ファイアウォールコマンド - add-forward-port が機能しない

Question

本当の問題:

コマンド...

firewall-cmd --permanent --zone=public --direct --add-rule ipv4 filter FORWARD 0 -d 0.0.0.0/0 -j ACCEPT
firewall-cmd --permanent --zone=public --add-forward-port=port=222:proto=tcp:toport=22:toaddr=10.1.0.9
firewall-cmd --reload

...「UPDATE II」で説明されているように、firewalld (CentOS 7 で使用) と同様に動作します。

問題は KVM (libvirt) にあります。KVM は、「ネットワーク」を起動するときに、virbr0 が (おそらく、firewalld 経由で) ルールを挿入し、従来の方法によるポート転送の試行を (最初の一致の原則に従って) 防止しますfirewall-cmd。KVM が挿入した (libvirt) ルールは、FORWARD と POSTROUTING の先頭にあり、通常の firewalld ルールセットの前にあります。netfilter は最初の一致の原則に従って動作するため、これらのルールは、

解決：

KVM (libvirt) によってファイアウォールに挿入されたルールによって生成される問題に対する解決策は、以下で説明するように、libvirt-hook-qemu と呼ばれるハック/回避策を使用することです...

libvirt-hook-qemu をダウンロードしてインストールします...

yum -y install git-core
cd /usr/local/src
git clone https://github.com/saschpe/libvirt-hook-qemu.git
cd libvirt-hook-qemu
make install
cd ..
rm -rf libvirt-hook-qemu

仮想マシン (ゲスト) を一覧表示します...

virsh list --all

...ターゲット仮想マシンの名前をコピーします。

仮想マシンをオフにします...

virsh shutdown "<VM_NAME>" --mode acpi

ファイル「hooks.json」を開き、その内容を削除します...

vi /etc/libvirt/hooks/hooks.json

...そして、以下のテンプレートに従ってルールを入力します (他の設定方法も可能です)...

{
    "<VM_NAME>": {
        "interface": "virbr0",
        "private_ip": "<VM_IP>",
        "port_map": {
            "tcp": [[<PORT_ON_HOST>, <PORT_ON_GUEST>]]
        }
    }
}

libvirtd を再起動します...

systemctl restart libvirtd.service

...そして仮想マシンを起動します...

virsh start "<VM_NAME>"

完了！=D

さらに遠く：

この KVM (libvirt) の動作 (ポート転送の試行を阻止するルールを挿入する) は、強制的で、侵入的で、不必要です... 第一に、ホストにポート転送がないため、仮想マシンはデフォルトネットワーク (virbr0) に到達できず、第二に、ハック/回避策 (またはブラジルで「gato」/「gambiarra」と呼ぶもの =D) の使用を強制するためです。

私たちの見解では、ユーザーにインフラストラクチャの構築方法を強制するのは意味がありません...これは意味がありません! 率直に言って、他の主要なハイパーバイザーと同様に、これらの設定がオプション (ルールを挿入するなど) であれば最適だと考えています。さらに、KVM (libvirt) でこのようなものを制御する場合は、ポートを仮想マシンにマップする方法も提供する必要があります。

KVM（libvirt）は素晴らしいツールですが、さまざまな理由から、すべてのユーザーがマシンをホストマシンのネットワークに直接配置することに同意するわけではありません。同様に、すべてのユーザーが、デフォルトネットワーク (virbr0) が提供する柔軟性とアクセス性をすべて放棄することに同意するわけではありません。

ありがとう！

[参照.:バグ報告、参考:、 https://libvirt.org/formatnetwork.html#examplesルート、 https://saschpe.wordpress.com/2014/03/06/dynamic-iptables-port-forwarding-for-nat-ed-libvirt-networks/、 https://serverfault.com/q/170079/276753、 https://serverfault.com/q/915257/276753、 https://wiki.libvirt.org/page/VirtualNetworking#Routed_mode、 https://www.centos.org/forums/viewtopic.php?f=50&t=71454&sid=7f5190a29eebbf755235ec3dc404a47f、 https://www.cyberciti.biz/faq/kvm-forward-ports-to-guests-vm-with-ufw-on-linux/]

アップデート：

ポート転送の試みを阻止するルールを挿入する

-> KVM の現在のアップストリーム (libvirt) では、この問題が解決されています。

これを参照してください: ...KVMの現在のアップストリーム（libvirt）は問題を解決しました...

Answer 1