OpenWrt Strongswan DHCP插件故障排查与修复指南

问题背景

在OpenWrt 24.10-rc4版本中，用户报告Strongswan的DHCP插件无法为虚拟专用网络客户端分配IPv4地址。该问题在从23.05版本升级后出现，表现为客户端无法获取DHCP地址，而IPv6静态地址分配仍正常工作。

问题现象

用户观察到以下关键现象：

1. 客户端无法通过Strongswan获取IPv4地址
2. 系统日志显示DHCP DISCOVER请求被发送，dnsmasq也返回了OFFER响应
3. updown脚本仅被IPv6事件触发
4. 使用tcpdump抓包可看到DHCP DISCOVER请求，但无后续响应

技术分析

网络拓扑与配置

典型配置包括：

• Strongswan作为虚拟专用网络服务器
• dnsmasq作为DHCP服务器
• 使用桥接接口(br-lan)和可能的VLAN接口

根本原因

经过深入分析，发现问题出在Strongswan的pf_handler模块对接收到的DHCP响应包处理不当。具体表现为：

1. 当DHCP服务器(dnsmasq)与Strongswan运行在同一主机时，DHCP响应会通过环回接口(lo)返回
2. pf_handler模块会检查接收接口的硬件类型，仅处理以太网(ARPHRD_ETHER)类型的接口
3. 环回接口(ARPHRD_LOOPBACK)被过滤掉，导致DHCP响应被丢弃

解决方案

Strongswan项目提供了两个关键修复补丁：

1. 基础修复补丁：修改pf_handler.c，使其能够正确处理环回接口的DHCP响应包。该补丁移除了对接口硬件类型的严格检查。

2. 增强补丁：增加了dhcp.interface_receive配置选项，允许单独指定接收DHCP响应的接口，提供更灵活的配置方式。

实施步骤

临时解决方案

对于无法立即应用补丁的用户，可以尝试以下临时方案：

1. 在dhcp配置中明确指定服务器广播地址：

dhcp {
    force_server_address = yes
    server = 192.168.1.255
}

2. 或者尝试绑定到具体接口：

dhcp {
    interface = br-lan
}

永久解决方案

建议应用Strongswan官方提供的修复补丁。补丁主要修改pf_handler.c文件中的接口处理逻辑，使其能够正确处理来自环回接口的DHCP响应。

技术细节

DHCP交互流程

在正常工作流程中：

1. 虚拟专用网络客户端连接时，Strongswan发送DHCP DISCOVER请求
2. dnsmasq接收请求并返回DHCP OFFER
3. Strongswan接收OFFER并继续DHCP协商过程

补丁关键修改

修复补丁主要做了以下修改：

1. 移除了对接口硬件类型的严格检查
2. 为环回接口提供默认MAC地址(00:00:00:00:00:00)
3. 增加了接收接口的独立配置选项

验证方法

应用补丁后，可通过以下方式验证修复效果：

1. 检查系统日志，确认DHCP流程完整完成
2. 使用tcpdump抓包确认DHCP交互正常
3. 验证客户端能够成功获取IP地址

总结

该问题揭示了在本地DHCP服务场景下的一个边界情况处理缺陷。通过本次修复，不仅解决了当前问题，还增强了Strongswan DHCP插件对不同网络环境的适应能力。建议所有使用Strongswan DHCP插件的OpenWrt用户在升级到24.10版本时应用相关补丁。

对于网络管理员而言，理解底层网络协议栈的行为和交互方式对于诊断此类问题至关重要。本次问题的排查过程也展示了从应用层日志到底层网络包分析的系统化故障排查方法的价值。