Puente Linux para máquinas virtuales que no reenvía paquetes IP (pero reenvía ARP)

Question

Estibadorcargaselbr_netfiltermódulo (para obtener elsistemapropiedad net.bridge.bridge-nf-call-iptables=1) cuando usa iptables. Esto hacepuenteadotramas (Ethernet, capa 2) sujetas aiptablesfiltrado (IP, capa 3):

¿Qué es bridge-netfilter?

Desde el kernel de Linux 3.18-rc1, debe modificar br_netfilter para habilitar bridge-netfilter.

El código bridge-netfilter habilita la siguiente funcionalidad:

Las tablas {Ip,Ip6,Arp} pueden filtrar paquetes IPv4/IPv6/ARP puenteados., incluso cuando está encapsulado en un encabezado PPPoE o VLAN 802.1Q. Esto habilita la funcionalidad de un firewall transparente con estado. Por lo tanto, todas las funciones de filtrado, registro y NAT de las 3 herramientas se pueden utilizar en marcos puenteados. Combinado con ebtables, el código bridge-nf convierte a Linux en un cortafuegos transparente muy potente. Esto permite, por ejemplo, la creación de una máquina de enmascaramiento transparente (es decir, todos los hosts locales piensan que están conectados directamente a Internet). Permitir que las tablas {ip,ip6,arp} vean el tráfico puenteado se puede deshabilitar o habilitar usando las entradas de proceso apropiadas, situado en /proc/sys/net/bridge/:

bridge-nf-call-arptables

bridge-nf-call-iptables

bridge-nf-call-ip6tables

Existe documentación que explica los efectos secundarios causados por este módulo. Esos efectos secundarios sondestinadocuando se utiliza para cortafuegos transparentes de puentes. También eliptables physdev(que se carga br_netfiltercuando se carga) no puede funcionar correctamente sin él (simplemente ya no coincidirá). También se explica cómo prevenir sus efectos, especialmente enCapítulo 7:

Debido al código br-nf, hay 2 formas en que una trama/paquete puede pasar a través de las 3 cadenas de iptables dadas.La primera forma es cuando el marco está puenteado, por lo que las cadenas de iptables son llamadas mediante el código puente.. La segunda forma es cuando se enruta el paquete.

En lugar de desactivar la llamada aiptablespor br_netfiltercódigo como este:

sysctl -w net.bridge.bridge-nf-call-iptables=0

uno debe adaptarseiptablesreglas dondequiera que estén (incluido cualquiera que sea el espacio de nombres de la red) como se explica en el capítulo 7 para evitar efectos secundarios, agregando, por ejemplo, reglas de aceptación en la cadena FORWARD destinadas no al enrutamiento sino al puente. Simplemente deshabilitarlo para solucionar un problema interrumpirá las aplicaciones que dependen de él, comenzando con el aislamiento interno del contenedor de Docker.

Hasta hace pocoen núcleo 5.3este módulo no tenía en cuenta el espacio de nombres y, al cargarlo, de repente lo habilitó en todos los espacios de nombres de la red, lo que provocó todo tipo de problemas inesperados. Desde entonces también es posible habilitarlo por puente ( ip link set dev BRIDGE type bridge nf_call_iptables 1) en lugar de por espacio de nombres.

Una vez que las herramientas (Docker...) y el kernel (>= 5.3) sigan la evolución, simplemente tenerlo habilitado en puentes y espacios de nombres de red seleccionados debería ser suficiente, pero hoy probablemente no. También tenga en cuenta quenúcleo 5.3También heredó el cortafuegos con estado del puente nativo, utilizable pornftables, lo cual es un paso para dejar obsoleto el uso de este módulo (una vez que esté disponible el soporte de encapsulación/decapsulación directa en puente para VLAN y PPPoE):

Filtro de red

Agregue soporte de seguimiento de conexión nativo para el puente. Antes de este conjunto de parches, la única posibilidad que tenían las personas de realizar filtrado con estado era utilizar la capa de emulación br_netfilter, este es un paso adelante para dejarlo de lado.

Answer 1

Estibadorcargaselbr_netfiltermódulo (para obtener elsistemapropiedad net.bridge.bridge-nf-call-iptables=1) cuando usa iptables. Esto hacepuenteadotramas (Ethernet, capa 2) sujetas aiptablesfiltrado (IP, capa 3):

¿Qué es bridge-netfilter?

Desde el kernel de Linux 3.18-rc1, debe modificar br_netfilter para habilitar bridge-netfilter.

El código bridge-netfilter habilita la siguiente funcionalidad:

Las tablas {Ip,Ip6,Arp} pueden filtrar paquetes IPv4/IPv6/ARP puenteados., incluso cuando está encapsulado en un encabezado PPPoE o VLAN 802.1Q. Esto habilita la funcionalidad de un firewall transparente con estado. Por lo tanto, todas las funciones de filtrado, registro y NAT de las 3 herramientas se pueden utilizar en marcos puenteados. Combinado con ebtables, el código bridge-nf convierte a Linux en un cortafuegos transparente muy potente. Esto permite, por ejemplo, la creación de una máquina de enmascaramiento transparente (es decir, todos los hosts locales piensan que están conectados directamente a Internet). Permitir que las tablas {ip,ip6,arp} vean el tráfico puenteado se puede deshabilitar o habilitar usando las entradas de proceso apropiadas, situado en /proc/sys/net/bridge/:

bridge-nf-call-arptables

bridge-nf-call-iptables

bridge-nf-call-ip6tables

Existe documentación que explica los efectos secundarios causados por este módulo. Esos efectos secundarios sondestinadocuando se utiliza para cortafuegos transparentes de puentes. También eliptables physdev(que se carga br_netfiltercuando se carga) no puede funcionar correctamente sin él (simplemente ya no coincidirá). También se explica cómo prevenir sus efectos, especialmente enCapítulo 7:

Debido al código br-nf, hay 2 formas en que una trama/paquete puede pasar a través de las 3 cadenas de iptables dadas.La primera forma es cuando el marco está puenteado, por lo que las cadenas de iptables son llamadas mediante el código puente.. La segunda forma es cuando se enruta el paquete.

En lugar de desactivar la llamada aiptablespor br_netfiltercódigo como este:

sysctl -w net.bridge.bridge-nf-call-iptables=0

uno debe adaptarseiptablesreglas dondequiera que estén (incluido cualquiera que sea el espacio de nombres de la red) como se explica en el capítulo 7 para evitar efectos secundarios, agregando, por ejemplo, reglas de aceptación en la cadena FORWARD destinadas no al enrutamiento sino al puente. Simplemente deshabilitarlo para solucionar un problema interrumpirá las aplicaciones que dependen de él, comenzando con el aislamiento interno del contenedor de Docker.

Hasta hace pocoen núcleo 5.3este módulo no tenía en cuenta el espacio de nombres y, al cargarlo, de repente lo habilitó en todos los espacios de nombres de la red, lo que provocó todo tipo de problemas inesperados. Desde entonces también es posible habilitarlo por puente ( ip link set dev BRIDGE type bridge nf_call_iptables 1) en lugar de por espacio de nombres.

Una vez que las herramientas (Docker...) y el kernel (>= 5.3) sigan la evolución, simplemente tenerlo habilitado en puentes y espacios de nombres de red seleccionados debería ser suficiente, pero hoy probablemente no. También tenga en cuenta quenúcleo 5.3También heredó el cortafuegos con estado del puente nativo, utilizable pornftables, lo cual es un paso para dejar obsoleto el uso de este módulo (una vez que esté disponible el soporte de encapsulación/decapsulación directa en puente para VLAN y PPPoE):

Filtro de red

Agregue soporte de seguimiento de conexión nativo para el puente. Antes de este conjunto de parches, la única posibilidad que tenían las personas de realizar filtrado con estado era utilizar la capa de emulación br_netfilter, este es un paso adelante para dejarlo de lado.

Puente Linux para máquinas virtuales que no reenvía paquetes IP (pero reenvía ARP)

Respuesta1

información relacionada