Go to Qiita Advent Calendar 2024 Top
LoginSignup
13
14

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?

More than 5 years have passed since last update.

@JhonnyBravo

hostapd 設定 覚書

Last updated at Posted at 2016-01-27

#必要な機材
ath5k または ath9k ドライバに対応し、
かつアクセスポイント機能を持った無線 LAN デバイス。

#パッケージインストール

apt-get install hostapd iw isc-dhcp-server haveged

#ネットワークの構成
/etc/network/interfaces を編集する。

# lo インターフェイスを起動する。
auto lo
# 論理インターフェイス lo を
# IPv4 loopback インターフェイスとして定義する。
iface lo inet loopback

# wlan0 インターフェイスを起動する。
auto wlan0
# 論理インターフェイス wlan0 へ IPv4 固定アドレスを定義する。
iface wlan0 inet static
  address 192.168.0.1
  netmask 255.255.0.0
  gateway 192.168.0.1
  dns-name-servers 8.8.8.8
  wireless-mode master

/etc/NetworkManager/NetworkManager.conf を編集する。

[keyfile]
unmanaged-devices=mac:無線LAN の MAC アドレス

/etc/default/ufw を編集する。

# IPv6 サポートを有効にする。
IPV6=yes

# 外部から入ってくる通信を破棄する。
DEFAULT_INPUT_POLICY="DROP"

# 外部へ出て行く通信の通過を許可する。
DEFAULT_OUTPUT_POLICY="ACCEPT"

# パケット転送を許可する。
DEFAULT_FORWARD_POLICY="ACCEPT"

DEFAULT_APPLICATION_POLICY="SKIP"

# ufw 自身が作成したチェーンのみを操作対象とする。
MANAGE_BUILTINS=no

# iptables のバックエンドとして /etc/ufw/sysctl.conf を使用する。
IPT_SYSCTL=/etc/ufw/sysctl.conf

# 拡張トラッキングモジュールの読込み設定
IPT_MODULES="nf_conntrack_ftp nf_nat_ftp nf_conntrack_netbios_ns"

/etc/ufw/sysctl.conf を編集する。

# パケット転送を有効にする。
net/ipv4/ip_forward=1

# 送信元アドレスの検証を全インターフェイスで有効にし、
# なりすまし攻撃を防止する。
net/ipv4/conf/default/rp_filter=1
net/ipv4/conf/all/rp_filter=1

# IP ソースルートパケットを受信しない。
net/ipv4/conf/default/accept_source_route=0
net/ipv4/conf/all/accept_source_route=0
net/ipv6/conf/default/accept_source_route=0
net/ipv6/conf/all/accept_source_route=0

# ICMP リダイレクトを無効化し、
# MITM 攻撃を防止する。
net/ipv4/conf/default/accept_redirects=0
net/ipv4/conf/all/accept_redirects=0
net/ipv6/conf/default/accept_redirects=0
net/ipv6/conf/all/accept_redirects=0

# 偽の ICMP エラーを無視する。
net/ipv4/icmp_echo_ignore_broadcasts=1
net/ipv4/icmp_ignore_bogus_error_responses=1
net/ipv4/icmp_echo_ignore_all=0

# 有り得ないパケットを記録しない。
net/ipv4/conf/default/log_martians=0
net/ipv4/conf/all/log_martians=0

# TCP / IP SYN クッキーを無効にする。
net/ipv4/tcp_syncookies=0

net/ipv4/tcp_sack=1

/etc/ufw/before.rules を編集する。

# filter テーブルの設定。
*filter
:ufw-before-input - [0:0]
:ufw-before-output - [0:0]
:ufw-before-forward - [0:0]
:ufw-not-local - [0:0]

# loopback インターフェイスにおける送受信を許可する。
-A ufw-before-input -i lo -j ACCEPT
-A ufw-before-output -o lo -j ACCEPT

# 既存のパケットの受信・送信・転送を許可する。
-A ufw-before-input -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-output -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-forward -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

# 不正なパケットを破棄する。
-A ufw-before-input -m conntrack --ctstate INVALID -j ufw-logging-deny
-A ufw-before-input -m conntrack --ctstate INVALID -j DROP

# 受信における icmp コードを受入れる。
-A ufw-before-input -p icmp --icmp-type destination-unreachable -j ACCEPT
-A ufw-before-input -p icmp --icmp-type source-quench -j ACCEPT
-A ufw-before-input -p icmp --icmp-type time-exceeded -j ACCEPT
-A ufw-before-input -p icmp --icmp-type parameter-problem -j ACCEPT
-A ufw-before-input -p icmp --icmp-type echo-request -j ACCEPT

# 転送における icmp コードを受入れる。
-A ufw-before-forward -p icmp --icmp-type destination-unreachable -j ACCEPT
-A ufw-before-forward -p icmp --icmp-type source-quench -j ACCEPT
-A ufw-before-forward -p icmp --icmp-type time-exceeded -j ACCEPT
-A ufw-before-forward -p icmp --icmp-type parameter-problem -j ACCEPT
-A ufw-before-forward -p icmp --icmp-type echo-request -j ACCEPT

# dhcp クライアントの動作を許可する。
-A ufw-before-input -p udp --sport 67 --dport 68 -j ACCEPT

-A ufw-before-input -j ufw-not-local
-A ufw-not-local -m addrtype --dst-type LOCAL -j RETURN
-A ufw-not-local -m addrtype --dst-type MULTICAST -j RETURN
-A ufw-not-local -m addrtype --dst-type BROADCAST -j RETURN

# 上記以外の non-local パケットは破棄する。
-A ufw-not-local -m limit --limit 3/min --limit-burst 10 -j ufw-logging-deny
-A ufw-not-local -j DROP

# MULTICAST UPnP のサービス探査を許可する。
-A ufw-before-input -p udp -d 224.0.0.251 --dport 5353 -j ACCEPT
-A ufw-before-input -p udp -d 239.255.255.250 --dport 1900 -j ACCEPT

COMMIT

# nat テーブルの設定。
*nat

# 送信時のアドレス変換を許可する。
:POSTROUTING ACCEPT [0:0]

# パケット転送先のインターフェイスを eth0 とする。
# アドレスを変換する。
-A POSTROUTING -o eth0 -j MASQUERADE

COMMIT

/etc/dhcp/dhcpd.conf を編集する。

# リース確認の際に DNS の更新を試行しない。
ddns-update-style none;

# ネットワーク全体の共通設定。
option domain-name "example.org";
option domain-name-servers 192.168.1.1;

default-lease-time 600;
max-lease-time 7200;

# dhcp ログメッセージを異なるログファイルへ送信する。
log-facility local7;

# サブネットの設定。
subnet 192.168.0.0 netmask 255.255.0.0{
  # 192.168.0.10 から 192.168.0.20 の間で IP アドレスを発行する。
  range 192.168.0.10 192.168.0.20;
  option domain-name-servers 8.8.8.8;
  option routers 192.168.0.1;
  default-lease-time 600;
  max-lease-time 7200;
}

/etc/default/isc-dhcp-server を編集する。

# isc-dhcp-server の設定ファイルとして
# /etc/dhcp/dhcpd.conf を使用する。
DHCPD_CONF=/etc/dhcp/dhcpd.conf

# /var/run/dhcpd.pid を
# isc-dhcp-server の PID ファイルとして使用する。
DHCPD_PID=/var/run/dhcpd.pid

# wlan0 インターフェイスを dhcp サーバとして使用し、
# dhcp リクエストを待ち受ける。
INTERFACES="wlan0"

#hostapd の設定
/etc/default/hostapd を編集する。

# /etc/hostapd/hostapd.conf を hostapd の設定ファイルとして使用する。
# hostapd はシステム起動時に起動する。
DAEMON_CONF="/etc/hostapd/hostapd.conf"

# -dd オプションを適用して hostapd を起動する。
# /var/log/syslog へ詳細なログメッセージを出力する。
DAEMON_OPTS="-dd"

/etc/hostapd/hostapd.conf を編集する。
雛形は /usr/share/doc/hostapd/examples/hostapd.conf.gz に収められている。

# wlan0 インターフェイスをアクセスポイントとして使用する。
interface=wlan0

# nl80211 ドライバを使用する。
driver=nl80211

# syslog へ全モジュールのログを記録する。
logger_syslog=-1
# 記録するレベルは informational message までとする。
logger_syslog_level=2

# バックグラウンド動作していない場合に限り、
# 全モジュールのログを stdout へ出力する。
logger_stdout=-1
# 出力するレベルは informational message までとする。
logger_stdout_level=2

# /var/run/hostapd へ UNIX ドメインソケットを作成する。
ctrl_interface=/var/run/hostapd
# gid 0(root) へ制御インターフェイスへの接続を許可する。
ctrl_interface_group=0

# ssid 名。
ssid=任意の ssid 名

# 日本で使用可能な電波出力とチャンネルを使用する。
country_code=JP

# IEEE 802.11d を有効にする。
# country_code を通知し、規制に基づいて
# 電波出力とチャンネルを設定する。
ieee80211d=1

# IEEE 802.11g の帯域を使用する。
hw_mode=g

# チャンネル設定
channel=1

beacon_int=100
dtim_period=2

# 最大 3 台までの端末接続を許可する。
max_num_sta=3

rts_threshold=2347
fragm_threshold=2346

# 接続端末の MAC アドレスに基づく認証を無効にする。
macaddr_acl=0

# 認証アルゴリズムとして Shared Key Authentication を使用する。
auth_algs=1

# 完全な ssid を知らない場合でも接続を許可する。
ignore_broadcast_ssid=0

# wmm パラメータの設定。
wmm_enabled=1
wmm_ac_bk_cwmin=4
wmm_ac_bk_cwmax=10
wmm_ac_bk_aifs=7
wmm_ac_bk_txop_limit=0
wmm_ac_bk_acm=0
wmm_ac_be_aifs=3
wmm_ac_be_cwmin=4
wmm_ac_be_cwmax=10
wmm_ac_be_txop_limit=0
wmm_ac_be_acm=0
wmm_ac_vi_aifs=2
wmm_ac_vi_cwmin=3
wmm_ac_vi_cwmax=4
wmm_ac_vi_txop_limit=94
wmm_ac_vi_acm=0
wmm_ac_vo_aifs=2
wmm_ac_vo_cwmin=2
wmm_ac_vo_cwmax=3
wmm_ac_vo_txop_limit=47
wmm_ac_vo_acm=0

# 送信失敗が頻発するか、何らかの原因で接続が失われると
# 端末の接続解除を実行する。
disassoc_low_ack=1

# HT PHY をサポートしない端末でも接続を許可する。
require_ht=0

eapol_key_index_workaround=0

eap_server=0

# アクセスポイント自身の IP アドレスを 127.0.0.1 とする。
own_ip_addr=127.0.0.1

# WPA2 を使用する。
wpa=2

# 接続認証に使用するパスワード。
wpa_passphrase=任意のパスワード

# 鍵管理アルゴリズムとして WPA-PSK を使用する。
wpa_key_mgmt=WPA-PSK

# RSN / WPA2 の共有鍵暗号化方式として CCMP を使用する。
rsn_pairwise=CCMP

#コマンド
##sudo lsmod | grep ath
無線 LAN デバイスが ath5k, ath9k に対応しているかどうかを確認する。

##iw list
無線 LAN デバイスがサポートしている機能を表示する。

##hostapd -d /etc/hostapd/hostapd.conf
設定ファイルをテストする。構成エラーがある場合にはエラーが表示され、
hostapd の実行を中断する。
エラーが無い場合は hostapd が起動され、コンソールへデバッグメッセージが表示される。

##service hostapd start
hostapd を起動する。

##service hostapd restart
hostapd を再起動する。

##service isc-dhcp-server restart
isc-dhcp-server を再起動する。

##ufw disable && ufw enable
ufw を再起動する。

13
14
0

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
Sign upLogin
13
14

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?