KVM nat命令列

Question 1

NAT 的共同想法是：沒看到翻譯後的地址。你沒有通往他們的路線。他們不為你而存在。您只能看到被轉換成的位址。

QEMU 的情況也沒有什麼不同。在這種情況下，您的主機位於“外部”，您的虛擬機器位於“內部”，因此虛擬機器永遠無法透過其指派的位址存取。您的虛擬機器位址為 10.0.2.2/24，但當它到達 Internet 時，其封包會轉換為 192.168.1.172透過 QEMU 進程，因此主機認為這些資料包是由 QEMU 進程創建的，並像對待任何其他資料包一樣對待它們，例如來自本地運行的 Web 瀏覽器或類似的資料包。

如何從主機存取虛擬機器？當我們有 NAT 時，為了存取隱藏在其後面的主機，我們安裝DNAT規則。再說一遍，QEMU 的情況沒有什麼不同，您必須在其中設定一些規則，然後您可以透過將封包傳送到選定的連接埠來從主機（如果需要，也可以從其他主機）與虛擬機器進行通訊。主持人地址。

根據QEMU 文檔，要將 DNAT 規則設定到其使用者模式NAT 中，請使用該hostfwd子句。讓我們在其命令列中引入以下內容：

    -netdev user,id=usernet0,hostfwd=tcp::11111-:22 \
    -device virtio-net-pci,netdev=usernet0,mac=08:00:27:92:B0:51

那麼，tcp埠11111就會被我機器上的進程佔用qemu-system-x86_64，如果你連接到本機連接埠 11111，將連接到 VM 的連接埠 22。

一般形式是hostfwd=hostip:hostport-guestip:guestport，但如果省略hostip，它將是 localhost ，如果省略guestip，它將是訪客網路內的第一個「非網關」位址。

我注意到有人提到了你virsh。你在跑步嗎libvirt？那麼問題就重複了；看評論。

Answer

NAT 的共同想法是：沒看到翻譯後的地址。你沒有通往他們的路線。他們不為你而存在。您只能看到被轉換成的位址。

QEMU 的情況也沒有什麼不同。在這種情況下，您的主機位於“外部”，您的虛擬機器位於“內部”，因此虛擬機器永遠無法透過其指派的位址存取。您的虛擬機器位址為 10.0.2.2/24，但當它到達 Internet 時，其封包會轉換為 192.168.1.172透過 QEMU 進程，因此主機認為這些資料包是由 QEMU 進程創建的，並像對待任何其他資料包一樣對待它們，例如來自本地運行的 Web 瀏覽器或類似的資料包。

如何從主機存取虛擬機器？當我們有 NAT 時，為了存取隱藏在其後面的主機，我們安裝DNAT規則。再說一遍，QEMU 的情況沒有什麼不同，您必須在其中設定一些規則，然後您可以透過將封包傳送到選定的連接埠來從主機（如果需要，也可以從其他主機）與虛擬機器進行通訊。主持人地址。

根據QEMU 文檔，要將 DNAT 規則設定到其使用者模式NAT 中，請使用該hostfwd子句。讓我們在其命令列中引入以下內容：

    -netdev user,id=usernet0,hostfwd=tcp::11111-:22 \
    -device virtio-net-pci,netdev=usernet0,mac=08:00:27:92:B0:51

那麼，tcp埠11111就會被我機器上的進程佔用qemu-system-x86_64，如果你連接到本機連接埠 11111，將連接到 VM 的連接埠 22。

一般形式是hostfwd=hostip:hostport-guestip:guestport，但如果省略hostip，它將是 localhost ，如果省略guestip，它將是訪客網路內的第一個「非網關」位址。

我注意到有人提到了你virsh。你在跑步嗎libvirt？那麼問題就重複了；看評論。

Question 2

您可以使用網橋，而無需將 VM 主機上的任何實體乙太網路介面從屬於它。

假設我們堅持選擇子網10.0.2.0/24（這不是必要的）：

# ip l add natbr0 type bridge
# ip a add 10.0.2.1/24 dev natbr0

然後建立以下文件：

$ echo 'allow natbr0' | sudo tee /etc/qemu/bridge.conf 
allow natbr0

然後使用eg-nic bridge,br=natbr0或啟動qemu -netdev bridge,br=natbr0,id=nb0 -device virtio-net,netdev=nb0，這將以tap動態方式將您的VM連接到橋接器（tap即一旦VM關閉，該介面將被刪除）。

您還需要在虛擬機器上設定靜態 IP：

# ip a add 10.0.2.2/24 dev ens3
# ip r add default via 10.0.2.1

除非您也在主機上設定了 DHCP 伺服器（例如 dnsmasq）。不要忘記配置 DNS 伺服器以在虛擬機器內部使用。

請注意，使用同一橋接器的虛擬機器可以相互通信，除非您以某種方式（例如 ebtables）阻止此類通信。

default只有當您希望虛擬機器能夠到達「外部」時，才需要路由（以及要使用的 DNS 伺服器）。如果您只需要它能夠與VM主機通信，則應該跳過第二個命令並可以停止閱讀。（好吧，請閱讀P.S.）

如果您不想在虛擬機器中使用特定的「公共」DNS 伺服器，最好將主機上的 example dnsmasq 配置為 DNS 轉發器，儘管使用 DNAT 將 DNS 請求轉送至eg應該192.168.1.1適用於基本請求。

然後您需要啟用 IP 轉送：

# sysctl -w net.ipv4.ip_forward=1
net.ipv4.ip_forward = 1

如果您想避免從/到某些網路介面的 IP 轉發（例如 tun0）出於安全原因，您需要設定防火牆。例如：

# iptables -A FORWARD -i tun0 -j DROP
# iptables -A FORWARD -o tun0 -j DROP

由於您擁有實際上覆蓋路由的 (VPN) 隧道路由default，因此從虛擬機器到 Internet 的流量也將進入隧道（除非您新增了上面的範例規則）。如果您希望流量透過路由器等進行，則需要政策路由。例如：

# ip ru add iif natbr0 lookup table 123
# ip r add 192.168.1.1 dev wlan0 table 123 # probably optional
# ip r add default via 192.168.1.1 table 123

您也可以阻止虛擬機器存取 LAN 主機：

# iptables -A FORWARD -i natbr0 -d 192.168.1.0/24 -j DROP

-I如果您要將 DNS 請求重新導向到路由器，請例外（請注意）：

# iptables -I FORWARD -i natbr0 -d 192.168.1.1 -p tcp --dport 53 -j ACCEPT
# iptables -I FORWARD -i natbr0 -d 192.168.1.1 -p udp --dport 53 -j ACCEPT

最後，設定 iptables 為您的 VM 子網路動態執行 SNAT（根據出站介面）：

# iptables -t nat -A POSTROUTING -s 10.0.2.0/24 -j MASQUERADE

請注意，這並不是為了也不會完全阻止來自「外部」（您的實體 LAN 主機或 Internet；VM 主機不計算在內）的某些流量能夠到達您的 VM。當來自虛擬機器的回覆流量的來源位址在轉送出去之前發生變更時，它只會中斷通訊作為副使用。為了正確隔離，您將需要鏈中的（附加）適當規則FORWARD。如果您有這樣的需要，請考慮在那裡進行「有狀態」設定。

此外，您可以將對主機的 DNS 請求從虛擬機器重新導向到路由器：

iptables -t nat -A PREROUTING -d 10.0.2.1 -p udp --dport 53 -j DNAT --to-destination 192.168.1.1
iptables -t nat -A PREROUTING -d 10.0.2.1 -p tcp --dport 53 -j DNAT --to-destination 192.168.1.1

這或多或少允許您10.0.2.1在虛擬機器中用作 DNS 伺服器。

PS 上面的所有操作（除了創建 / 寫入/etc/qemu/bridge.conf）都是易失性的，即一旦您重新啟動，它們就會消失（除非您的發行版做了一些愚蠢的事情）。我不會深入探討如何使它們持久存在，因為有不同的方式/方法，而且它可能是特定於發行版的。

Answer