IPTables и вопросы DHCP?

В другой теме я говорил о некоторых интересных вещах о политике и состояниях iptables, теперь я хотел бы больше узнать о том, как работает DHCP и как iptables его понимает.

ETH0 подключен к моему главному коммутатору, который получает динамический IP-адрес от моего маршрутизатора, чтобы получить не только доступ к Интернету, но и доступ к моей внешней сети.

ETH1 - это внутренняя карта, подключенная к внутреннему коммутатору, где клиенты X получают свои IPS с этого сервера.

Сеть ETH1 - 192.168.1.0/255.255.255.0, где ip сервера - 192.168.1.254.

Из того, что я понял, dhcp - это протокол bootp, поэтому даже если у вас есть политики брандмауэра для DROP всего, ваша сеть все равно получит DHCP, что в тестах, которые я сделал, казалось правдой.

Из tcpdump:

root@test:~# tcpdump -i eth1 port 67 or 68
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth1, link-type EN10MB (Ethernet), capture size 96 bytes
11:34:03.943928 IP 192.168.1.2.bootpc > 255.255.255.255.bootps: BOOTP/DHCP, Request from 00:0c:29:29:52:8b (oui Unknown), length 303
11:34:03.957647 IP 192.168.1.254.bootps > 192.168.1.2.bootpc: BOOTP/DHCP, Reply, length 300
11:34:06.492153 IP 192.168.1.2.bootpc > 192.168.1.254.bootps: BOOTP/DHCP, Request from 00:0c:29:29:52:8b (oui Unknown), length 303
11:34:06.506593 IP 192.168.1.254.bootps > 192.168.1.2.bootpc: BOOTP/DHCP, Reply, length 300

Я сделал простое правило журнала, чтобы увидеть, что делает iptables:

root@test:~# tail -f /var/log/syslog
Oct 15 11:30:58 test kernel: IN=eth1 OUT= MAC=ff:ff:ff:ff:ff:ff:00:0c:29:29:52:8b:08:00 SRC=192.168.1.2 DST=255.255.255.255 LEN=331 TOS=0x00 PREC=0x00 TTL=128 ID=9527 PROTO=UDP SPT=68 DPT=67 LEN=311
Oct 15 11:31:43 test kernel: IN=eth1 OUT= MAC=ff:ff:ff:ff:ff:ff:00:0c:29:29:52:8b:08:00 SRC=192.168.1.2 DST=255.255.255.255 LEN=331 TOS=0x00 PREC=0x00 TTL=128 ID=9529 PROTO=UDP SPT=68 DPT=67 LEN=311
Oct 15 11:33:32 test kernel: IN=eth1 OUT= MAC=ff:ff:ff:ff:ff:ff:00:0c:29:29:52:8b:08:00 SRC=192.168.1.2 DST=255.255.255.255 LEN=331 TOS=0x00 PREC=0x00 TTL=128 ID=9531 PROTO=UDP SPT=68 DPT=67 LEN=311
Oct 15 11:34:03 test kernel: IN=eth1 OUT= MAC=ff:ff:ff:ff:ff:ff:00:0c:29:29:52:8b:08:00 SRC=192.168.1.2 DST=255.255.255.255 LEN=331 TOS=0x00 PREC=0x00 TTL=128 ID=9533 PROTO=UDP SPT=68 DPT=67 LEN=311

Вот мои правила iptables на данный момент:

# deny all traffic
$IPT -P INPUT DROP
$IPT -P FORWARD DROP
$IPT -P OUTPUT DROP

# Use stateful inspection feature to only allow incoming connections
# related to connections I have already established myself
$IPT -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
$IPT -A OUTPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

# allow all traffic on lo interface
$IPT -A INPUT -i lo -j ACCEPT
$IPT -A OUTPUT -o lo -j ACCEPT

Таким образом, даже при использовании ПОЛИТИКИ по умолчанию для отбрасывания всего, я все равно получаю DHCP в своей сети, в то время как обновление IP занимает много времени.

Если я добавлю следующее правило к своему брандмауэру:

$IPT -I OUTPUT -o $INTIF -p udp --dport 67:68 --sport 67:68 -j ACCEPT

Это займет МНОГО МЕНЬШЕ ВРЕМЕНИ, чтобы обновить любого клиента DHCP.

Учитывая вышеизложенное:

1. почему его обновление занимает больше времени, даже если оно не заблокировано?
2. Можно ли вообще DROP DHPP-сервер, не выключая его?
3. Можно ли принять сервер DHCP в пределах iptables с BOOTP? как это сделать?

Если вы знаете хорошие ссылки, я не возражаю против того, чтобы брать много:)