KVM Настройка сети

Как организовать такой тип сети чтобы все пакеты идущие на хост ретранслировались на все виртуалки.

Чего?

В том смысле что подняв еще один сервис на новой виртуалке нужно прописать новое правило для проброса портов в срипт. Это адово неудобно тем что службу KVM обязательно нужно перезапусить и тут остальные виртуалки получают короткий но полный дисконнект.

Чего-то не понял про какой скрипт речь и почему надо перезапускать службу

какой ужас. подними мост и забудь про все эти проблемы, он будет работать как раз как vswitch.

Он не может же. У хостера доступ выдан только на один мак)

Виртуалки за NATом поэтому использую qemu hook script который прописывает правила iptables,да он срабатывает только при перезапуске службы KVM.

Я же сразу сказал что новичок, не исключаю что забиваю гвоздь микроскопом. Я не нашел другого способа как модно работать при наличии одного IP. Пожалуйста ткните носом в мануал как поднять такой бридж

гугли linux bridge и kvm network bridge

Если правильно распарсил, то все уже написали. Виртуалки в бридж, на хоcте рулите iptables для проброса портов куда надо.

KVM создает дефолтный бридж с NAT. То есть из внутренней сети я без проблем могу выйти в интернет. Задача другая, нужно чтобы по внешнему IP адресу были доступны порты всех виртуалок. На данный момент я это и так реализую с помощью iptable. И пояснил выше что это мучительно неудобно (через скрипт). Голый autosave для iptables с KVM работает криво.

Поэтому прошу помощи организовать такой тип бриджа чтобы все виртуалки были доступны из внешней сети как и хост по всем портам как будто это одна цельная машина с моим фиксированным IP. Далее я уже на самих виртуалках решу какие мне порты открыть/закрыть. Тобишь полный тотальный проброс всех входящих соединений. Надеюсь понятно изложил.

Сразу оговорюсь что технической возможности получить дополнительные IP у провайдера нет
чтобы все виртуалки были доступны из внешней сети как и хост по всем портам как будто это одна цельная машина с моим фиксированным IP

Как сделаете не забудьте поделиться с сообществом. А то мужики-то не в курсе.

Уточните... Я много хочу? Это невозможно на KVM? Или все возможно и на столько элементарно что я не понял вашей иронии

Это не имеет отношения конкретно к kvm. Зеркалировать трафик можно, вопрос что из этого получиться. Рекомендую задуматься над этим вопросом.

Я работал в таком режиме на VMWARE все было чудно. Подскажите как на KVM такое реализовать либо более человечный способ работы с правилами проброса портов без hook scripts... Может есть вменяемый софт с юзерфрендли гуи интерфейсом, где это удобно можно задать и главное без остановки служб

KVM Настройка сети (комментарий)

Тебе нужен бридж на хосте + прописываешь правила форвардинга портов в iptables/firewalld. Рестартить KVM это просто дикость какая-то.

Задача другая, нужно чтобы по внешнему IP адресу были доступны порты всех виртуалок.

чтобы все виртуалки были доступны из внешней сети как и хост по всем портам как будто это одна цельная машина с моим фиксированным IP

Давай представим (в альтернативной вселенной), что ты добился поставленной задачи.

На твой фиксированный ip приходит запрос на 22 порт (ssh). К какой системе ты подключишься, при условии, что на всех трех системах работает sshd?

Варианты ответа: 1. Хост 2. Гость 1 3. Гость 2 4. Ко всем трем сразу (Матрица) 5. Что тут, б-ть, происходит?

Думаю в том порядке в котором обрабатывается весь трафик, начиная с хоста. Был бы такой механизм уверен я бы справился с проставлением приоритетов. Еще раз повторюсь на VMWARE это работало и никак не мешало. Если порт закрыт на хосте он обслуживается виртуалками.

Мне кажется, что ты говоришь про port mirroring.

Но для твоих задач тебе уже верно посоветовали использовать port forwarding.

да, не обратил внимание. надо иногда до конца дочитывать

более интересная идея - поднимаем все виртуалки как сейчас, за NATом, в общей внутренней сети. Поднимаем дополнительную машину чисто как раутер (ну и файрволл, можно с pfsense или что там сейчас модно), с двумя v-nic, один в default куда направлены все порты, второй в частную сеть. Порты все кидаем на машину с раутером.

На раутере настраиваем и всячески развлекаемся с port forwarding на остальные машины.

Как ты на гипервизор попадешь, если виртуалка с роутером упадет/заглючит?

Нормальный хостер дает BMC обычно. Плюс, на раутер направляем все порты кроме тех которые оставляем хосту. Идея в том что за счет небольшой добавки к сложности получаем бОльшую гибкость в настройках, и libvirt hook только для машины с раутером, остальным не нужно.

Ты это не мне, а ТСу объясняй) У меня эта схема несколько лет как работает.

ТС-у надо - он прочтет :)

Идея хорошая, какой роутер посоветуете так чтобы попроще и попонятнее GUI аля KERIO

никогда не видел керио, и не стремлюсь. На выбор:

https://en.wikipedia.org/wiki/List_of_router_and_firewall_distributions

Тс а ты точно уверен, что надо каждый раз делать рестарт демона после добавления правил в хук скрипт. Сейчас уже не припомню, но мне казалось, что достаточно одного раза...

уверен иначе не добавит в iptables