방화벽-cmd - 추가 전달 포트가 작동하지 않습니다

Question

실제 문제:

명령은 ...

firewall-cmd --permanent --zone=public --direct --add-rule ipv4 filter FORWARD 0 -d 0.0.0.0/0 -j ACCEPT
firewall-cmd --permanent --zone=public --add-forward-port=port=222:proto=tcp:toport=22:toaddr=10.1.0.9
firewall-cmd --reload

... "UPDATE II"에 설명된 내용은 방화벽(CentOS 7에서 사용)과 마찬가지로 작동합니다.

문제는 "네트워크" virbr0을 시작할 때 규칙(아마도 방화벽을 통해)을 주입하는 KVM(libvirt)에 있습니다. 이 규칙은 firewall-cmd. KVM 주입(libvirt) 규칙은 일반 방화벽 규칙 세트 이전의 FORWARD 및 POSTROUTING 맨 위에 있습니다. netfilter는 첫 번째 일치 원칙에 따라 작동하므로 이러한 규칙이 적용됩니다.

해결책:

KVM(libvirt)이 방화벽에 주입한 규칙으로 인해 생성된 문제로 인해 솔루션은 아래 설명된 대로 libvirt-hook-qemu라는 해킹/해결 방법을 사용합니다.

libvirt-hook-qemu를 다운로드하고 설치하세요...

yum -y install git-core
cd /usr/local/src
git clone https://github.com/saschpe/libvirt-hook-qemu.git
cd libvirt-hook-qemu
make install
cd ..
rm -rf libvirt-hook-qemu

가상 머신(게스트)을 나열합니다...

virsh list --all

... 대상 가상 머신의 이름을 복사합니다.

가상머신을 끄세요...

virsh shutdown "<VM_NAME>" --mode acpi

"hooks.json" 파일을 열고 내용을 삭제하세요...

vi /etc/libvirt/hooks/hooks.json

... 아래 템플릿으로 규칙을 입력합니다(다른 설정 방법도 가능)...

{
    "<VM_NAME>": {
        "interface": "virbr0",
        "private_ip": "<VM_IP>",
        "port_map": {
            "tcp": [[<PORT_ON_HOST>, <PORT_ON_GUEST>]]
        }
    }
}

libvirtd를 다시 시작하세요...

systemctl restart libvirtd.service

...가상 머신을 시작하고...

virsh start "<VM_NAME>"

완료! =디

더 나아가:

이 KVM(libvirt) 동작(포트 전달 시도를 방지하는 규칙 삽입)은 불가능하고, 침략적이며 불필요합니다... 첫째, 호스트에 포트 전달이 없기 때문에 기본 네트워크(virbr0)에서 가상 머신에 연결할 수 없기 때문입니다. 둘째, 해킹/해결 방법(또는 브라질에서는 "gato"/"gambiarra"라고 함 =D)을 사용하도록 강요하기 때문입니다.

우리의 견해로는 사용자에게 인프라 구축 방법을 강요하는 것은 말이 되지 않습니다... 이것은 말이 되지 않습니다! 직설적으로 말하면, 다른 주요 하이퍼바이저처럼 이러한 설정이 선택 사항(규칙 주입...)이라면 가장 좋을 것이라고 생각합니다. 그리고 더 나아가서... KVM(libvirt)이 이런 종류의 것을 제어하는 것이라면 포트를 가상 머신에 매핑하는 방법도 제공해야 합니다.

KVM(libvirt)은엄청난그러나 모든 사용자가 기본 네트워크(virbr0)가 제공하는 모든 유연성/접근성을 기꺼이 포기하려는 것은 아닌 것처럼 모든 사용자가 다양한 이유로 자신의 컴퓨터를 호스트 컴퓨터의 네트워크에 직접 배치하려는 것은 아닙니다.

감사해요!

[참조.:https://bugzilla.redhat.com/show_bug.cgi?id=846810, https://libvirt.org/firewall.html, https://libvirt.org/formatnetwork.html#examplesRoute, https://saschpe.wordpress.com/2014/03/06/dynamic-iptables-port-forwarding-for-nat-ed-libvirt-networks/, https://serverfault.com/q/170079/276753, https://serverfault.com/q/915257/276753, https://wiki.libvirt.org/page/VirtualNetworking#Roated_mode, https://www.centos.org/forums/viewtopic.php?f=50&t=71454&sid=7f5190a29eebbf755235ec3dc404a47f, https://www.cyberciti.biz/faq/kvm-forward-ports-to-guests-vm-with-ufw-on-linux/]

업데이트:

포트 전달 시도를 방지하는 규칙을 삽입합니다.

-> 현재 KVM 업스트림(libvirt)에서 문제가 해결되었습니다!

이것 좀 봐: ...KVM(libvirt)의 현재 업스트림에서 문제가 해결되었습니다....

Answer 1