firewall-cmd - add-forward-port não funciona

Question

O VERDADEIRO PROBLEMA:

O comando...

firewall-cmd --permanent --zone=public --direct --add-rule ipv4 filter FORWARD 0 -d 0.0.0.0/0 -j ACCEPT
firewall-cmd --permanent --zone=public --add-forward-port=port=222:proto=tcp:toport=22:toaddr=10.1.0.9
firewall-cmd --reload

... descrito em "UPDATE II" funciona tão bem quanto o firewalld (usado pelo CentOS 7).

O problema está no KVM (libvirt) que ao iniciar a "rede" o virbr0 injeta regras (provavelmente via firewalld) o que impede (princípio da primeira correspondência) qualquer tentativa de encaminhamento de porta pelas formas convencionais usando firewall-cmd. As regras injetadas pelo KVM (libvirt) estão no topo de FORWARD e POSTROUTING, antes do conjunto de regras regular do firewalld. Como o netfilter opera com base no princípio da primeira correspondência, estas regras.

SOLUÇÃO:

Devido aos problemas gerados pelas regras injetadas pelo KVM (libvirt) no firewall a solução é utilizar um hack/solução alternativa chamado libvirt-hook-qemu conforme explicamos abaixo...

Baixe e instale libvirt-hook-qemu...

yum -y install git-core
cd /usr/local/src
git clone https://github.com/saschpe/libvirt-hook-qemu.git
cd libvirt-hook-qemu
make install
cd ..
rm -rf libvirt-hook-qemu

Liste suas máquinas virtuais (convidados)...

virsh list --all

... e copie o nome da máquina virtual de destino.

Desligue a máquina virtual...

virsh shutdown "<VM_NAME>" --mode acpi

Abra o arquivo "hooks.json", exclua seu conteúdo...

vi /etc/libvirt/hooks/hooks.json

... e insira suas regras conforme modelo abaixo (outras formas de configuração são possíveis)...

{
    "<VM_NAME>": {
        "interface": "virbr0",
        "private_ip": "<VM_IP>",
        "port_map": {
            "tcp": [[<PORT_ON_HOST>, <PORT_ON_GUEST>]]
        }
    }
}

Reinicie a libvirtd...

systemctl restart libvirtd.service

... e inicie a máquina virtual...

virsh start "<VM_NAME>"

Feito! =D

AVANÇAR:

Este comportamento do KVM (libvirt) - injeta regras que impedem qualquer tentativa de encaminhamento de porta - é IMPOSITIVO, INVASIVO E DESNECESSÁRIO... Primeiro porque como não há encaminhamento de porta no host nenhuma máquina virtual estará acessível na rede padrão (virbr0) e segundo porque nos obriga a usar um hack/workaround (ou "gato"/"gambiarra" como chamamos no Brasil =D ).

A nosso ver não faz sentido impor ao usuário como ele deve ou não construir sua infraestrutura... Isso não faz sentido! Para ser franco, achamos que seria melhor se essas configurações fossem opcionais (injeta regras...) como fazem outros hipervisores líderes. E vamos mais longe... Se o KVM (libvirt) controlar esse tipo de coisa, ele também deverá oferecer maneiras de mapear portas para máquinas virtuais.

O KVM (libvirt) é umÓTIMOferramenta, mas nem todos os usuários estão dispostos - por vários motivos - a colocar suas máquinas diretamente na rede da máquina host, assim como nem todos os usuários estão dispostos a abrir mão de toda a flexibilidade/acessibilidade que a rede padrão (virbr0) oferece.

Obrigado!

[Referências.:https://bugzilla.redhat.com/show_bug.cgi?id=846810, https://libvirt.org/firewall.html, https://libvirt.org/formatnetwork.html#examplesRoute, https://saschpe.wordpress.com/2014/03/06/dynamic-iptables-port-forwarding-for-nat-ed-libvirt-networks/, https://serverfault.com/q/170079/276753, https://serverfault.com/q/915257/276753, https://wiki.libvirt.org/page/VirtualNetworking#Routed_mode, https://www.centos.org/forums/viewtopic.php?f=50&t=71454&sid=7f5190a29eebbf755235ec3dc404a47f, https://www.cyberciti.biz/faq/kvm-forward-ports-to-guests-vm-with-ufw-on-linux/]

ATUALIZAR:

injeta regras que impedem qualquer tentativa de encaminhamento de porta

-> O upstream atual do KVM (libvirt) resolveu o problema!

Veja isso: ...o upstream atual do KVM (libvirt) resolveu o problema...

Answer 1