Weiterleiten von Ports an Gäste in libvirt / KVM

Question 1

Die neueste stabile Version von libvirt für Ubuntu ist Version 0.7.5. Sie verfügt nicht über einige neuere Funktionen (z. B. Skript-Hooks und Netzwerkfilter), die die automatische Netzwerkkonfiguration erleichtern. Hier erfahren Sie, wie Sie die Portweiterleitung für libvirt 0.7.5 unter Ubuntu 10.04 Lucid Lynx aktivieren.

Die folgenden iptables-Regeln sollten funktionieren:

iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 80 -j DNAT --to-destination 10.0.0.1:80
iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 22 -j DNAT --to-destination 10.0.0.2:22
iptables -I FORWARD -m state -d 10.0.0.0/24 --state NEW,RELATED,ESTABLISHED -j ACCEPT

Die standardmäßige KVM-NAT-Konfiguration bietet eine ähnliche Regel wie die dritte, die ich oben angegeben habe, lässt jedoch den Status „NEW“ aus, der für die Annahme eingehender Verbindungen wichtig ist.

Wenn Sie ein Startskript schreiben, um diese Regeln hinzuzufügen, und dabei nicht vorsichtig sind, überschreibt libvirt 0.7.5 diese, indem es seine eigenen einfügt. Um sicherzustellen, dass diese Regeln beim Start richtig angewendet werden, müssen Sie sicherstellen, dass libvirt initialisiert wurde.VorSie fügen Ihre Regeln ein.

Fügen Sie vor der Zeile die folgenden Zeilen zu /etc/rc.local hinzu exit 0:

(
# Make sure the libvirt has started and has initialized its network.
while [ `ps -e | grep -c libvirtd` -lt 1 ]; do
        sleep 1
done
sleep 10
# Set up custom iptables rules.
iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 80 -j DNAT --to-destination 10.0.0.1:80
iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 22 -j DNAT --to-destination 10.0.0.2:22
iptables -I FORWARD -m state -d 10.0.0.0/24 --state NEW,RELATED,ESTABLISHED -j ACCEPT
) &

Das sleep 10Obige ist ein Hack, um sicherzustellen, dass der Libvirt-Daemon die Möglichkeit hatte, seine iptables-Regeln zu initialisieren, bevor wir unsere eigenen hinzufügen. Ich kann es kaum erwarten, bis sie Libvirt Version 0.8.3 für Ubuntu veröffentlichen.

Answer

Die neueste stabile Version von libvirt für Ubuntu ist Version 0.7.5. Sie verfügt nicht über einige neuere Funktionen (z. B. Skript-Hooks und Netzwerkfilter), die die automatische Netzwerkkonfiguration erleichtern. Hier erfahren Sie, wie Sie die Portweiterleitung für libvirt 0.7.5 unter Ubuntu 10.04 Lucid Lynx aktivieren.

Die folgenden iptables-Regeln sollten funktionieren:

iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 80 -j DNAT --to-destination 10.0.0.1:80
iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 22 -j DNAT --to-destination 10.0.0.2:22
iptables -I FORWARD -m state -d 10.0.0.0/24 --state NEW,RELATED,ESTABLISHED -j ACCEPT

Die standardmäßige KVM-NAT-Konfiguration bietet eine ähnliche Regel wie die dritte, die ich oben angegeben habe, lässt jedoch den Status „NEW“ aus, der für die Annahme eingehender Verbindungen wichtig ist.

Wenn Sie ein Startskript schreiben, um diese Regeln hinzuzufügen, und dabei nicht vorsichtig sind, überschreibt libvirt 0.7.5 diese, indem es seine eigenen einfügt. Um sicherzustellen, dass diese Regeln beim Start richtig angewendet werden, müssen Sie sicherstellen, dass libvirt initialisiert wurde.VorSie fügen Ihre Regeln ein.

Fügen Sie vor der Zeile die folgenden Zeilen zu /etc/rc.local hinzu exit 0:

(
# Make sure the libvirt has started and has initialized its network.
while [ `ps -e | grep -c libvirtd` -lt 1 ]; do
        sleep 1
done
sleep 10
# Set up custom iptables rules.
iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 80 -j DNAT --to-destination 10.0.0.1:80
iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 22 -j DNAT --to-destination 10.0.0.2:22
iptables -I FORWARD -m state -d 10.0.0.0/24 --state NEW,RELATED,ESTABLISHED -j ACCEPT
) &

Das sleep 10Obige ist ein Hack, um sicherzustellen, dass der Libvirt-Daemon die Möglichkeit hatte, seine iptables-Regeln zu initialisieren, bevor wir unsere eigenen hinzufügen. Ich kann es kaum erwarten, bis sie Libvirt Version 0.8.3 für Ubuntu veröffentlichen.

Question 2

Es gibt eine Möglichkeit, die Portumleitung im laufenden Betrieb einzurichtenwenn der Gast das User-Mode-Networking nutzt, ich habe hier darüber gebloggt:

http://blog.adamspiers.org/2012/01/23/port-redirection-from-kvm-host-to-guest/

Dort können Sie die Einzelheiten sehen, aber der Einfachheit halber ist hier die Lösung, die ich herausgefunden habe:

virsh qemu-monitor-command --hmp sles11 'hostfwd_add ::2222-:22'

Dieser Einzeiler ist viel einfacher als die anderen Antworten, funktioniert aber nur in einigen Szenarien (Netzwerkstapel im Benutzermodus).

Answer

Es gibt eine Möglichkeit, die Portumleitung im laufenden Betrieb einzurichtenwenn der Gast das User-Mode-Networking nutzt, ich habe hier darüber gebloggt:

http://blog.adamspiers.org/2012/01/23/port-redirection-from-kvm-host-to-guest/

Dort können Sie die Einzelheiten sehen, aber der Einfachheit halber ist hier die Lösung, die ich herausgefunden habe:

virsh qemu-monitor-command --hmp sles11 'hostfwd_add ::2222-:22'

Dieser Einzeiler ist viel einfacher als die anderen Antworten, funktioniert aber nur in einigen Szenarien (Netzwerkstapel im Benutzermodus).

Question 3

Eine „offiziellere“[1] Möglichkeit hierfür ist die Erstellung eines Hook-Skripts, wie es auf der libvirt-Website beschrieben wird:

http://wiki.libvirt.org/page/Networking#Forwarding_Incoming_Connections

... grundsätzlich wird dieses Skript aufgerufen, wenn ein KVM-Gast hochgefahren wird. Das Skript selbst fügt die entsprechenden iptable-Regeln hinzu (ähnlich wie Isaac Sutherlands Antwort oben) und fügt den Verbindungsstatus „NEU“ korrekt hinzu. Beachten Sie, dass Sie das Skript mit den richtigen Werten für Ihre Hosts und Ports ändern müssen.

[1] obwohl die libvirt-Dokumentation selbst sagt, dass dies eine Art Hack ist, stellen Sie sich vor

Answer

Eine „offiziellere“[1] Möglichkeit hierfür ist die Erstellung eines Hook-Skripts, wie es auf der libvirt-Website beschrieben wird:

http://wiki.libvirt.org/page/Networking#Forwarding_Incoming_Connections

... grundsätzlich wird dieses Skript aufgerufen, wenn ein KVM-Gast hochgefahren wird. Das Skript selbst fügt die entsprechenden iptable-Regeln hinzu (ähnlich wie Isaac Sutherlands Antwort oben) und fügt den Verbindungsstatus „NEU“ korrekt hinzu. Beachten Sie, dass Sie das Skript mit den richtigen Werten für Ihre Hosts und Ports ändern müssen.

[1] obwohl die libvirt-Dokumentation selbst sagt, dass dies eine Art Hack ist, stellen Sie sich vor

Question 4

Unter Ubuntu 20.04 habe ich mir folgendes Skript erstellt, das als /etc/libvirt/hooks/allow-portfw(chmod +x) gespeichert wird:

#!/bin/bash

CHAIN=LIBVIRT_FWI
IPTCMD="iptables -L $CHAIN -vn"
FILTERCMD="grep -v -e Chain -e pkts -e reject-with -e DNAT"

while $IPTCMD | grep ESTABLISHED | grep -v DNAT >/dev/null
do
    IF=$($IPTCMD | $FILTERCMD | awk '{print $7}' | head -n1)
    NET=$($IPTCMD | $FILTERCMD | awk '{print $9}' | head -n1)
    iptables -D $CHAIN -o $IF -d $NET -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
    iptables -I $CHAIN 1 -o $IF -d $NET -m conntrack --ctstate DNAT,RELATED,ESTABLISHED -j ACCEPT
done

die Einstiegssituation ist, dass uns NEW übrigens das DNAT-Flag für die FORWARDING-Kette fehlt, welches automatisch erstellt wird.

sudo iptables -L LIBVIRT_FWI -vn
Chain LIBVIRT_FWI (1 references)
 pkts bytes target     prot opt in     out     source               destination         
1741K 2661M ACCEPT     all  --  *      virbr0  0.0.0.0/0            192.168.122.0/24     ctstate RELATED,ESTABLISHED
   38  1972 REJECT     all  --  *      virbr0  0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable

Mein Skript fügt allen Definitionen das DNAT-Flag hinzu.

Auf diese Weise habe ich einfach die Portweiterleitung in iptables hinzugefügt mit

iptables -A PREROUTING -i mylanIF -p tcp --dport 3389 -j DNAT --to-destination 192.168.122.110:3389

Sie können die Pakete verwenden, iptables-persistentum diesen Status zu speichern (aber Sie müssen auf jeden Fall die Libvirt-Ketten aus dem Dump löschen).

Oder Sie verwenden ufwhierfür ein anderes Firewall-Skript.

Mein Skript basiert auf den Erkenntnissen aus dieser Adressehttps://www.cyberciti.biz/faq/kvm-forward-ports-to-guests-vm-with-ufw-on-linux/

Answer

Unter Ubuntu 20.04 habe ich mir folgendes Skript erstellt, das als /etc/libvirt/hooks/allow-portfw(chmod +x) gespeichert wird:

#!/bin/bash

CHAIN=LIBVIRT_FWI
IPTCMD="iptables -L $CHAIN -vn"
FILTERCMD="grep -v -e Chain -e pkts -e reject-with -e DNAT"

while $IPTCMD | grep ESTABLISHED | grep -v DNAT >/dev/null
do
    IF=$($IPTCMD | $FILTERCMD | awk '{print $7}' | head -n1)
    NET=$($IPTCMD | $FILTERCMD | awk '{print $9}' | head -n1)
    iptables -D $CHAIN -o $IF -d $NET -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
    iptables -I $CHAIN 1 -o $IF -d $NET -m conntrack --ctstate DNAT,RELATED,ESTABLISHED -j ACCEPT
done

die Einstiegssituation ist, dass uns NEW übrigens das DNAT-Flag für die FORWARDING-Kette fehlt, welches automatisch erstellt wird.

sudo iptables -L LIBVIRT_FWI -vn
Chain LIBVIRT_FWI (1 references)
 pkts bytes target     prot opt in     out     source               destination         
1741K 2661M ACCEPT     all  --  *      virbr0  0.0.0.0/0            192.168.122.0/24     ctstate RELATED,ESTABLISHED
   38  1972 REJECT     all  --  *      virbr0  0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable

Mein Skript fügt allen Definitionen das DNAT-Flag hinzu.

Auf diese Weise habe ich einfach die Portweiterleitung in iptables hinzugefügt mit

iptables -A PREROUTING -i mylanIF -p tcp --dport 3389 -j DNAT --to-destination 192.168.122.110:3389

Sie können die Pakete verwenden, iptables-persistentum diesen Status zu speichern (aber Sie müssen auf jeden Fall die Libvirt-Ketten aus dem Dump löschen).

Oder Sie verwenden ufwhierfür ein anderes Firewall-Skript.

Mein Skript basiert auf den Erkenntnissen aus dieser Adressehttps://www.cyberciti.biz/faq/kvm-forward-ports-to-guests-vm-with-ufw-on-linux/

Weiterleiten von Ports an Gäste in libvirt / KVM

Antwort1

Antwort2

Antwort3

Antwort4

verwandte Informationen