Tengo un hipervisor centos 7 kvm que ejecuta varias máquinas virtuales configuradas para usar redes NAT.
Estas máquinas virtuales ejecutan sus servicios, de los cuales ssh es el más importante a efectos de administración. Me gustaría asignar puertos en el hipervisor que se reenvían a las máquinas virtuales mediante firewalld.
Mi hipervisor tiene las siguientes interfaces:
3: wlp8s1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP qlen 1000
link/ether 94:0c:6d:c4:b8:12 brd ff:ff:ff:ff:ff:ff
inet 192.168.1.30/24 brd 192.168.1.255 scope global dynamic wlp8s1
valid_lft 2627sec preferred_lft 2627sec
inet6 2a02:a03f:268e:3e00:960c:6dff:fec4:b812/64 scope global noprefixroute dynamic
valid_lft 345640sec preferred_lft 345640sec
inet6 fe80::960c:6dff:fec4:b812/64 scope link
valid_lft forever preferred_lft forever
4: virbr0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP
link/ether 52:54:00:64:af:d6 brd ff:ff:ff:ff:ff:ff
inet 192.168.122.1/24 brd 192.168.122.255 scope global virbr0
valid_lft forever preferred_lft forever
wlp8s1¿Está mi interfaz inalámbrica conectada a mi red doméstica? virbr0¿Es la interfaz de red interna kvms?
El reenvío IPV4 está habilitado:
firewall-cmd --zone=external --add-forward-port=port=2022:proto=tcp:toport=22:toaddr=192.168.122.13
Estoy usando 2 zonas: externaly dmz:
dmz
interfaces: virbr0
external
interfaces: wlp8s1
Una de las máquinas virtuales es un servidor de base de datos con la siguiente configuración de red:
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
link/ether 52:54:00:df:79:1e brd ff:ff:ff:ff:ff:ff
inet 192.168.122.13/24 brd 192.168.122.255 scope global dynamic eth0
valid_lft 2634sec preferred_lft 2634sec
inet6 fe80::5054:ff:fedf:791e/64 scope link
valid_lft forever preferred_lft forever
y está ejecutando sshd escuchando en el puerto 22:
# systemctl status sshd
sshd.service - OpenSSH server daemon
Loaded: loaded (/usr/lib/systemd/system/sshd.service; enabled; vendor preset: enabled)
Active: active (running) since Sun 2016-05-22 20:08:45 CEST; 45min ago
...
# ss -ntl
State Recv-Q Send-Q Local Address:Port Peer Address:Port
LISTEN 0 128 *:22 *:*
LISTEN 0 128 :::22 :::*
Intenté seguir el tutorial y la documentación oficial, lo que me llevó a la siguiente cadena de comandos (en el hipervisor):
# firewall-cmd --zone=external --add-port=2022/tcp
success
# firewall-cmd --zone=external --add-forward-port=port=2022:proto=tcp:toport=22:toaddr=192.168.122.13
success
pero, por desgracia (desde mi computadora portátil conectada a mi red doméstica):
$ ssh 192.168.1.30 -p 2022
ssh: connect to host 192.168.1.30 port 2022: Connection refused
Cosas que he probado:
Volcados de TCP durante la emisión ssh 192.168.1.30 -p 2022en mi computadora portátil:
En el hipervisor:
# tcpdump -i wlp8s1 port 2022
21:02:50.661181 IP laptop.38052 > hypervisor.down: Flags [S], seq 885834855, win 29200, options [mss 1460,sackOK,TS val 4732781 ecr 0,nop,wscale 7], length 0
En la máquina virtual no se reciben paquetes.
Puedo hacer ssh desde el hipervisor a la VM
Si cambio el comando firewalld forward a:
firewall-cmd --zone=external --add-forward-port=port=2022:proto=tcp:toport=22:toaddr=192.168.1.30
Puedo ingresar al hipervisor usando su puerto 2022. ¿Podría esto significar que tiene algo que ver con las zonas?
¡Cualquier ayuda o cosas adicionales que pueda probar serán muy apreciadas! ¡Gracias!
PD
Encontré esta pregunta similar que indica que firewalld estaba roto: Reenvío de puertos Fedora 21 con firewalld (firewall-cmd); ¿Cómo funciona realmente? ¿O no?
pero espero encontrar una solución aquí dada la información adicional que espero haber proporcionado :).
Respuesta1
Quizás quieras revisar algunas configuraciones. ¿Activaste el reenvío de IP en el kernel ex net.ipv4.ip_forward=1=> /etc/sysctl.conf?
También es posible que necesites ejecutar un comando como este para habilitar el enmascaramiento:
firewall-cmd --zone=external --add-masquerade