Der Zugriff auf die VM über die überbrückte KVM-Netzwerkschnittstelle im Unternehmensnetzwerk funktioniert außerhalb des Raum-LAN nicht

Question

Ich arbeite an einem Institut, daher haben wir, wie Sie sich vorstellen können, die üblichen Proxys, AD, DNS usw. im Einsatz. Meine Gruppe erwägt, unsere Server (mit mehreren GPUs für verschiedene Forschungszwecke) auf Linux umzustellen, da sich unsere Umgebungen (Maschinelles Lernen, Rendering) einfacher einrichten lassen und wir Zugriff auf die für unsere Arbeit erforderlichen Tools haben. Aber bevor wir das tun, habe ich es mir zur Aufgabe gemacht (mit Erlaubnis unseres IT-Administrators und meines Chefs), ein einfaches Setup zu erstellen, das uns einen Überblick darüber gibt, was wir genau brauchen.

Ich verwende einen normalen Desktop-PC mit Ubuntu Server 20.04 LTS als Host. Zur Verwaltung verwende ich SSH (über Putty) oder eine Weboberfläche (Cockpit). Auf dem Host betreibe ich KVM mit einer Reihe von QEMU-VMs, die alle dieselbe überbrückte Netzwerkschnittstelle verwenden (aufgrund des vorhandenen PCI-Passthrough kann immer nur eine VM gleichzeitig ausgeführt werden). Sowohl der Host als auch die VMs haben Hostnamen nach dem Schema

<hostname>.<domain>

Da unser IT-Mann in unserer Abteilung eine ausgesprochene Anti-Linux-treibende Kraft ist, muss jede Maschine in der Abteilung, auf der Linux läuft, von dem Mitarbeiter verwaltet werden, dem sie „gehört“. Wir erhalten vom Administrator keine Hilfe, wenn wir ein Problem mit diesen Maschinen haben. Linux-Maschinen müssen außerdem ein -LSuffix haben, damit er weiß, dass sie nicht sein Problem sind. Im Allgemeinen folgt der Hostname für PCs und Notebooks dem Schema

<department>-<machine type><3 digit numeric value>

so wird die komplette

<department>-<machine type><3 digit numeric value>.<domain>

Nehmen wir an, ich habe mit foo.bar.combeing Folgendes <domain>:

• ABC-DT001-L.foo.bar.com- PC, Host mit Ubuntu Server 20.04, IP-Adresse10.21.5.83
• ABC-DT001-L-VM0.foo.bar.com- VM, Gast mit Xubuntu 20.04, IP-Adresse10.21.5.104
• ABC-NB001.foo.bar.com- Notebook mit Windows 10 mit AD-Benutzer, IP-Adresse10.21.5.104
• Netzwerkbrücke- konvertierte die einzige Netzwerkschnittstelle desABC-DT001-Lzu einer Brücke, die wiederum von jeder VM verwendet wird, die ich ausführen möchte
• HP ProCurve-Switch 1810g-8 J9449A- verwalteter Switch, an den meine Maschinen in meinem Büro angeschlossen sind (ich habe keinen Zugriff darauf), IP-Adresse 10.21.99.10(steht zumindest auf dem Etikett)
• Standard-Gateway- IP Adresse10.21.5.1
• DHCP-Server- IP Adresse10.21.1.3
• DNS Server- IP Adresse10.21.1.3
• Primärer WINS-Server- IP Adresse10.21.1.10

Von unserer IT-Abteilung wurde mir gesagt, dass ich, wenn eine Maschine eine permanente MAC-Adresse hat, immer z. B.ABC-DT001-L.foo.bar.comum auf meineABC-DT001-LMaschine.

Auf KVM-Ebene habe ich die Standardbrücke ( virbr0oder so etwas), die beim Erstellen einer VM eingerichtet wird, damit das System der VM irgendwie die Zeit synchronisieren kann, sowie meine eigene Brücke, die die VM an den einzigen Ethernet-Port meines Hosts bindet und ihr den Zugriff auf das Internet sowie das interne Netzwerk unseres Instituts ermöglicht. In Bezug auf die MAC-Adressen auf meinem PC habe ich also

• ABC-DT001-L.foo.bar.com- MAC-Adresse14:b3:1f:07:ee:5a
• ABC-DT001-L-VM0.foo.bar.com- MAC-Adresse52:54:00:2a:b8:4f

bezüglich meiner Brücke.

Falls Sie an der Standardbrücke interessiert sind, die ich habe 52:54:00:58:04:50(Hostseite) und 52:54:00:1e:cf:8b(VM-Seite).

Folgendes funktioniert:

• ABC-NB001- kann Ping und SSHABC-DT001-L
• ABC-NB001- kann Ping, SSH und VNC verbinden mitABC-DT001-L-VM0(Port 5900 für Cockpit, Port 5901 für alle anderen VNC-Viewer, da ich parallel zu dem, was Cockpit bereits bietet, auch X11VNC ausführe, um in Zukunft nur auf die VM und nicht auf den zugrunde liegenden Server zugreifen zu können)
• ABC-DT001-L- kann Ping und SSHABC-DT001-L-VM0, kann pingenABC-NB001
• ABC-DT001-L-VM0- kann Ping und SSHABC-DT001-L, kann pingenABC-NB001

Darüber hinaus kann ich pingen und auf die Webkonsole von zugreifenABC-DT001-Lvon unseren Windows-Servern (die wir in Zukunft auf Linux umstellen werden). Kollegen von mir, die im Homeoffice arbeiten, können ebenfalls (über unser VPN) pingen und aufABC-DT001-L.

Folgendes funktioniert nicht:

• Zugriff aufABC-DT001-L-VM0von unseren Servern, einschließlich auch nur Ping
• Zugriff aufABC-DT001-L-VM0von den Rechnern meiner Kollegen über VPN

Es scheint also, dass alles hinter dem Switch auf keine Weise auf die VM(s) zugreifen kann. Eine Sache, die mir aufgefallen ist und die wohl zu erwarten war, ist, dass ich hinter dem Switch auch einfach den Hostnamen anstelle des vollständigen Namens verwenden kann, um auf alle meine Maschinen zuzugreifen.

Es scheint, dass das Problem an der Brücke liegt. Bevor ich den Bären (unsere IT-Abteilung) reize, möchte ich versuchen, das Problem zu lösen (natürlich mit Ihrer Hilfe).