Переадресация портов на гостевые системы в libvirt/KVM

Question 1

Последняя стабильная версия libvirt для Ubuntu — это версия 0.7.5, в которой нет некоторых новых функций (например, скриптовых хуков и сетевых фильтров), которые упрощают автоматическую настройку сети. Тем не менее, вот как включить переадресацию портов для libvirt 0.7.5 в Ubuntu 10.04 Lucid Lynx.

Эти правила iptables должны помочь:

iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 80 -j DNAT --to-destination 10.0.0.1:80
iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 22 -j DNAT --to-destination 10.0.0.2:22
iptables -I FORWARD -m state -d 10.0.0.0/24 --state NEW,RELATED,ESTABLISHED -j ACCEPT

Конфигурация KVM NAT по умолчанию содержит правило, похожее на третье, которое я привел выше, но в нем отсутствует состояние NEW, которое необходимо для приема входящих подключений.

Если вы напишете скрипт запуска, чтобы добавить эти правила, и не будете осторожны, libvirt 0.7.5 переопределит их, вставив свои собственные. Поэтому, чтобы убедиться, что эти правила применяются правильно при запуске, вам нужно убедиться, что libvirt инициализировалдовы вставляете свои правила.

Добавьте следующие строки в /etc/rc.local перед строкой exit 0:

(
# Make sure the libvirt has started and has initialized its network.
while [ `ps -e | grep -c libvirtd` -lt 1 ]; do
        sleep 1
done
sleep 10
# Set up custom iptables rules.
iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 80 -j DNAT --to-destination 10.0.0.1:80
iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 22 -j DNAT --to-destination 10.0.0.2:22
iptables -I FORWARD -m state -d 10.0.0.0/24 --state NEW,RELATED,ESTABLISHED -j ACCEPT
) &

Вышеприведенный sleep 10хак позволяет убедиться, что демон libvirt имел возможность инициализировать свои правила iptables, прежде чем мы добавим свои собственные. Не могу дождаться, когда они выпустят версию libvirt 0.8.3 для Ubuntu.

Answer

Последняя стабильная версия libvirt для Ubuntu — это версия 0.7.5, в которой нет некоторых новых функций (например, скриптовых хуков и сетевых фильтров), которые упрощают автоматическую настройку сети. Тем не менее, вот как включить переадресацию портов для libvirt 0.7.5 в Ubuntu 10.04 Lucid Lynx.

Эти правила iptables должны помочь:

iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 80 -j DNAT --to-destination 10.0.0.1:80
iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 22 -j DNAT --to-destination 10.0.0.2:22
iptables -I FORWARD -m state -d 10.0.0.0/24 --state NEW,RELATED,ESTABLISHED -j ACCEPT

Конфигурация KVM NAT по умолчанию содержит правило, похожее на третье, которое я привел выше, но в нем отсутствует состояние NEW, которое необходимо для приема входящих подключений.

Если вы напишете скрипт запуска, чтобы добавить эти правила, и не будете осторожны, libvirt 0.7.5 переопределит их, вставив свои собственные. Поэтому, чтобы убедиться, что эти правила применяются правильно при запуске, вам нужно убедиться, что libvirt инициализировалдовы вставляете свои правила.

Добавьте следующие строки в /etc/rc.local перед строкой exit 0:

(
# Make sure the libvirt has started and has initialized its network.
while [ `ps -e | grep -c libvirtd` -lt 1 ]; do
        sleep 1
done
sleep 10
# Set up custom iptables rules.
iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 80 -j DNAT --to-destination 10.0.0.1:80
iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 22 -j DNAT --to-destination 10.0.0.2:22
iptables -I FORWARD -m state -d 10.0.0.0/24 --state NEW,RELATED,ESTABLISHED -j ACCEPT
) &

Вышеприведенный sleep 10хак позволяет убедиться, что демон libvirt имел возможность инициализировать свои правила iptables, прежде чем мы добавим свои собственные. Не могу дождаться, когда они выпустят версию libvirt 0.8.3 для Ubuntu.

Question 2

Есть способ настроить перенаправление портов на летукогда гость использует сетевой режим пользователя, я писал об этом здесь:

http://blog.adamspiers.org/2012/01/23/port-redirection-from-kvm-host-to-guest/

Подробности вы можете увидеть там, но для удобства вот решение, которое я нашел:

virsh qemu-monitor-command --hmp sles11 'hostfwd_add ::2222-:22'

Этот однострочный ответ намного проще других, но работает только в некоторых сценариях (сетевой стек пользовательского режима).

Answer

Есть способ настроить перенаправление портов на летукогда гость использует сетевой режим пользователя, я писал об этом здесь:

http://blog.adamspiers.org/2012/01/23/port-redirection-from-kvm-host-to-guest/

Подробности вы можете увидеть там, но для удобства вот решение, которое я нашел:

virsh qemu-monitor-command --hmp sles11 'hostfwd_add ::2222-:22'

Этот однострочный ответ намного проще других, но работает только в некоторых сценариях (сетевой стек пользовательского режима).

Question 3

Более «официальный»[1] способ сделать это — создать скрипт-ловушку, как описано на сайте libvirt:

http://wiki.libvirt.org/page/Networking#Forwarding_Incoming_Connections

... в основном этот скрипт будет вызываться при загрузке гостя KVM. Сам скрипт добавит соответствующие правила iptable (похожие на ответ Айзека Сазерленда выше) с правильно добавленным состоянием соединения 'NEW'. Обратите внимание, что вы должны изменить скрипт, указав правильные значения для ваших хостов и портов.

[1] хотя в документации libvirt говорится, что это своего рода хак, поймите правильно

Answer

Более «официальный»[1] способ сделать это — создать скрипт-ловушку, как описано на сайте libvirt:

http://wiki.libvirt.org/page/Networking#Forwarding_Incoming_Connections

... в основном этот скрипт будет вызываться при загрузке гостя KVM. Сам скрипт добавит соответствующие правила iptable (похожие на ответ Айзека Сазерленда выше) с правильно добавленным состоянием соединения 'NEW'. Обратите внимание, что вы должны изменить скрипт, указав правильные значения для ваших хостов и портов.

[1] хотя в документации libvirt говорится, что это своего рода хак, поймите правильно

Question 4

В Ubuntu 20.04 я создал следующий скрипт, который сохранил как /etc/libvirt/hooks/allow-portfw(chmod +x):

#!/bin/bash

CHAIN=LIBVIRT_FWI
IPTCMD="iptables -L $CHAIN -vn"
FILTERCMD="grep -v -e Chain -e pkts -e reject-with -e DNAT"

while $IPTCMD | grep ESTABLISHED | grep -v DNAT >/dev/null
do
    IF=$($IPTCMD | $FILTERCMD | awk '{print $7}' | head -n1)
    NET=$($IPTCMD | $FILTERCMD | awk '{print $9}' | head -n1)
    iptables -D $CHAIN -o $IF -d $NET -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
    iptables -I $CHAIN 1 -o $IF -d $NET -m conntrack --ctstate DNAT,RELATED,ESTABLISHED -j ACCEPT
done

ситуация входа такова, что нам не хватает NEW, кстати, флага DNAT для цепочки FORWARDING, который создается автоматически.

sudo iptables -L LIBVIRT_FWI -vn
Chain LIBVIRT_FWI (1 references)
 pkts bytes target     prot opt in     out     source               destination         
1741K 2661M ACCEPT     all  --  *      virbr0  0.0.0.0/0            192.168.122.0/24     ctstate RELATED,ESTABLISHED
   38  1972 REJECT     all  --  *      virbr0  0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable

Мой скрипт добавляет флаг DNAT ко всем определениям.

Таким образом, я просто добавил переадресацию портов в iptables с помощью

iptables -A PREROUTING -i mylanIF -p tcp --dport 3389 -j DNAT --to-destination 192.168.122.110:3389

Вы можете использовать пакеты iptables-persistentдля сохранения этого состояния (но для этого вам обязательно придется удалить цепочки libvirt из дампа)

Или вы используете ufwлюбой другой скрипт брандмауэра.

Мой сценарий основан на выводах из этого обращенияhttps://www.cyberciti.biz/faq/kvm-forward-ports-to-guests-vm-with-ufw-on-linux/

Answer

В Ubuntu 20.04 я создал следующий скрипт, который сохранил как /etc/libvirt/hooks/allow-portfw(chmod +x):

#!/bin/bash

CHAIN=LIBVIRT_FWI
IPTCMD="iptables -L $CHAIN -vn"
FILTERCMD="grep -v -e Chain -e pkts -e reject-with -e DNAT"

while $IPTCMD | grep ESTABLISHED | grep -v DNAT >/dev/null
do
    IF=$($IPTCMD | $FILTERCMD | awk '{print $7}' | head -n1)
    NET=$($IPTCMD | $FILTERCMD | awk '{print $9}' | head -n1)
    iptables -D $CHAIN -o $IF -d $NET -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
    iptables -I $CHAIN 1 -o $IF -d $NET -m conntrack --ctstate DNAT,RELATED,ESTABLISHED -j ACCEPT
done

ситуация входа такова, что нам не хватает NEW, кстати, флага DNAT для цепочки FORWARDING, который создается автоматически.

sudo iptables -L LIBVIRT_FWI -vn
Chain LIBVIRT_FWI (1 references)
 pkts bytes target     prot opt in     out     source               destination         
1741K 2661M ACCEPT     all  --  *      virbr0  0.0.0.0/0            192.168.122.0/24     ctstate RELATED,ESTABLISHED
   38  1972 REJECT     all  --  *      virbr0  0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable

Мой скрипт добавляет флаг DNAT ко всем определениям.

Таким образом, я просто добавил переадресацию портов в iptables с помощью

iptables -A PREROUTING -i mylanIF -p tcp --dport 3389 -j DNAT --to-destination 192.168.122.110:3389

Вы можете использовать пакеты iptables-persistentдля сохранения этого состояния (но для этого вам обязательно придется удалить цепочки libvirt из дампа)

Или вы используете ufwлюбой другой скрипт брандмауэра.

Мой сценарий основан на выводах из этого обращенияhttps://www.cyberciti.biz/faq/kvm-forward-ports-to-guests-vm-with-ufw-on-linux/

Переадресация портов на гостевые системы в libvirt/KVM

решение1

решение2

решение3

решение4

Связанный контент