为什么我们不能通过无线网卡轻松桥接

Question

在Debian的文档中写道：

就像您可以桥接两个有线以太网接口一样，您也可以桥接以太网接口和无线接口。但是，大多数接入点 (AP) 会拒绝源地址未通过 AP 进行身份验证的帧。由于 Linux 透明地进行以太网桥接（不修改传出或传入帧），我们必须设置一些规则来使用名为 ebtables 的程序来完成此操作。

我想知道为什么连接到有线以太网接口的机器无法通过 AP 进行身份验证。在这种情况下，桥应该正常工作，不是吗？

Answer 1

问题是常规模式下的无线帧只有三个 MAC 地址的空间。细节有点复杂，但粗略地说，“分布式系统”的外部接口有一个 MAC 地址，如标准中所称（接入点的集合），一个用于接入点本身，以及一为站（客户端）。

这就是为什么您可以桥接接入点，但不能桥接站：站桥后面的任何其他机器都没有留下 MAC 地址。站的 MAC 地址可以由该地址替换，但随后 AP 将拒绝它，如您的报价中所述，因为此数据包看起来像是来自另一个未关联的站（并且没有建立加密，如果您正在使用 WPA）。

现在有一种较新的 4 地址模式（有时也称为 WDS = 电线分配系统；有时 WDS 表示专有扩展），但您必须将所有WLAN 设备更改为 4 地址模式才能使其工作。

另一种选择是在单个网络接口上允许多个站 - 较新的 WLAN 卡允许这样做，然后原则上您可以将其中的一个用作桥接机器的代理（但这需要额外的努力；简单的桥接仍然行不通，因为你必须隐藏站的 MAC 地址）。