Linux-Brücke für virtuelle Maschinen, die keine IP-Pakete weiterleitet (aber ARP weiterleitet)

Question

DockerLadungenDiebr_netfilterModul (um diesysctlproperty net.bridge.bridge-nf-call-iptables=1), wenn iptables verwendet wird. Dies machtüberbrücktFrames (Ethernet, Schicht 2) unterliegeniptablesFilterung (IP, Schicht 3):

Was ist Bridge-Netfilter?

Seit dem Linux-Kernel 3.18-rc1 müssen Sie modprobe br_netfilter ausführen, um Bridge-Netfilter zu aktivieren.

Der Bridge-Netfilter-Code ermöglicht die folgende Funktionalität:

{Ip,Ip6,Arp}-Tabellen können überbrückte IPv4/IPv6/ARP-Pakete filtern, selbst wenn es in einem 802.1Q VLAN- oder PPPoE-Header gekapselt ist. Dies ermöglicht die Funktionalität einer Stateful Transparent Firewall. Alle Filter-, Protokollierungs- und NAT-Funktionen der drei Tools können daher auf überbrückte Frames verwendet werden. In Kombination mit ebtables macht der Bridge-NF-Code Linux daher zu einer sehr leistungsstarken transparenten Firewall. Dies ermöglicht beispielsweise die Erstellung einer transparenten Masquerading-Maschine (d. h. alle lokalen Hosts denken, sie seien direkt mit dem Internet verbunden). Die Möglichkeit, {ip,ip6,arp}-Tabellen den überbrückten Datenverkehr anzeigen zu lassen, kann mit den entsprechenden Proc-Einträgen deaktiviert oder aktiviert werden., gelegen in /proc/sys/net/bridge/:

bridge-nf-call-arptables

bridge-nf-call-iptables

bridge-nf-call-ip6tables

Es gibt eine Dokumentation, die die Nebenwirkungen dieses Moduls erklärt. Diese Nebenwirkungen sindbeabsichtigtwenn es für Bridge Transparent Firewalling verwendet wird. Außerdem ist dieiptables physdev(das geladen wird br_netfilter, wenn es selbst geladen wird) kann match ohne es nicht richtig funktionieren (es wird einfach nicht mehr übereinstimmen). Es wird auch erklärt, wie man seine Auswirkungen verhindern kann, insbesondere inKapitel 7:

Aufgrund des br-nf-Codes gibt es zwei Möglichkeiten, wie ein Frame/Paket die drei angegebenen iptables-Ketten durchlaufen kann.Die erste Möglichkeit ist, wenn der Frame überbrückt wird, so dass die iptables-Ketten durch den Bridge-Code aufgerufen werdenDie zweite Möglichkeit ist die Weiterleitung des Pakets.

Anstatt den Anruf zu deaktivieren,iptablesdurch br_netfilterden Code wie folgt:

sysctl -w net.bridge.bridge-nf-call-iptables=0

man sollte sich anpasseniptablesRegeln, wo immer sie sind (einschließlich des Netzwerk-Namespaces), wie in Kapitel 7 erläutert, um Nebeneffekte zu vermeiden, indem beispielsweise Akzeptanzregeln in der FORWARD-Kette hinzugefügt werden, die nicht für das Routing, sondern für das Bridging vorgesehen sind. Das einfache Deaktivieren, um ein Problem zu beheben, stört die Anwendungen, die davon abhängen, angefangen bei der internen Containerisolierung von Docker.

Bis vor kurzemIn Kernel 5.3Dieses Modul war nicht namespace-bewusst und wurde durch das Laden plötzlich in allen Netzwerk-Namespaces aktiviert, was unerwarteterweise alle möglichen Probleme verursachte. Seitdem ist es auch möglich, es pro Bridge ( ip link set dev BRIDGE type bridge nf_call_iptables 1) statt pro Namespace zu aktivieren.

Sobald Tools (Docker...) und Kernel (>= 5.3) der Entwicklung folgen, sollte es ausreichen, es einfach in ausgewählten Netzwerk-Namespaces und Bridges zu aktivieren, aber heute wahrscheinlich nicht mehr. Beachten Sie auch, dassKernel 5.3auch geerbtes natives Bridge Stateful Firewalling, nutzbar durchNftables, was ein Schritt ist, um die Verwendung dieses Moduls überflüssig zu machen (sobald direkte Kapselungs-/Entkapselungsunterstützung in der Bridge für VLAN und PPPoE verfügbar ist):

Netzfilter

Fügen Sie native Verbindungsverfolgungsunterstützung für die Bridge hinzu. Vor diesem Patchset bestand die einzige Möglichkeit für Benutzer, Stateful Filtering durchzuführen, darin, die br_netfilter-Emulationsschicht zu verwenden. Dies ist ein Schritt nach vorne, um diese zu verwerfen.

Answer 1