Keine Netzwerkkonnektivität im LXC-Container, der im „gerouteten“ Modus eingerichtet ist

Question 1

Damit Ihr Schema funktioniert, sind mehrere Dinge erforderlich:

Überprüfen Sie die Weiterleitung an den Hostschnittstellen: ip -4 netconf show dev vetha8400046und ip -4 netconf show dev eth0. Sie sollten die aktivierte Weiterleitung in der Ausgabe sehen. Andernfalls aktivieren Sie sie mit dem sysctl -w net.ipv4.conf.<iface>.forwarding=1Befehl. Fügen Sie die entsprechenden Zeichenfolgen in die /etc/sysctl.confDatei ein, um sie dauerhaft zu machen.
Überprüfen Sie das Routing auf dem Host: ip -4 route get 8.8.8.8 from 192.168.33.11 iif vetha8400046. Sie sollten die gültige Route über Ihr Standard-Gateway sehen ( ... via 10.0.2.2 dev .... Überprüfen Sie auch die umgekehrte Route mit dem ip -4 route get 192.168.33.11 from 8.8.8.8 iif eth0.
Pingen Sie den Container vom Host aus an und umgekehrt.
Richten Sie das NAT auf dem Host ein: iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE. Pingen Sie einen externen Host vom Container aus an. Die Zähler dieser Regel iptables-save -csollten ungleich Null sein.
Stellen Sie die Frage, wenn Sie nicht weiterkommen.

Answer

Damit Ihr Schema funktioniert, sind mehrere Dinge erforderlich:

Überprüfen Sie die Weiterleitung an den Hostschnittstellen: ip -4 netconf show dev vetha8400046und ip -4 netconf show dev eth0. Sie sollten die aktivierte Weiterleitung in der Ausgabe sehen. Andernfalls aktivieren Sie sie mit dem sysctl -w net.ipv4.conf.<iface>.forwarding=1Befehl. Fügen Sie die entsprechenden Zeichenfolgen in die /etc/sysctl.confDatei ein, um sie dauerhaft zu machen.
Überprüfen Sie das Routing auf dem Host: ip -4 route get 8.8.8.8 from 192.168.33.11 iif vetha8400046. Sie sollten die gültige Route über Ihr Standard-Gateway sehen ( ... via 10.0.2.2 dev .... Überprüfen Sie auch die umgekehrte Route mit dem ip -4 route get 192.168.33.11 from 8.8.8.8 iif eth0.
Pingen Sie den Container vom Host aus an und umgekehrt.
Richten Sie das NAT auf dem Host ein: iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE. Pingen Sie einen externen Host vom Container aus an. Die Zähler dieser Regel iptables-save -csollten ungleich Null sein.
Stellen Sie die Frage, wenn Sie nicht weiterkommen.

Question 2

Dies ist die richtige Konfiguration, damit Debian 10-Container in unserem lokalen Netzwerk über ihre eigenen statischen IPs erreichbar sind und Zugriff auf das Internet haben.

Unser Vagrantfile:

Vagrant.configure("2") do |config|

  config.vm.define "main" do |main|
    main.vm.box = "bento/ubuntu-20.04"
    main.vm.box_version = "202010.24.0"
    main.vm.hostname = "lxc-host"

    main.vm.network "public_network", auto_config: false

    main.vm.provision "shell",
      run: "always",
      inline: "ip address add **192.168.1.200**/24 dev eth1"
    main.vm.provision "shell",
      run: "always",
      inline: "ip link set eth1 up"

    main.vm.provider :virtualbox do |vb|
        vb.memory = 1024
    end
  end

end

Beachten Sie, dass wir ein „öffentliches“ Netzwerk einrichten. Das bedeutet, dass Sie beim Starten von Vagrant aufgefordert werden, die zu verwendende Schnittstelle auszuwählen. Wählen Sie die Schnittstelle aus, die Sie für die Verbindung mit Ihrem lokalen Netzwerk verwenden.

Beachten Sie auch, dass wir vorerst nur eine einzige IP einrichten. Dies (192.168.1.200) wird die IP unseres Hosts sein.Wir richten hier keine IP des Containers ein.

Aktivieren Sie nach dem Starten unseres Hosts die IP-Weiterleitung in seiner Konfiguration, indem Sie die Kommentarzeichenfolge entfernen: net.ipv4.ip_forward=1in /etc/sysctl.confund sysctl durch Ausführen neu starten systemctl restart systemd-sysctl.

Vorausgesetzt, dass Sie die Installation und Einrichtung LXDauf dem Host korrekt durchgeführt haben, können Sie die Initialisierung lxdmit der folgenden Konfiguration durchführen:

config:
  core.https_address: '[::]:8443'
  core.trust_password: true
networks: []
storage_pools:
- config:
    source: [path-to-storage-pools-directory]
  description: ""
  name: default
  driver: dir
profiles:
- name: default
  config:
  description: ""
  devices:
    root:
      path: /
      pool: default
      type: disk
- name: test-container
  config:
    user.user-data: |
      #cloud-config
      bootcmd:
        - echo 'nameserver 8.8.8.8' > /etc/resolvconf/resolv.conf.d/tail
        - systemctl restart resolvconf
  description: Mail Server LXD profile
  devices:
    eth0:
      ipv4.address: 192.168.1.201
      nictype: routed
      parent: eth1
      type: nic
cluster: null

Ändern[Pfad zum Speicherpool-Verzeichnis]in den tatsächlichen Pfad zum Verzeichnis, in dem Sie Ihre Pools speichern möchten.

Beachten Sie, dass wir zum Einrichten des Netzwerks nicht Cloud-Init verwenden, da dies mit dem Netzwerkdienst von Debian kollidieren und zu einem Startfehler führen würde.

Beachten Sie auch, dass wir Cloud-Init verwenden, um den Nameserver für die Verwendung durch unseren Gast einzurichten.

192.168.1.201 wird die IP unseres Gastes sein. Dieses Setup setzt voraus, dass das lokale Netzwerk 192.168.1.0 ist. Wenn Ihr Netzwerk anders ist, ändern Sie die IPs entsprechend. Stellen Sie außerdem sicher, dass die hier verwendeten IPs nicht bereits von anderen Geräten im Netzwerk verwendet werden.

Wir verwenden hier zwei Profile, aber es bleibt Ihnen überlassen, wie Sie Ihre Konfiguration organisieren.

Lassen Sie uns nun unseren Container ausführen:

lxc launch images:debian/10/cloud our-actual-test-container --profile default --profile test-container

Es sollte laufen und im lokalen Netzwerk verfügbar sein, aber es hat keinen Zugriff auf das Internet, und das ist der schwierige Teil. Dies wird durch das Routing verursacht, das vom Vagrant/Virtualbox-Netzwerk eingerichtet wurde und auf der lxdAnnahme basiert, dass das Standard-Gateway dasjenige zum Vagrant/Virtualbox-Netzwerk ist. Das müssen wir beheben.

Bei der Ausführung ip rauf dem Host sollten Sie eine Liste mit Routen sehen – etwa so:

default via 10.0.2.2 dev eth0 proto dhcp src 10.0.2.15 metric 100 
10.0.2.0/24 dev eth0 proto kernel scope link src 10.0.2.15 
10.0.2.2 dev eth0 proto dhcp scope link src 10.0.2.15 metric 100 
192.168.1.0/24 dev eth1 proto kernel scope link src 192.168.1.200 
192.168.1.201 dev vethc5cebe03 scope link

Das Problem liegt beim Standardgateway, das den Verkehr in das Vagrant/Virtualbox-Netzwerk leitet, anstatt in unser eigentliches Gateway. Entfernen wir es:

ip route del default via 10.0.2.2

Und fügen wir die Regel hinzu, die Pakete an das eigentliche Gateway unseres lokalen Netzwerks weiterleitet:

ip route add default via 192.168.1.1

(vorausgesetzt, 192.168.1.1 ist die IP unseres lokalen Gateways)

Jetzt wird der Datenverkehr vom Container an das richtige Gateway weitergeleitet und wir sind fertig!

Answer