firewall-cmd - 新增轉送埠不起作用

Question

真正的問題：

命令...

firewall-cmd --permanent --zone=public --direct --add-rule ipv4 filter FORWARD 0 -d 0.0.0.0/0 -j ACCEPT
firewall-cmd --permanent --zone=public --add-forward-port=port=222:proto=tcp:toport=22:toaddr=10.1.0.9
firewall-cmd --reload

……「UPDATE II」中所描述的效果與firewalld（CentOS 7使用）一樣好。

問題出在 KVM (libvirt) 中，當啟動「網路」virbr0 時，它會注入規則（可能透過防火牆），從而阻止（第一匹配原則）任何使用firewall-cmd. KVM 注入 (libvirt) 規則位於 FORWARD 和 POSTROUTING 的頂部，位於常規 firewalld 規則集之前。由於 netfilter 按照首次匹配原則運行，因此這些規則。

解決方案：

由於 KVM (libvirt) 注入防火牆的規則產生的問題，解決方案是使用名為 libvirt-hook-qemu 的駭客/解決方法，如下所述...

下載並安裝 libvirt-hook-qemu...

yum -y install git-core
cd /usr/local/src
git clone https://github.com/saschpe/libvirt-hook-qemu.git
cd libvirt-hook-qemu
make install
cd ..
rm -rf libvirt-hook-qemu

列出您的虛擬機器（來賓）...

virsh list --all

...並複製目標虛擬機器的名稱。

關閉虛擬機器...

virsh shutdown "<VM_NAME>" --mode acpi

開啟檔案“hooks.json”，刪除其內容...

vi /etc/libvirt/hooks/hooks.json

....並輸入您的規則作為下面的範本（也可以使用其他設定方式）...

{
    "<VM_NAME>": {
        "interface": "virbr0",
        "private_ip": "<VM_IP>",
        "port_map": {
            "tcp": [[<PORT_ON_HOST>, <PORT_ON_GUEST>]]
        }
    }
}

重新啟動 libvirtd...

systemctl restart libvirtd.service

...並啟動虛擬機器...

virsh start "<VM_NAME>"

完畢！ =D

更遠：

這種KVM (libvirt) 行為- 注入阻止任何連接埠轉發嘗試的規則- 是強制性的、侵入性的和不必要的...首先因為主機上沒有連接埠轉發，所以在預設網路(virbr0) 上將無法訪問虛擬機其次，因為它迫使我們使用黑客/解決方法（或我們在巴西所說的“gato”/“gambiarra” =D ）。

在我們看來，強加給使用者如何建構他的基礎設施是沒有意義的……這毫無意義！坦白說，我們認為如果這些設定是可選的（注入規則...），就像其他領先的虛擬機器管理程式一樣，那將是最好的。我們更進一步…如果是 KVM（libvirt）控制這種事情，那麼它還應該提供將連接埠對應到虛擬機器的方法。

KVM (libvirt) 是一個偉大的工具，但並非所有用戶都願意 - 由於各種原因 - 將他們的電腦直接放置在主機的網路上，就像並非所有用戶都願意放棄預設網路 (virbr0) 提供的所有靈活性/可訪問性一樣。

謝謝！

[參考文獻.:https://bugzilla.redhat.com/show_bug.cgi?id=846810, https://libvirt.org/firewall.html, https://libvirt.org/formatnetwork.html#examplesRoute, https://saschpe.wordpress.com/2014/03/06/dynamic-iptables-port-forwarding-for-nat-ed-libvirt-networks/, https://serverfault.com/q/170079/276753, https://serverfault.com/q/915257/276753, https://wiki.libvirt.org/page/VirtualNetworking#Roulated_mode, https://www.centos.org/forums/viewtopic.php?f=50&t=71454&sid=7f5190a29eebbf755235ec3dc404a47f, https://www.cyberciti.biz/faq/kvm-forward-ports-to-guests-vm-with-ufw-on-linux/]

更新：

注入阻止任何連接埠轉送嘗試的規則

-> KVM (libvirt) 目前的上游已經解決了這個問題！

看這個：...KVM (libvirt) 目前上游已解決此問題…

Answer 1