br0VPNなしでの設定

Question

同じ質問に 2 つの質問がありますが、実際にはそれらは互いに依存していません。それでも両方に回答します。

また、noprefixrouteアドレスオプションは、ネットワーク構成の一部がルートを追加するために何らかの追加ツール (NetworkManager など) によって管理されていることを示唆しています。この回答では、ネットワークツールの統合については扱いません。これには、適切に再構成しないと後で変更が上書きされる可能性がある DHCP 構成の処理が含まれます。インターフェイスがダウンしたり削除されたりすると、多くの設定が消えてしまい、再度実行する必要があります。そのため、これは、担当するさまざまなネットワークツールのさまざまなフックで行うのが最適です。

`br0`VPNなしでの設定

ブリッジポートとして設定されたインターフェースはルーティングへの参加を失います

ブリッジポートとして設定すると、インターフェースに関連付けられたルートは無視されます。アドレスをそのままにしておくと、有害な副作用が発生する可能性があります。詳細はブログをご覧ください。Linuxブリッジの適切な分離:

フレームをデバイス固有の受信ハンドラ、もしあれば、

フレームをグローバルまたはデバイス固有のプロトコルハンドラー(例: IPv4、ARP、IPv6)。

ブリッジインターフェースの場合、カーネルはデバイス固有の受信ハンドラを設定しましたbr_handle_frame()。この関数は、STPおよびLLDPフレームの場合、または「brouting」が有効になっている場合を除き、受信インターフェースのコンテキストで追加の処理を許可しません。したがって、の プロトコルハンドラは実行されないこの場合。

ブリッジポートとなったインターフェースに設定された IP アドレスは、br0ルーティングに参加できる唯一のインターフェースである特別なブリッジのセルフインターフェース ( : ブリッジ自体) に移動する必要があります (他のオプションもありますが、簡単に説明します)。関連するルートについても同様です。

OP のデフォルトゲートウェイが 192.168.1.1/24 であると仮定します。これを最初のケースに書き直してみましょう。

ip link add name br0 up type bridge
ip link set dev enp7s0 master br0

ip address flush dev enp7s0
# previous command will also have removed all associated routes as a side effect
ip address add 192.168.1.100/24 dev br0
# previous command added the LAN route too as a side effect (no noprefixroute here)
ip route add default via 192.168.1.1

これにより、ホストと VM の両方がインターネットにアクセスできるようになります。

VM 部分では、vnet5ブリッジポートでもあり、ルーティングにも参加しないことに注意してください。ホストは VM とルーター (192.168.1.1) の間でフレームをスイッチングしているだけで、ルーティングは行われません。

VPNと`tun0`インターフェース

OpenVPNはTUN/TAPドライバ（Linuxではカーネルモジュールによって提供される）に依存していますtunドライバーは以下を提供できます:

レイヤー2 TAPインターフェース

vnet5これはイーサネットデバイスのように動作し、 VM ハイパーバイザーによって作成されるイーサネットブリッジポートとして設定できます。
またはレイヤー3 TUNインターフェース

フレーム情報 (イーサネット MAC アドレス) は含まれず、フレームも処理しませんが、レイヤー 3 以上のプロトコル (IPv4 または IPv6) のみを処理します。したがって、イーサネットブリッジポートとして設定することはできません。これは、tun0TUN モードで OpenVPN によって作成された OP です。

OpenVPNはブリッジ可能なTAPモードも使用できますが、リモートの再設定が必要です。サーバ側も、そしてすべてのネットワークレイアウトも: リモートサーバーも 192.168.1.0/24 LAN の一部になります。OP はそれを制御できないようです。

それでは、OP の TUN インターフェイスで何ができるかを考えてみましょう。これは、レイヤー 2 ではなく、レイヤー 3 のルーティングで実行されます。

信頼できる VM のみに以前の設定を再利用する

ホストにファイアウォールの制限やブリッジパスの変更などの高度なファイアウォールが含まれていない場合、VM に自身をゲートウェイとして使用するように強制することはできません。以前のようにブリッジされた VM は、単にホストを無視して 192.168.1.1 をゲートウェイとして保持し、そのトラフィックがtun0最終的にホストのインターフェイスを使用しないようにすることができます。

VM が信頼でき、再構成できる場合は、br0上記を維持し、に基づいて任意の OpenVPN 設定を適用しbr0(enp7s0参照をに置き換えますbr0)、VM が実行中 (アドレス 192.168.1.221) で VPN が起動したら、これを実行できます。

ホスト上

使用ポリシー/ソースベースルーティングこの特定のソースに対して別のルート結果を選択するには:

ip rule add from 192.168.1.221 lookup 1000
ip rule add iif tun0 lookup 1000
ip route add 192.168.1.0/24 dev br0 table 1000
ip route add default dev tun0 table 1000

ルーターとして設定:

sysctl -w net.ipv4.ip_forward=1

このような類似の NAT ルールがまだこのケースを処理していない場合は、次のようになります。

  iptables -t nat -A POSTROUTING -s 192.168.1.221 -o tun0 -j MASQUERADE

(Linux) VMでは、ホストのルーターの代わりにホストをゲートウェイとして使用します。
```
ip route flush to default
ip route add default via 192.168.1.100
```

信頼できないVMの場合の推奨事項: ホストのメインインターフェースをブリッジポートとして設定しないでください

tun0これにより、VM が改ざんしてはならないネットワークの部分が見えなくなるため、VM のトラフィックの通過を強制することが容易になります。

VMの設定を変更して独自のIPネットワークを使用する

例: 192.168.100.0/24 と静的 IP 192.168.100.2/24 (ホストのネットワーク DHCP の代わりに)、デフォルトゲートウェイ 192.168.100.1。Linux VM の場合:
```
ip address add 192.168.100.2/24 dev enp1s0
ip route add default via 192.168.100.1
```
ホスト上で、初期構成から開始します（ブリッジなしenp7s0）

ip address add 192.168.100.1/24 dev vnet5下記のゼロブリッジ（つまり、ブリッジポートとして設定されていvnet5ない直接）でも実行できますが、libvirtこれをさらに困難にするかもしれません。

VM専用のブリッジを用意するだけです（ここではアドレス192.168.100.1/24を使用していますが、通常はlibvirt192.168.122.1/24 にデフォルトのブリッジを提供しますvirbr0):
```
ip link add name br0 up type bridge
ip address add 192.168.100.1/24 dev br0
ip link set dev vnet5 master br0
```
また、ポリシールーティング2 つの関係するインターフェイス ( および ) の VM に関連するトラフィックの動作を変更します。br0通常tun0どおり、代替ルーティングテーブル内の既存のルートの複製と変更がいくつか発生します。ここでは、tun0ホストとその VM のみにサービスを提供するものと想定しています。最終目標は、VM 側からのものはすべて tun 側にルーティングされ、TUN 側からのものはすべて VM 側にルーティングされ、不要な側は無視されることです。
```
ip rule add iif br0 lookup 2000
ip rule add iif tun0 lookup 2000
ip route add 192.168.100.0/24 dev br0 table 2000
ip route add default dev tun0 table 2000 # layer 3 interfaces don't need a gateway
```
注:tun0ホスト宛ての（つまりルーティングされていない）受信パケットは、すでに地元ルーティングテーブルには、テーブル 2000 に追加のルートは必要ありません。

ルーターとして設定:
```
sysctl -w net.ipv4.ip_forward=1
```
リモート OpenVPN サーバーは 192.168.100.0/24 を認識していないため、NAT を完了します。
```
iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o tun0 -j MASQUERADE
```

VM が 192.168.1.0/24 LAN にまだ到達できる場合:

これに対応するためにテーブル2000を再度更新する

メインテーブルからテーブル 2000 に LAN ルートを複製します。
```
ip route add 192.168.1.0/24 dev enp7s0 table 2000
```
そして適切なMASQUERADEルールを再度追加する

... VM は現在、他のシステムが認識していない別の LAN にあるため:
```
iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o enp7s0 -j MASQUERADE
```
(一部の iptables ルールの因数分解は実行できます)。

Answer 1