☰

vSwitch 経由の 2 つのホスト間のファイアウォール / IP ルールの問題

tag-icon • tag-icon linux linux-networking firewalld ip-routing
vSwitch 経由の 2 つのホスト間のファイアウォール / IP ルールの問題

ここでは 2 つのサーバーが稼働しています。1 つは Qemu VM ホストで、もう 1 つは一種のストレージ ボックスです。

これらは Hetzner マシンであり、vSwitch 経由で接続されています。

Server1 vSwitch インターフェース:

3: local@eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
    link/ether 10:7b:44:b1:5b:7d brd ff:ff:ff:ff:ff:ff
    inet 192.168.100.1/24 brd 192.168.100.255 scope global local
       valid_lft forever preferred_lft forever

Server1(VMホスト) IPルート:

default via <redacted-public-ip> dev eth0 proto static metric 100 
<redacted-public-ip> dev eth0 proto static scope link metric 100 
192.168.10.0/24 dev virbr0 proto kernel scope link src 192.168.10.254 metric 425 <-- virbr0 network
192.168.10.253 via 192.168.100.2 dev local <-- srv02 IP to fit in virbr0 net space

Server2 vSwitch インターフェース:

3: local@eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1400 qdisc noqueue state UP group default qlen 1000
    link/ether 08:60:6e:44:d6:2a brd ff:ff:ff:ff:ff:ff
    inet 192.168.100.2/24 brd 192.168.100.255 scope global local
       valid_lft forever preferred_lft forever
    inet 192.168.10.253/24 brd 192.168.10.255 scope global local
       valid_lft forever preferred_lft forever

サーバー2 IPルート:

default via <redacted-public-ip> dev eth0 proto static metric 100 
<redacted-public-ip> dev eth0 proto static scope link metric 100 
192.168.10.0/24 dev local proto kernel scope link src 192.168.10.253  <-- to access virbr0 via vSwitch

ルートは正しく設定されていると思います。firewalld サービスをオフにするとすべて正常に動作します。

しかし、電源を入れると問題が発生します。

これらは Server1 上のファイアウォール ゾーンです (firewalld を無効にするとすべてが機能します)

libvirt (active)
  target: ACCEPT
  icmp-block-inversion: no
  interfaces: virbr0
  sources: 
  services: dhcp dhcpv6 dns ssh tftp
  ports: 
  protocols: icmp ipv6-icmp
  forward: no
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 
    rule priority="32767" reject


public (active)
  target: default
  icmp-block-inversion: no
  interfaces: eth0 local
  sources: 
  services: cockpit dhcpv6-client ssh
  ports: 
  protocols: 
  forward: no
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules:

それぞれでマスカレードをオンにしてみましたが、両方とも同時にオンにしましたが、効果はありませんでした。私はこれを、Server2 から virbr0 の VM の 1 つに向けて単純な ping で「テスト」しています。

ここで私が見逃している明らかなことはありますか?

皆様、よろしくお願いします。

答え1

私はQEMUホストで次の2つのルールを使用してこの問題を解決することができました。

firewall-cmd --permanent --direct --add-rule ipv4 filter FORWARD 0 -o local -i virbr0 -j ACCEPT

firewall-cmd --permanent --direct --add-rule ipv4 filter FORWARD 0 -o virbr0 -i local -j ACCEPT

関連情報