Início / unix / Perguntas / 473102
Accepted
Dave
Asked: 2018-10-04 14:08:17 +0800 CST

QEMU: Ativar a troca de arquivos SFTP (convidado ⇆ host), mas proibir o acesso de convidados à Internet pública?

  • 772

Suponho que eu execute um convidado do Windows em uma QEMUmáquina virtual em um host Debian. Por este meio, o host Debian é um computador desktop comum com acesso à Internet.

Como posso configurar uma SFTPtroca de arquivos entre convidado e host, mas impedir que o convidado (= Windows) acesse a Internet?

  1. Configure uma interface de rede virtual (NIC) para a máquina Windows pertencente virt-manager(a configuração padrão é rede NATcom dispositivo virtio)
  2. Instale o driver de rede na máquina convidada (Windows)
  3. Instale o WinSCP na máquina convidada (Windows)

Mas e então? Onde posso impedir o acesso público à Internet apenas para este convidado? Isso já é possível virt-managersem atrapalhar o firewall do host?

Várias outras máquinas convidadas não devem ser afetadas por isso.

qemu virtual-machine

3 respostas

  1. Eu não uso virtmanager, mas com plain qemuisso é muito simples:

    qemu-system-x86_64 -net nic -net "user,restrict=on,guestfwd=:10.0.2.1:22-cmd:netcat 127.0.0.1 22,hostfwd=::2222-:22" -enable-kvm   ...  -m 4G -hda windows.qcow2

    Isso está usando a rede "modo de usuário" (slirp) com o modo "restrito" ativado e faz alguns encaminhamentos.

    Para conectar com ssh// scpdo sftphost para o convidado, você usa ssh -p 2222 localhoste scp -P 2222 from_file localhost:to_file.

    Para se conectar do convidado ao host, você usa ssh 10.0.2.1(ou define 10.0.2.1como o host em qualquer caixa de diálogo de puttyou winscp)

    Para a restrict=onbandeira, dê uma olhada na minha resposta aqui . Isso pode estar mais próximo do que você realmente precisa do que scpou sftp.

    • 2

  2. Uma maneira simples é remover o gateway padrão das configurações da máquina Windows. Isso removerá a rota padrão e só poderá acessar a "rede local". Você pode precisar fazer o mesmo para IPv4 e IPv6 e desabilitar qualquer método de aquisição automática de endereço.

    • 1
  3. Best Answer

    Crie uma nova rede virtual no virt-manager com sua conectividade definida como Rede virtual isolada .

    Rede virtual isolada

    Nesta configuração, as VMs nesta rede só podem acessar outras VMs na mesma rede e no host (usando apenas o endereço IP do host para a rede isolada).

    • 1

relate perguntas