内网被运营商非法 dhcp 服务器干扰大概找到原因了

[RoyCho]

我家宽带五六年前刚装的时候，就偶尔出现奇怪的 DHCP 干扰：电脑会检测到一个名称为 3g 的 DHCP 服务器，租约长达 365 天，服务器地址是 192.168.1.254 。 这个 DHCP 服务器地址跟名称看起来不像普通家用设备，也 ping 不通，但会影响内网设备的正常 DHCP 分配。

当时我开启 OpenWrt 的 强制 DHCP 服务器 功能后，情况改善了很多，但偶尔仍会被干扰。多年下来，家里的 NAS 、交换机、光猫、AP 都陆续升级过，但问题依然偶尔出现。

于是我开始怀疑干扰源可能在光猫之外。通过排查发现：

首先我家没有 192.168.1.x 的内网网段，192.168.1.254 无法 ping 通，但同一网段的其他 IP 可以 ping 通。

Traceroute 显示访问 192.168.1.x 网段需要经过两个运营商的公网 IP 。

这让我怀疑干扰源很可能是 运营商设备。进一步排查发现，OpenWrt 默认防火墙中有一条 Allow-DHCP-Renew 规则，这条规则会允许 DHCP 报文透传到内网。

在 PPPoE 拨号的情况下，其实根本不需要这条规则。如果运营商存在非法 DHCP 服务器，这条规则就会让干扰 DHCP 直接透传到内网。

我关闭了这条规则后，内网 DHCP 干扰暂时消失。 初步判断，这可能就是多年来偶尔遇到的“神秘 DHCP 干扰”的根源。 我会继续观察，如果情况稳定，也可以作为给同样使用 OpenWrt + PPPoE 用户的经验分享。

[RoyCho]

@lcy630409 而且正常探查不到，要是能一直探查到通过拔网线也能揪出来了，就很偶尔几个月来这么一下，重新获取就没了

[kome]

网内有没有其他路由器设备，可能是断网之后，这些路由器设备网络不通，DHCP 服务器自启动了。我这的 TPLink 的路由器(做 AP 的)会在某些情况下 DHCP 服务自启动，需要断电重启。

[RoyCho]

@kome 没有哎，之前怀疑过的设备这几年陆续都升级换掉了，一直在用的设备也就剩下个 tp-link 摄像头，洗衣机，空调是一直联网的，最烦的就是干扰不是持续的，不好查，有时候 openvpn 连回家都会被干扰

[thereone]

看下你的 openwrt 的 pppoe 拨号获取的网关是多少，route -n 就可以看到

[RoyCho]

@thereone 网关是 10.24.230.1 的大内网 ip

[thereone]

新建接口抓包吧，看看你的 pppoe 接口会不会回 dhcp 包。具体看图



在已经拨号上去的 pppoe 产生的隧道设备 pppoe-wan 这个设备(你的不一定是这个名称)上面新建一个使用 dhcp 协议的接口让 dhcp 报文在 pppoe 隧道接口内广播看看运营商的 bras 会不会回包，如果回包那就是运营商的 bras 上面存在多余或者错误配置的 dhcp 中继导致你获取到了运营商的地址。如果没有那就要在继续分析。

[Rorysky]

@fuzzsh 你怎么判断 mac 头有没有改过？

[RoyCho]

@thereone 图挂了，我可以直接电脑接光猫拨号，然后用 dhcp 服务器探查工具探查下吗？目前直接路由器后探查只能查到自己合法的 dhcp 服务器，非法服务器非常偶尔才会干扰一次，很不好排查的感觉

[RoyCho]

@Rorysky 是不是有可能是光猫外的设备干扰？因为光猫我已经换第三个了，但干扰服务器一直是名为 3g 的服务器

[Rorysky]

@RoyCho 最简单排除法呗，直接把光纤拔了；

[dasenlin]

要不你改一下 wifi 密码试试

[Damn]

@Kepy 那你有没有想过员工宿舍或租赁房中，以企业名义办的宽带，不给你任何信息的情况呢？

[RoyCho]

@Rorysky 要是一直干扰倒好排除了，直接一条条拔，几个月才有一次

[RoyCho]

@dasenlin 应该不是有人蹭网，我的 ap 可以管理接入的设备，所有设备我都备注过了，有未知设备我会知道的

[Kepy]

@Damn 。。。。说的不是家宽吗？

[thereone]

@RoyCho 图没有挂，你用全局代理试试我这边看着是没有问题的。你要电脑直接拨号那要能在虚拟拨号接口发送 dhcp 报文探测才行。如果是连接光猫的物理网卡接口探测那就没有意义了能拿到的也只是光猫的 dhcp 分配的。还有你的 openwrt ipv6 有没有启用是不是用的中继模式获取的地址？

[unused]

MAC 地址都有了，查 MAC 表啊

[DAPTX4869]

我的 OP 里也有这条规则, 但区域是 wan 到此设备; 这个是不会影响到 lan 下其它设备的额

[niukuo]

@RoyCho 是的 用规则过滤一下就行了 可以后台跑一段时间

[Rorysky]

中间路由器配置个 dhcp snooping 再观察