libvirt / KVM でゲストにポートを転送する

Question 1

Ubuntu 用の libvirt の最新の安定リリースはバージョン 0.7.5 ですが、自動ネットワーク構成を容易にするいくつかの新しい機能 (スクリプトフックやネットワークフィルターなど) は含まれていません。ただし、Ubuntu 10.04 Lucid Lynx で libvirt 0.7.5 のポート転送を有効にする方法は次の通りです。

次の iptables ルールが役に立つはずです:

iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 80 -j DNAT --to-destination 10.0.0.1:80
iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 22 -j DNAT --to-destination 10.0.0.2:22
iptables -I FORWARD -m state -d 10.0.0.0/24 --state NEW,RELATED,ESTABLISHED -j ACCEPT

デフォルトの KVM NAT 設定では、上で示した 3 番目のルールに似たルールが提供されますが、着信接続を受け入れるために不可欠な NEW 状態が省略されます。

これらのルールを追加する起動スクリプトを書いて注意しないと、libvirt 0.7.5は独自のルールを挿入して上書きします。したがって、起動時にこれらのルールが適切に適用されるようにするには、libvirtが初期化されていることを確認する必要があります。前にルールを挿入します。

/etc/rc.local の行の前に次の行を追加しますexit 0。

(
# Make sure the libvirt has started and has initialized its network.
while [ `ps -e | grep -c libvirtd` -lt 1 ]; do
        sleep 1
done
sleep 10
# Set up custom iptables rules.
iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 80 -j DNAT --to-destination 10.0.0.1:80
iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 22 -j DNAT --to-destination 10.0.0.2:22
iptables -I FORWARD -m state -d 10.0.0.0/24 --state NEW,RELATED,ESTABLISHED -j ACCEPT
) &

上記sleep 10は、独自のルールを追加する前に、libvirt デーモンが iptables ルールを初期化できるようにするためのハックです。Ubuntu 用の libvirt バージョン 0.8.3 がリリースされるのが待ちきれません。

Answer

Ubuntu 用の libvirt の最新の安定リリースはバージョン 0.7.5 ですが、自動ネットワーク構成を容易にするいくつかの新しい機能 (スクリプトフックやネットワークフィルターなど) は含まれていません。ただし、Ubuntu 10.04 Lucid Lynx で libvirt 0.7.5 のポート転送を有効にする方法は次の通りです。

次の iptables ルールが役に立つはずです:

iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 80 -j DNAT --to-destination 10.0.0.1:80
iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 22 -j DNAT --to-destination 10.0.0.2:22
iptables -I FORWARD -m state -d 10.0.0.0/24 --state NEW,RELATED,ESTABLISHED -j ACCEPT

デフォルトの KVM NAT 設定では、上で示した 3 番目のルールに似たルールが提供されますが、着信接続を受け入れるために不可欠な NEW 状態が省略されます。

これらのルールを追加する起動スクリプトを書いて注意しないと、libvirt 0.7.5は独自のルールを挿入して上書きします。したがって、起動時にこれらのルールが適切に適用されるようにするには、libvirtが初期化されていることを確認する必要があります。前にルールを挿入します。

/etc/rc.local の行の前に次の行を追加しますexit 0。

(
# Make sure the libvirt has started and has initialized its network.
while [ `ps -e | grep -c libvirtd` -lt 1 ]; do
        sleep 1
done
sleep 10
# Set up custom iptables rules.
iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 80 -j DNAT --to-destination 10.0.0.1:80
iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 22 -j DNAT --to-destination 10.0.0.2:22
iptables -I FORWARD -m state -d 10.0.0.0/24 --state NEW,RELATED,ESTABLISHED -j ACCEPT
) &

上記sleep 10は、独自のルールを追加する前に、libvirt デーモンが iptables ルールを初期化できるようにするためのハックです。Ubuntu 用の libvirt バージョン 0.8.3 がリリースされるのが待ちきれません。

Question 2

ポートリダイレクトをオンザフライで設定する方法がありますゲストがユーザーモードネットワークを使用している場合、私はここでそれについてブログに書きました：

http://blog.adamspiers.org/2012/01/23/port-redirection-from-kvm-host-to-guest/

詳細はそちらで確認できますが、便宜上、私が考え出した解決策を以下に示します。

virsh qemu-monitor-command --hmp sles11 'hostfwd_add ::2222-:22'

このワンライナーは他の回答よりもはるかに簡単ですが、一部のシナリオ (ユーザーモードネットワークスタック) でのみ機能します。

Answer

ポートリダイレクトをオンザフライで設定する方法がありますゲストがユーザーモードネットワークを使用している場合、私はここでそれについてブログに書きました：

http://blog.adamspiers.org/2012/01/23/port-redirection-from-kvm-host-to-guest/

詳細はそちらで確認できますが、便宜上、私が考え出した解決策を以下に示します。

virsh qemu-monitor-command --hmp sles11 'hostfwd_add ::2222-:22'

このワンライナーは他の回答よりもはるかに簡単ですが、一部のシナリオ (ユーザーモードネットワークスタック) でのみ機能します。

Question 3

より「公式」[1]な方法は、libvirt の Web サイトで説明されているようにフックスクリプトを作成することです。

http://wiki.libvirt.org/page/Networking#Forwarding_Incoming_Connections

... 基本的に、このスクリプトは KVM ゲストが起動したときに呼び出されます。スクリプト自体は、適切な iptable ルール (上記の Isaac Sutherland の回答と同様) を追加し、'NEW' 接続状態を正しく追加します。ホストとポートの正しい値を使用してスクリプトを変更する必要があることに注意してください。

[1] libvirtのドキュメントでは、これは一種のハックであると書かれていますが、

Answer

より「公式」[1]な方法は、libvirt の Web サイトで説明されているようにフックスクリプトを作成することです。

http://wiki.libvirt.org/page/Networking#Forwarding_Incoming_Connections

... 基本的に、このスクリプトは KVM ゲストが起動したときに呼び出されます。スクリプト自体は、適切な iptable ルール (上記の Isaac Sutherland の回答と同様) を追加し、'NEW' 接続状態を正しく追加します。ホストとポートの正しい値を使用してスクリプトを変更する必要があることに注意してください。

[1] libvirtのドキュメントでは、これは一種のハックであると書かれていますが、

Question 4

Ubuntu 20.04 では、次のスクリプトを作成しました。これは/etc/libvirt/hooks/allow-portfw(chmod +x) として保存されます。

#!/bin/bash

CHAIN=LIBVIRT_FWI
IPTCMD="iptables -L $CHAIN -vn"
FILTERCMD="grep -v -e Chain -e pkts -e reject-with -e DNAT"

while $IPTCMD | grep ESTABLISHED | grep -v DNAT >/dev/null
do
    IF=$($IPTCMD | $FILTERCMD | awk '{print $7}' | head -n1)
    NET=$($IPTCMD | $FILTERCMD | awk '{print $9}' | head -n1)
    iptables -D $CHAIN -o $IF -d $NET -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
    iptables -I $CHAIN 1 -o $IF -d $NET -m conntrack --ctstate DNAT,RELATED,ESTABLISHED -j ACCEPT
done

エントリ状況は、自動的に作成される FORWARDING チェーンの DNAT フラグが NEW bw. に欠けていることです。

sudo iptables -L LIBVIRT_FWI -vn
Chain LIBVIRT_FWI (1 references)
 pkts bytes target     prot opt in     out     source               destination         
1741K 2661M ACCEPT     all  --  *      virbr0  0.0.0.0/0            192.168.122.0/24     ctstate RELATED,ESTABLISHED
   38  1972 REJECT     all  --  *      virbr0  0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable

私のスクリプトは、すべての定義に DNAT フラグを追加します。

そうすれば、iptablesにポートフォワーディングを追加しただけで、

iptables -A PREROUTING -i mylanIF -p tcp --dport 3389 -j DNAT --to-destination 192.168.122.110:3389

パッケージを使用してiptables-persistentこの状態を保存できます (ただし、ダンプから libvirt チェーンを削除する必要があります)

または、ufw他のファイアウォールスクリプトを使用します。

私のスクリプトはこのアドレスからの調査結果に基づいていますhttps://www.cyberciti.biz/faq/kvm-forward-ports-to-guests-vm-with-ufw-on-linux/

Answer