Linux-мост для виртуальных машин не пересылает IP-пакеты (но пересылает ARP)

Question

Докернагрузки the br_netfilterмодуль (чтобы получитьsysctlсвойство net.bridge.bridge-nf-call-iptables=1) когда он использует iptables. Это делаетмостовойкадры (Ethernet, уровень 2) в зависимости отiptablesфильтрация (IP, уровень 3):

Что такое bridge-netfilter?

Начиная с ядра Linux 3.18-rc1, для включения bridge-netfilter необходимо modprobe br_netfilter.

Код bridge-netfilter обеспечивает следующие функции:

Таблицы {Ip,Ip6,Arp} могут фильтровать пакеты IPv4/IPv6/ARP, передаваемые по мосту, даже если инкапсулирован в заголовок 802.1Q VLAN или PPPoE. Это обеспечивает функциональность прозрачного брандмауэра с отслеживанием состояния. Все функции фильтрации, регистрации и NAT этих 3 инструментов могут использоваться в мостовых кадрах. В сочетании с ebtables код bridge-nf делает Linux очень мощным прозрачным брандмауэром. Это позволяет, например, создать прозрачную маскирующую машину (т. е. все локальные хосты думают, что они напрямую подключены к Интернету). Разрешение таблицам {ip,ip6,arp} видеть трафик моста можно отключить или включить с помощью соответствующих записей процедуры., находится в /proc/sys/net/bridge/:

bridge-nf-call-arptables

bridge-nf-call-iptables

bridge-nf-call-ip6tables

Есть документация, объясняющая побочные эффекты, вызванные этим модулем. Эти побочные эффектынамеревалсяпри использовании его для прозрачного брандмауэра моста. Также,iptables physdev(который загружается br_netfilter, когда сам загружается) match не может работать правильно без него (он просто больше не будет match). Также объясняется, как предотвратить его эффекты, особенно вглава 7:

Из-за кода br-nf существует 2 способа, которыми кадр/пакет может пройти через 3 указанные цепочки iptables.Первый способ — когда фрейм соединен мостом, то цепочки iptables вызываются кодом моста.. Второй способ — когда пакет маршрутизируется.

Вместо того, чтобы отключить вызовiptablesпо br_netfilterкоду вроде этого:

sysctl -w net.bridge.bridge-nf-call-iptables=0

нужно приспособитьсяiptablesправила, где бы они ни находились (включая сетевое пространство имен), как описано в главе 7, чтобы избежать побочных эффектов, например, добавляя правила приема в цепочку FORWARD, предназначенную не для маршрутизации, а для моста. Простое отключение его для устранения одной проблемы нарушит работу приложений, которые от него зависят, начиная с внутренней изоляции контейнера Docker.

До не давнего временив ядро 5.3этот модуль не был осведомлен о пространстве имен, и его загрузка внезапно включила его во всех сетевых пространствах имен, вызывая всевозможные проблемы, когда это было неожиданно. Также с тех пор стало возможным включать его для моста ( ip link set dev BRIDGE type bridge nf_call_iptables 1), а не для пространства имен.

После того, как инструменты (Docker...) и ядро (>= 5.3) последуют эволюции, просто включить его в выбранных сетевых пространствах имен и мостах должно быть достаточно, но сегодня, вероятно, нет. Также обратите внимание, чтоядро 5.3также унаследовал собственный межсетевой экран с отслеживанием состояния моста, используемыйnftables, что является шагом к отказу от использования этого модуля (после того, как станет доступна поддержка прямой инкапсуляции/декапсуляции в мосту для VLAN и PPPoE):

Сетевой фильтр

Добавить собственную поддержку отслеживания соединений для моста. До этого патча единственным шансом для людей сделать фильтрацию с сохранением состояния было использование слоя эмуляции br_netfilter, это шаг вперед к его отмене

Answer 1