Ponte Linux para máquinas virtuais que não encaminham pacotes IP (mas estão encaminhando ARP)

Question

Dockercargasobr_netfiltermódulo (para obter osysctlproperty net.bridge.bridge-nf-call-iptables=1) quando usa iptables. Isto fazem pontequadros (Ethernet, camada 2) sujeitos atabelas de ipfiltragem (IP, camada 3):

O que é bridge-netfilter?

Desde o kernel Linux 3.18-rc1, você deve modificar o br_netfilter para ativar o bridge-netfilter.

O código bridge-netfilter permite a seguinte funcionalidade:

Tabelas {Ip,Ip6,Arp}podem filtrar pacotes IPv4/IPv6/ARP em ponte, mesmo quando encapsulado em uma VLAN 802.1Q ou cabeçalho PPPoE. Isso habilita a funcionalidade de um firewall transparente e com estado. Todos os recursos de filtragem, registro e NAT das 3 ferramentas podem, portanto, ser usados em quadros em ponte. Combinado com ebtables, o código bridge-nf torna o Linux um firewall transparente muito poderoso. Isto permite, por exemplo, a criação de uma máquina de mascaramento transparente (ou seja, todos os hosts locais pensam que estão diretamente conectados à Internet). Permitir que tabelas {ip,ip6,arp} vejam o tráfego em ponte pode ser desabilitado ou habilitado usando as entradas proc apropriadas, localizado em /proc/sys/net/bridge/:

bridge-nf-call-arptables

bridge-nf-call-iptables

bridge-nf-call-ip6tables

Existe documentação explicando os efeitos colaterais causados por este módulo. Esses efeitos colaterais sãopretendidoao usá-lo para firewall transparente de ponte. Também otabelas de ip physdev(que carrega br_netfilterquando carregado) match não pode funcionar corretamente sem ele (simplesmente não corresponderá mais). Também é explicado como prevenir seus efeitos, especialmente emCapítulo 7:

Por causa do código br-nf, existem 2 maneiras pelas quais um quadro/pacote pode passar pelas 3 cadeias de iptables fornecidas.A primeira maneira é quando o quadro está em ponte, então as cadeias do iptables são chamadas pelo código da ponte. A segunda maneira é quando o pacote é roteado.

Em vez de desativar a chamada paratabelas de ippelo br_netfiltercódigo de como este:

sysctl -w net.bridge.bridge-nf-call-iptables=0

deve-se adaptartabelas de ipregras onde quer que estejam (incluindo qualquer que seja o namespace da rede), conforme explicado no capítulo 7, para evitar efeitos colaterais, adicionando, por exemplo, regras de aceitação na cadeia FORWARD destinadas não ao roteamento, mas à ponte. Simplesmente desativá-lo para corrigir um problema irá interromper os aplicativos que dependem dele, começando com o isolamento interno do contêiner do Docker.

Até recentementeem núcleo 5.3este módulo não tinha reconhecimento de namespace e tê-lo carregado repentinamente o habilitou em todos os namespaces de rede, causando todos os tipos de problemas quando inesperados. Desde então também é possível habilitá-lo por bridge ( ip link set dev BRIDGE type bridge nf_call_iptables 1) em vez de por namespace.

Uma vez que as ferramentas (Docker...) e o kernel (>= 5.3) seguem a evolução, simplesmente habilitá-los em namespaces e pontes de rede selecionados deve ser suficiente, mas hoje provavelmente não. Observe também quenúcleo 5.3também herdou firewall com estado de ponte nativa, utilizável pornftáveis, o que é um passo para tornar obsoleto o uso deste módulo (uma vez que o suporte de encapsulamento/descapsulação direto em bridge para VLAN e PPPoE esteja disponível):

Filtro de rede

Adicione suporte nativo de rastreamento de conexão para a ponte. Antes deste patchset, a única chance para as pessoas fazerem filtragem stateful era usar a camada de emulação br_netfilter, este é um passo à frente para desativá-lo

Answer 1