firewall-cmd - add-forward-port не работает

Question

РЕАЛЬНАЯ ПРОБЛЕМА:

Команда...

firewall-cmd --permanent --zone=public --direct --add-rule ipv4 filter FORWARD 0 -d 0.0.0.0/0 -j ACCEPT
firewall-cmd --permanent --zone=public --add-forward-port=port=222:proto=tcp:toport=22:toaddr=10.1.0.9
firewall-cmd --reload

... описанный в "ОБНОВЛЕНИИ II" работает так же хорошо, как и firewalld (используемый CentOS 7).

Проблема в KVM (libvirt), который при запуске "сети" virbr0 внедряет правила (вероятно, через firewalld), которые предотвращают (принцип первого совпадения) любые попытки переадресации портов обычными способами с использованием firewall-cmd. Правила, внедренные KVM (libvirt), находятся в верхней части FORWARD и POSTROUTING, перед обычным набором правил firewalld. Поскольку netfilter работает по принципу первого совпадения, эти правила.

РЕШЕНИЕ:

Из-за проблем, вызванных правилами, внедряемыми KVM (libvirt) в брандмауэр, решением является использование обходного пути под названием libvirt-hook-qemu, как мы объяснили ниже...

Загрузите и установите libvirt-hook-qemu...

yum -y install git-core
cd /usr/local/src
git clone https://github.com/saschpe/libvirt-hook-qemu.git
cd libvirt-hook-qemu
make install
cd ..
rm -rf libvirt-hook-qemu

Перечислите свои виртуальные машины (гости)...

virsh list --all

... и скопируйте имя целевой виртуальной машины.

Выключите виртуальную машину...

virsh shutdown "<VM_NAME>" --mode acpi

Откройте файл «hooks.json», удалите его содержимое...

vi /etc/libvirt/hooks/hooks.json

... и введите свои правила в виде шаблона ниже (возможны и другие способы настройки)...

{
    "<VM_NAME>": {
        "interface": "virbr0",
        "private_ip": "<VM_IP>",
        "port_map": {
            "tcp": [[<PORT_ON_HOST>, <PORT_ON_GUEST>]]
        }
    }
}

Перезапустите libvirtd...

systemctl restart libvirtd.service

... и запустите виртуальную машину...

virsh start "<VM_NAME>"

Готово! =D

ДАЛЬШЕ:

Такое поведение KVM (libvirt) — внедрение правил, которые предотвращают любые попытки переадресации портов — НЕПОЛОЖИТЕЛЬНО, ИНВАЗИВНО И НЕНУЖНО... Во-первых, поскольку на хосте нет переадресации портов, ни одна виртуальная машина не будет доступна в сети по умолчанию (virbr0), а во-вторых, поскольку это заставляет нас использовать хак/обходной путь (или «gato»/«gambiarra», как мы называем это в Бразилии =D ).

На наш взгляд, нет смысла навязывать пользователю, как ему строить свою инфраструктуру или нет... Это не имеет смысла! Грубо говоря, мы считаем, что было бы лучше, если бы эти настройки были необязательными (внедряет правила...), как это делают другие ведущие гипервизоры. И мы идем дальше... Если KVM (libvirt) управляет такими вещами, то он также должен предлагать способы сопоставления портов виртуальным машинам.

KVM (libvirt) — этоБОЛЬШОЙинструмент, но не все пользователи готовы — по разным причинам — размещать свои машины непосредственно в сети хост-машины, так же как не все пользователи готовы отказаться от всей гибкости/доступности, которую предлагает сеть по умолчанию (virbr0).

Спасибо!

[Реф..:https://bugzilla.redhat.com/show_bug.cgi?id=846810, https://libvirt.org/firewall.html, https://libvirt.org/formatnetwork.html#examplesМаршрут, https://saschpe.wordpress.com/2014/03/06/dynamic-iptables-port-forwarding-for-nat-ed-libvirt-networks/, https://serverfault.com/q/170079/276753, https://serverfault.com/q/915257/276753, https://wiki.libvirt.org/page/VirtualNetworking#Routed_mode, https://www.centos.org/forums/viewtopic.php?f=50&t=71454&sid=7f5190a29eebbf755235ec3dc404a47f, https://www.cyberciti.biz/faq/kvm-forward-ports-to-guests-vm-with-ufw-on-linux/]

ОБНОВЛЯТЬ:

внедряет правила, которые предотвращают любые попытки переадресации портов

-> Текущая версия KVM (libvirt) решила эту проблему!

Видеть это: ...Текущая версия KVM (libvirt) решила эту проблему...

Answer 1