4address, в котором назначим интерфейсу адрес IPv4:
192.0.2.1/24
Тут мы назначили сетевой карте первый адрес подсети.
Конфигурация DHCP и DNS
Вариант с dnsmasq.
Создаём файл конфигурации /etc/dnsmasq.conf:
local-service domain-needed bogus-priv listen-address=192.0.2.1 dhcp-range=192.0.2.2,192.0.2.250,255.255.255.0,12h dhcp-range=2001:db8::1:2,2001:db8::1:0fff,112,12h
Параметр «interface=wlp3s2» не стоит использовать из-за того, что тогда dnsmasq будет слушать также и 127.0.0.1.
Параметр «dhcp-range=2001:db8::2,2001:db8::0fff,112,12h» задаёт подсеть IPv6 (в примере указан префикс /112 как часть /64, обычно выделяемого хосту IPv4). Если IPv6 не используется, эту строку указывать не нужно.
Вариант с dhcp-server.
Создаём /etc/dhcp/dhcpd.conf
ddns-update-style none; subnet 192.0.2.0 netmask 255.255.255.0 { option routers 192.0.2.1; option subnet-mask 255.255.255.0; option domain-name-servers 198.51.100.2, 8.8.8.8, 8.8.4.4; range 192.0.2.2 192.0.2.250; default-lease-time 21600; max-lease-time 43200; }
С такой конфигурацией клиенты будут работать с серверами DNS провайдера и публичными гуглевскими. Это может оказаться заметно медленнее, чем при использовании локального сервера DNS, но установка и настройка bind — отдельная тема.
Настраиваем NAT
Через Центр Управления системой
- Вариант настройки через Центр Управления: Для настройки NAT заходим в "Центр Управления Системы" -> "Внешние интерфейсы" (если такого пункта нет, устанавливаем alterator-net-iptables), указываем внешний интерфейс (например «enp1s0») и указываем, что компьютер выступает в роли "шлюза".
Через iptables
- Вариант настройки через iptables: Выполните команды (предполагается, что внешний интерфейс носит имя enp1s0):
iptables -t nat -A POSTROUTING -s 192.0.2.0/24 -o enp1s0 -j SNAT --to-source 198.51.100.234 iptables -A INPUT -i wlp3s2 -j ACCEPT iptables -A FORWARD -i wlp3s2 -o enp1s0 -j ACCEPT iptables-save > /etc/sysconfig/iptables
Первые три команды добавляют правила файрвола для трансляции и пропуска пакетов из беспроводной подсети, четвёртая сохраняет изменения на будущее.
Либо в файл /etc/sysconfig/iptables впишите строки:
*nat :PREROUTING ACCEPT [0:0] :INPUT ACCEPT [0:0] :OUTPUT ACCEPT [0:0] :POSTROUTING ACCEPT [0:0] -A POSTROUTING -s 192.0.2.0/24 -o enp1s0 -j SNAT --to-source 198.51.100.234 COMMIT *filter :INPUT DROP [0:0] :FORWARD DROP [0:0] :OUTPUT ACCEPT [0:0] -A INPUT -f -j DROP -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT -A INPUT -i wlp3s2 -j ACCEPT -A FORWARD -f -j DROP -A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT -A FORWARD -i wlp3s2 -o enp1s0 -j ACCEPT -A OUTPUT -f -j DROP -A OUTPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT COMMIT
Через etcnet
- вариант настройки через etcnet. Правила вносятся не в файл сохранения настроек iptables, а используются средства настройки etcnet.
Пример правил etcnet (такие правила создаёт Центр управления):
/etc/net/ifaces/default/fw/iptables/filter/FORWARD:
-P ACCEPT -f -j DROP -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT -m physdev --physdev-is-bridged -j ACCEPT -i enp1s0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT -i enp1s0 -j DROP
/etc/net/ifaces/default/fw/iptables/filter/INPUT: (для доступа из интернета открыт порт 22, обычно используемый sshd)
-P ACCEPT -f -j DROP -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT -i enp1s0 -p tcp --dport 22 -j ACCEPT -i enp1s0 -p udp --dport 22 -j ACCEPT -i enp1s0 -p icmp -j ACCEPT -i enp1s0 -j DROP
/etc/net/ifaces/default/fw/iptables/filter/OUTPUT:
-P ACCEPT -f -j DROP -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
/etc/net/ifaces/default/fw/iptables/nat/POSTROUTING
(трансляция адреса источника для пакетов, выходящих через внешний интерфейс)
-o enp1s0 -j MASQUERADE
Другие варианты настройки
- Настройка точки доступа WIFI с использованием madwifi — hostapd на физическом интерфейсе (без моста)
- Создание точки доступа с помощью NetworkManager
- Настройка программной точки доступа с нуля для ALT Linux KDesktop 6.0.2 на ноутбуке Acer Aspire 7540G-304G32Mi.