Início / server / Perguntas / 1098710
Accepted
Gregory MOUSSAT
Asked: 2022-04-16 10:16:38 +0800 CST

QEMU/KVM: como proteger o acesso do monitor?

  • 772

Executando QEMU/KVM com monitor:kvm ...some_parameters... -monitor unix:/my_path/my_fifo,server,nowait

Podemos então conectar usando socat - UNIX-CONNECT:/my_path/my_fifocomandos then type.
Fácil e acessível.

Eu gostaria de expor a interface do monitor à rede local (provavelmente usando socat, de acordo com o método de segurança), que é razoavelmente seguro. Como posso proteger o acesso ao monitor?

Não vejo nenhuma opção de senha disponível, certificado, etc. Portanto, suspeito que tenho que confiar em um método externo ao QEMU/KVM.

kvm-virtualization security network-security

1 respostas

  1. Best Answer

    Você pode usar o SSH para acessar esse soquete com segurança, aproveitando as opções de segurança fornecidas pelo SSH. Você não precisa socatde nada, porque o SSH permite o encaminhamento de soquete para soquete ou tcp para soquete via -Lopção:

         -L [bind_address:]port:host:hostport
     -L [bind_address:]port:remote_socket
     -L local_socket:host:hostport
     -L local_socket:remote_socket

    Por exemplo, se o seu qemuprocesso for executado com -monitor unix:/my_path/my_fifo,server,nowaitopção, use ssh virtualization-host -L /tmp/monitor:/my_path/my_fifopara conectar e, em seguida, conecte-se ao socket local /tmp/monitorou use ssh virtualization-host -L 12345:/my_path/my_fifoe telnet para localhost:12345(o cliente SSH ouvirá apenas no localhost neste caso).

    Para obter melhor segurança, use chaves SSH para se conectar aos monitores. No host de virtualização remota, crie um usuário que terá rwdireitos sobre o /my_path/my_fifoobjeto. Crie um par de chaves e coloque a chave pública no ~/.ssh/authorized_keysarquivo desse usuário de forma restrita para permitir apenas o encaminhamento:

    restrict,port-forwarding,command="/bin/false" ssh-... ..... (the public key string)

    Para conectar, use um comando que não aloque um shell e não execute um comando, útil apenas para encaminhamentos:

    ssh monitoruser@virtualization-host -i mointor_private_key -L 12345:/my_path/my_fifo -N

    e, finalmente, use telnet localhost 12345para acessar o soquete do monitor encaminhado via SSH.

    • 1

relate perguntas