KVM nat コマンドライン

Question 1

NATの一般的な考え方は、見えない変換されたアドレス。それらのアドレスへのルートはありません。それらは存在しません。変換されたアドレスのみが表示されます。

QEMU の場合も例外ではありません。この場合、ホストは「外部」、VM は「内部」にあるため、割り当てられたアドレスで VM にアクセスすることはできません。VM のアドレスは 10.0.2.2/24 ですが、インターネットに到達すると、そのパケットは 192.168.1.172 に変換されます。QEMUプロセスによってそのため、ホストはそれらのパケットを QEMU プロセスによって作成されたものと見なし、ローカルで実行されている Web ブラウザーなどからの他のパケットと同様に扱います。

ホストからVMにアクセスするには？NATがある場合、その背後に隠れているホストに到達するには、DNATルール。QEMUの場合も同様で、いくつかのルールを設定する必要があります。その後、ホストから（または必要に応じて他のホストから）VMと通信するには、選択したポートにパケットを送信します。ホスト住所。

によるQEMU ドキュメント、ユーザーモード NAT に DNAT ルールを設定するには、hostfwd句を使用します。コマンドラインに次のコードを導入してみましょう。

    -netdev user,id=usernet0,hostfwd=tcp::11111-:22 \
    -device virtio-net-pci,netdev=usernet0,mac=08:00:27:92:B0:51

qemu-system-x86_64すると、TCPポート11111が私のマシン上のプロセスによって占有され、ローカルホストポート 11111 の場合、VM のポート 22 に接続されます。

一般的な形式はですhostfwd=hostip:hostport-guestip:guestportが、を省略するとhostiplocalhost になり、を省略するとguestipゲストネットワーク内の最初の「非ゲートウェイ」アドレスになります。

あなたのことが言及されていることに気づきましたvirsh。を実行していますかlibvirt? その場合、質問は重複しています。コメントを参照してください。

Answer

NATの一般的な考え方は、見えない変換されたアドレス。それらのアドレスへのルートはありません。それらは存在しません。変換されたアドレスのみが表示されます。

QEMU の場合も例外ではありません。この場合、ホストは「外部」、VM は「内部」にあるため、割り当てられたアドレスで VM にアクセスすることはできません。VM のアドレスは 10.0.2.2/24 ですが、インターネットに到達すると、そのパケットは 192.168.1.172 に変換されます。QEMUプロセスによってそのため、ホストはそれらのパケットを QEMU プロセスによって作成されたものと見なし、ローカルで実行されている Web ブラウザーなどからの他のパケットと同様に扱います。

ホストからVMにアクセスするには？NATがある場合、その背後に隠れているホストに到達するには、DNATルール。QEMUの場合も同様で、いくつかのルールを設定する必要があります。その後、ホストから（または必要に応じて他のホストから）VMと通信するには、選択したポートにパケットを送信します。ホスト住所。

によるQEMU ドキュメント、ユーザーモード NAT に DNAT ルールを設定するには、hostfwd句を使用します。コマンドラインに次のコードを導入してみましょう。

    -netdev user,id=usernet0,hostfwd=tcp::11111-:22 \
    -device virtio-net-pci,netdev=usernet0,mac=08:00:27:92:B0:51

qemu-system-x86_64すると、TCPポート11111が私のマシン上のプロセスによって占有され、ローカルホストポート 11111 の場合、VM のポート 22 に接続されます。

一般的な形式はですhostfwd=hostip:hostport-guestip:guestportが、を省略するとhostiplocalhost になり、を省略するとguestipゲストネットワーク内の最初の「非ゲートウェイ」アドレスになります。

あなたのことが言及されていることに気づきましたvirsh。を実行していますかlibvirt? その場合、質問は重複しています。コメントを参照してください。

Question 2

VM ホスト上の物理イーサネットインターフェイスをブリッジに従属させることなく、ブリッジを使用できます。

サブネットの選択に固執するとします10.0.2.0/24(これは必須ではありません)。

# ip l add natbr0 type bridge
# ip a add 10.0.2.1/24 dev natbr0

次に、次のファイルを作成します。

$ echo 'allow natbr0' | sudo tee /etc/qemu/bridge.conf 
allow natbr0

次に、またはを使用して qemu を起動します-nic bridge,br=natbr0。-netdev bridge,br=natbr0,id=nb0 -device virtio-net,netdev=nb0これにより、tapVM が動的にブリッジされます (つまり、tapVM がシャットダウンされるとインターフェイスが削除されます)。

VM 上で静的 IP も構成する必要があります。

# ip a add 10.0.2.2/24 dev ens3
# ip r add default via 10.0.2.1

ホスト上に DHCP サーバー (dnsmasq など) も設定しない限り、VM 内で使用する DNS サーバーも忘れずに構成してください。

何らかの手段 (ebtables など) で通信をブロックしない限り、同じブリッジを使用する VM は相互に通信できることに注意してください。

ルートdefault(および使用する DNS サーバー) は、VM が「外部」にアクセスできるようにする場合にのみ必要です。VM ホストと通信できるようにするためだけに必要である場合は、2 番目のコマンドをスキップして、読み進めないでください。(まあ、を読んでくださいP.S.)

VM で特定の「パブリック」 DNS サーバーを使用しない場合は、ホスト上の dnsmasq を DNS フォワーダーとして構成するのがおそらく最善ですが、192.168.1.1基本的な DNS 要求の場合は DNAT を使用して転送することもできます。

次に、IP 転送を有効にする必要があります。

# sysctl -w net.ipv4.ip_forward=1
net.ipv4.ip_forward = 1

特定のネットワークインターフェースからの/へのIP転送を回避したい場合（例えば tun0) セキュリティ上の理由から、ファイアウォールを設定する必要があります。例えば:

# iptables -A FORWARD -i tun0 -j DROP
# iptables -A FORWARD -o tun0 -j DROP

実質的にルートを上書きする (VPN) トンネルルートがあるためdefault、VM からインターネットへのトラフィックもトンネルに入ります (上記の例のルールを追加しない限り)。トラフィックをルーター経由で送信する場合は、ポリシールーティングが必要です。例:

# ip ru add iif natbr0 lookup table 123
# ip r add 192.168.1.1 dev wlan0 table 123 # probably optional
# ip r add default via 192.168.1.1 table 123

VM が LAN ホストにアクセスできないようにすることもできます。

# iptables -A FORWARD -i natbr0 -d 192.168.1.0/24 -j DROP

-IDNS 要求をルーターにリダイレクトする場合は、例外を設けてください ( に注意してください)。

# iptables -I FORWARD -i natbr0 -d 192.168.1.1 -p tcp --dport 53 -j ACCEPT
# iptables -I FORWARD -i natbr0 -d 192.168.1.1 -p udp --dport 53 -j ACCEPT

最後に、VM サブネットに対して SNAT を動的に (送信インターフェイスに従って) 実行するように iptables を構成します。

# iptables -t nat -A POSTROUTING -s 10.0.2.0/24 -j MASQUERADE

これは、「外部」(物理 LAN ホストまたはインターネット。VM ホストはカウントされません) からの特定のトラフィックが VM に到達するのを完全に阻止することを意図したものではなく、阻止することもないことに注意してください。これは、VM からの応答トラフィックの送信元アドレスが転送される前に変更された場合に、副作用として通信が切断されるだけです。適切な分離を行うには、チェーン内に (追加の) 適切なルールが必要になりますFORWARD。必要な場合は、そこに「ステートフル」なセットアップを検討してください。

さらに、ホストへの DNS 要求を VM からルーターにリダイレクトすることもできます。

iptables -t nat -A PREROUTING -d 10.0.2.1 -p udp --dport 53 -j DNAT --to-destination 192.168.1.1
iptables -t nat -A PREROUTING -d 10.0.2.1 -p tcp --dport 53 -j DNAT --to-destination 192.168.1.1

10.0.2.1これにより、VM 内の DNS サーバーとして使用できるようになります。

PS 上記のすべての操作 ( の作成 / 書き込みを除く/etc/qemu/bridge.conf) は揮発性です。つまり、再起動すると消えてしまいます (ディストリビューションが何かおかしなことをしない限り)。さまざまな方法やアプローチがあり、ディストリビューション固有の場合もあるため、これらを永続的にする方法については詳しく説明しません。

Answer