LINUX.ORG.RU
← Безопасность VLAN или IPTABLES?
nfsen: rrd configuration →
Ответ на: комментарий от zolden

упс, а откуда у меня правила иптаблес взялись? я их не прописывал

# ip l
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 16436 qdisc noqueue state UNKNOWN mode DEFAULT 
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP mode DEFAULT qlen 1000
    link/ether c8:60:00:77:da:5d brd ff:ff:ff:ff:ff:ff
3: wlan0: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN mode DEFAULT qlen 1000
    link/ether 1c:bd:b9:8b:f0:1a brd ff:ff:ff:ff:ff:ff
6: virbr0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN mode DEFAULT 
    link/ether 00:00:00:00:00:00 brd ff:ff:ff:ff:ff:ff
24: macvtap0@eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP mode DEFAULT qlen 500
    link/ether 52:54:00:5a:ee:7f brd ff:ff:ff:ff:ff:ff
# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 16436 qdisc noqueue state UNKNOWN 
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether c8:60:00:77:da:5d brd ff:ff:ff:ff:ff:ff
    inet 10.20.1.5/16 brd 10.20.255.255 scope global eth0
    inet6 fe80::ca60:ff:fe77:da5d/64 scope link 
       valid_lft forever preferred_lft forever
3: wlan0: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN qlen 1000
    link/ether 1c:bd:b9:8b:f0:1a brd ff:ff:ff:ff:ff:ff
    inet 192.168.1.1/24 brd 192.168.1.255 scope global wlan0
6: virbr0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN 
    link/ether 00:00:00:00:00:00 brd ff:ff:ff:ff:ff:ff
    inet 192.168.122.1/24 brd 192.168.122.255 scope global virbr0
24: macvtap0@eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 500
    link/ether 52:54:00:5a:ee:7f brd ff:ff:ff:ff:ff:ff
    inet6 fe80::5054:ff:fe5a:ee7f/64 scope link 
       valid_lft forever preferred_lft forever
# ip r
default via 10.20.1.77 dev eth0 
10.20.0.0/16 dev eth0  proto kernel  scope link  src 10.20.1.5 
192.168.122.0/24 dev virbr0  proto kernel  scope link  src 192.168.122.1
# ip n
10.20.1.77 dev eth0 lladdr 00:60:08:0f:04:6e REACHABLE
r# iptables-save
# Generated by iptables-save v1.4.14 on Wed Nov  7 13:16:11 2012
*nat
:PREROUTING ACCEPT [69145:11035188]
:INPUT ACCEPT [27847:4534312]
:OUTPUT ACCEPT [443249:29019463]
:POSTROUTING ACCEPT [443662:29043674]
-A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -p tcp -j MASQUERADE --to-ports 1024-65535
-A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -p udp -j MASQUERADE --to-ports 1024-65535
-A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -j MASQUERADE
COMMIT
# Completed on Wed Nov  7 13:16:11 2012
# Generated by iptables-save v1.4.14 on Wed Nov  7 13:16:11 2012
*mangle
:PREROUTING ACCEPT [4140870:1436351980]
:INPUT ACCEPT [4067819:1392171047]
:FORWARD ACCEPT [32388:37718555]
:OUTPUT ACCEPT [7332012:7212108390]
:POSTROUTING ACCEPT [7368649:7250090385]
-A POSTROUTING -o virbr0 -p udp -m udp --dport 68 -j CHECKSUM --checksum-fill
COMMIT
# Completed on Wed Nov  7 13:16:11 2012
# Generated by iptables-save v1.4.14 on Wed Nov  7 13:16:11 2012
*filter
:INPUT ACCEPT [4067772:1392161930]
:FORWARD ACCEPT [3216:193928]
:OUTPUT ACCEPT [7332012:7212108390]
-A INPUT -i virbr0 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -i virbr0 -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -i virbr0 -p udp -m udp --dport 67 -j ACCEPT
-A INPUT -i virbr0 -p tcp -m tcp --dport 67 -j ACCEPT
-A FORWARD -d 192.168.122.0/24 -o virbr0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -s 192.168.122.0/24 -i virbr0 -j ACCEPT
-A FORWARD -i virbr0 -o virbr0 -j ACCEPT
-A FORWARD -o virbr0 -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -i virbr0 -j REJECT --reject-with icmp-port-unreachable
COMMIT
# Completed on Wed Nov  7 13:16:11 2012

два последних правила удалять?

xsektorx ★★★
() автор топика
Ответ на: комментарий от xsektorx

Я не знаю, с квм не работал, но если по аналогии с XEN всё работает, то это делают скрипты самого KVM
Раскуривай скрипты или гуру жди

zolden ★★★★★
()
Ответ на: комментарий от vasily_pupkin 
# virsh nwfilter-list
UUID                                  Name                 
----------------------------------------------------------------
7f35f04f-4e8c-4fc1-570b-a52f4aa339d6  allow-arp           
b11cab3a-9caa-e6c7-039b-9a6679377cf2  allow-dhcp          
20dbbfc4-1afb-9f62-f61d-bbcb62effecb  allow-dhcp-server   
89dc4f12-0d47-10a8-90f1-d5b76eb28b21  allow-incoming-ipv4 
e9d69f64-9dc8-0b34-4d70-3f876c11f90c  allow-ipv4          
d1809240-e0b4-c31b-ab89-ba1e085270c1  clean-traffic       
124b5370-87da-57f1-5c7b-5182742ab275  no-arp-ip-spoofing  
6126a58a-9ede-6997-cd6c-e00976d7eef3  no-arp-mac-spoofing 
bfa54405-9888-7a31-f860-40071fc9b405  no-arp-spoofing     
7be4fb42-ac22-bfbd-d37c-95d375bd5032  no-ip-multicast     
2ef84655-3ed2-42f8-f5a2-79892e2055c1  no-ip-spoofing      
806699f6-385f-1411-8f12-5c8afe35cf61  no-mac-broadcast    
9ce44bf4-1768-555a-6632-d0287b1f1214  no-mac-spoofing     
9e52eec4-4fd4-6c0a-d0dc-f3583e553c77  no-other-l2-traffic 
ba508778-f33a-ffd5-78e2-760187ee8d5e  no-other-rarp-traffic
9eced832-d6ed-7e12-872f-45d26e454d7d  qemu-announce-self  
3c4e74f9-de60-0da5-aed2-245e0dc663cd  qemu-announce-self-rarp
xsektorx ★★★
() автор топика
Ответ на: комментарий от dyasny

у меня дебиан, так что

# /etc/network/if-pre-up.d/bridge
# brctl show virsh dumpxml $VM
bridge name     bridge id               STP enabled     interfaces
virsh           can't get info No such device
dumpxml         can't get info No such device
xsektorx ★★★
() автор топика
Ответ на: комментарий от dyasny

/etc/sysconfig/network-scripts/ifcfg-* - тут наверное эквивалент в дебиане

а что эти скрипты делают? если я правильно понял, нужна конфигурация интерфейсов. так вот:

# cat /etc/network/interfaces
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
allow-hotplug eth0
iface eth0 inet static
        address 10.20.1.5
        netmask 255.255.0.0
        gateway 10.20.1.77

#allow-hotplug wlan0
#iface wlan0 inet static
#       address 192.168.1.1
#       netmask 255.255.255.0

brctl show

# brctl show
bridge name     bridge id               STP enabled     interfaces

virsh dumpxml $VM

# virsh dumpxml abills
<domain type='kvm' id='1'>
  <name>abills</name>
  <uuid>a1d203c4-6c2e-f870-f283-1267951643f6</uuid>
  <memory unit='KiB'>1048576</memory>
  <currentMemory unit='KiB'>1048576</currentMemory>
  <vcpu placement='static'>2</vcpu>
  <os>
    <type arch='x86_64' machine='pc-1.1'>hvm</type>
    <boot dev='hd'/>
    <bootmenu enable='yes'/>
  </os>
  <features>
    <acpi/>
    <apic/>
    <pae/>
  </features>
  <clock offset='utc'/>
  <on_poweroff>destroy</on_poweroff>
  <on_reboot>restart</on_reboot>
  <on_crash>restart</on_crash>
  <devices>
    <emulator>/usr/bin/kvm</emulator>
    <disk type='file' device='disk'>
      <driver name='qemu' type='raw'/>
      <source file='/home/xsektorx/.vm/kvm/abills.img'/>
      <target dev='vda' bus='virtio'/>
      <alias name='virtio-disk0'/>
      <address type='pci' domain='0x0000' bus='0x00' slot='0x07' function='0x0'/>
    </disk>
    <disk type='file' device='cdrom'>
      <driver name='qemu' type='raw'/>
      <source file='/home/xsektorx/tmp/debian-6.0.6-amd64-i386-netinst.iso'/>
      <target dev='hdc' bus='ide'/>
      <readonly/>
      <alias name='ide0-1-0'/>
      <address type='drive' controller='0' bus='1' target='0' unit='0'/>
    </disk>
    <controller type='usb' index='0'>
      <alias name='usb0'/>
      <address type='pci' domain='0x0000' bus='0x00' slot='0x01' function='0x2'/>
    </controller>
    <controller type='ide' index='0'>
      <alias name='ide0'/>
      <address type='pci' domain='0x0000' bus='0x00' slot='0x01' function='0x1'/>
    </controller>
    <controller type='sata' index='0'>
      <alias name='sata0'/>
      <address type='pci' domain='0x0000' bus='0x00' slot='0x05' function='0x0'/>
    </controller>
    <interface type='direct'>
      <mac address='52:54:00:5a:ee:7f'/>
      <source dev='eth0' mode='bridge'/>
      <target dev='macvtap0'/>
      <model type='virtio'/>
      <alias name='net0'/>
      <address type='pci' domain='0x0000' bus='0x00' slot='0x03' function='0x0'/>
    </interface>
    <serial type='pty'>
      <source path='/dev/pts/0'/>
      <target port='0'/>
      <alias name='serial0'/>
    </serial>
    <console type='pty' tty='/dev/pts/0'>
      <source path='/dev/pts/0'/>
      <target type='serial' port='0'/>
      <alias name='serial0'/>
    </console>
    <input type='tablet' bus='usb'>
      <alias name='input0'/>
    </input>
    <input type='mouse' bus='ps2'/>
    <graphics type='vnc' port='5900' autoport='yes'/>
    <sound model='ich6'>
      <alias name='sound0'/>
      <address type='pci' domain='0x0000' bus='0x00' slot='0x04' function='0x0'/>
    </sound>
    <video>
      <model type='cirrus' vram='9216' heads='1'/>
      <alias name='video0'/>
      <address type='pci' domain='0x0000' bus='0x00' slot='0x02' function='0x0'/>
    </video>
    <memballoon model='virtio'>
      <alias name='balloon0'/>
      <address type='pci' domain='0x0000' bus='0x00' slot='0x06' function='0x0'/>
    </memballoon>
  </devices>
  <seclabel type='none'/>
</domain>
xsektorx ★★★
() автор топика
Ответ на: комментарий от xsektorx

давно не трогал настройки дебианов, так что не помню как это там писать, но

1. надо создать бридж над eth0

2. дать бриджу айпи, вместо eth0

3. подключить ВМ к бриджу (в гуях он появится)

ВМ и хост станут друг друга пинговать без проблем

dyasny ★★★★★
()
Ответ на: комментарий от dyasny

ну я и говорю - надо интерфасес подправлять по ходу. спасибо

xsektorx ★★★
() автор топика
Ответ на: комментарий от MakPol

короче настраиваешь как-то бр0 вместо етх0 и работает. в сети пошарь, есть мануалы

xsektorx ★★★
() автор топика
14 апреля 2013 г.
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← Безопасность VLAN или IPTABLES?
Admin
nfsen: rrd configuration →