☰

Problemas de regras de firewall/IP entre dois hosts via vSwitch

tag-icon • tag-icon linux linux-networking firewalld ip-routing
Problemas de regras de firewall/IP entre dois hosts via vSwitch

Eu tenho dois servidores em jogo aqui, um é um host Qemu VM e o outro é uma espécie de caixa de armazenamento.

São máquinas Hetzner e as conectei por meio de um vSwitch.

Interface vSwitch do Servidor1:

3: local@eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
    link/ether 10:7b:44:b1:5b:7d brd ff:ff:ff:ff:ff:ff
    inet 192.168.100.1/24 brd 192.168.100.255 scope global local
       valid_lft forever preferred_lft forever

Rota IP do servidor1 (host VM):

default via <redacted-public-ip> dev eth0 proto static metric 100 
<redacted-public-ip> dev eth0 proto static scope link metric 100 
192.168.10.0/24 dev virbr0 proto kernel scope link src 192.168.10.254 metric 425 <-- virbr0 network
192.168.10.253 via 192.168.100.2 dev local <-- srv02 IP to fit in virbr0 net space

Interface vSwitch do servidor2:

3: local@eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1400 qdisc noqueue state UP group default qlen 1000
    link/ether 08:60:6e:44:d6:2a brd ff:ff:ff:ff:ff:ff
    inet 192.168.100.2/24 brd 192.168.100.255 scope global local
       valid_lft forever preferred_lft forever
    inet 192.168.10.253/24 brd 192.168.10.255 scope global local
       valid_lft forever preferred_lft forever

Rota IP do servidor2:

default via <redacted-public-ip> dev eth0 proto static metric 100 
<redacted-public-ip> dev eth0 proto static scope link metric 100 
192.168.10.0/24 dev local proto kernel scope link src 192.168.10.253  <-- to access virbr0 via vSwitch

Eu tenho as rotas configuradas corretamente, eu acho - já que tudo funciona bem com o serviço firewalld desativado.

No entanto, se eu ligá-lo, os problemas começam.

Estas são as zonas de firewall no Servidor1 (nas quais quando desativo o firewalld tudo funciona)

libvirt (active)
  target: ACCEPT
  icmp-block-inversion: no
  interfaces: virbr0
  sources: 
  services: dhcp dhcpv6 dns ssh tftp
  ports: 
  protocols: icmp ipv6-icmp
  forward: no
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 
    rule priority="32767" reject


public (active)
  target: default
  icmp-block-inversion: no
  interfaces: eth0 local
  sources: 
  services: cockpit dhcpv6-client ssh
  ports: 
  protocols: 
  forward: no
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules:

Tentei ativar o mascaramento em cada um deles, ambos ao mesmo tempo, sem sucesso. Estou "testando" isso com um simples ping do Server2, em direção a uma das VMs no virbr0

Há algo óbvio que estou faltando aqui?

Obrigado a todos antecipadamente.

Responder1

Consegui resolver isso usando as duas regras a seguir no host QEMU

firewall-cmd --permanent --direct --add-rule ipv4 filter FORWARD 0 -o local -i virbr0 -j ACCEPT

firewall-cmd --permanent --direct --add-rule ipv4 filter FORWARD 0 -o virbr0 -i local -j ACCEPT

informação relacionada