主页 / server / 问题 / 1169597
Accepted
Sebastien
Asked: 2024-12-29 23:31:45 +0800 CST

具有静态 IP 并使用 nftables 进行伪装的 Xen 客户机

  • 772

决定将一台旧电脑改造成服务器（NAS、家庭助理等），我决定学习 Debian 上的 Xen Project 虚拟化。该服务器预计仅在 LAN 上使用，其静态 IP 地址为 10.56.0.191。我正尝试使用 Xen 在 10.56.0.192 上创建客户机。为此，我遵循了Xen 项目的初学者指南中提供的信息，并且能够创建运行 Debian 的 VP 客户机。

不幸的是，客户机根本没有连接。我仍然按照初学者指南，结合Xen 网络，尝试配置主机的接口、IP 转发、ARP 代理和 IP 伪装。不幸的是，wiki 引用的iptable似乎已被nftables取代。因此，我尝试使用nftables。

客户机似乎无法通信（通过 ping LAN 上的各个主机测试连接），而主机可以正常通信。

我似乎遗漏了一些重要的东西，但我无法找到它。你能帮我解决这个问题吗？

我对主机和客户机进行了如下配置。

我感谢你的帮助:-)

在主机上

我创建了一座桥，如下xenbr0所示/etc/network/interfaces：

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# Static IP on ethernet
iface enp2s0 inet manual

# Bridge for Xen hypervisor
auto xenbr0
iface xenbr0 inet static
    address 10.56.0.191
    netmask 255.255.0.0
    gateway 10.56.0.1
    dns-nameservers 1.1.1.1 4.4.4.4 8.8.8.8
    bridge_ports enp2s0
    bridge_stp off
    bridge_maxwait 0
    bridge_fd 0

IPv4转发和ARP代理都已启用/etc/sysctl.conf。

net.ipv4.ip_forward=1
net.ipv4.conf.enp2s0.proxy_arp=1

使用nftables，我创建了一个nat 表和一个后路由链。然后我添加了一条 IP 伪装规则。

nft add table nat
nft add chain ip nat postrouting { type nat hook postrouting priority 0 \; }
nft add rule nat postrouting ip saddr 10.56.0.0/16 oif enp2s0 masquerade

调用nft list ruleset返回以下内容：

table ip nat {
    chain postrouting {
        type nat hook postrouting priority filter; policy accept;
        ip saddr 10.56.0.0/16 oif "enp2s0" masquerade
    }
}

关于客人

在客户机配置文件中，虚拟接口设置为vif = [ 'ip=10.56.0.192 ,mac=00:16:3E:FA:9C:76, bridge=xenbr0' ]

我还尝试通过设置静态 IP 来配置其网络接口/etc/network/interfaces：

auto lo
iface lo inet loopback

auto enX0
iface enX0 inet static
    address 10.56.0.192
    gateway 10.56.0.1
    netmask 255.255.0.0
    dns-nameservers 1.1.1.1 4.4.4.4 8.8.8.8
debian

1 个回答

  1. Best Answer

    如果代表 VM 客户机的 VIF 应该位于桥接器中，则 VM 主机上的 NAT 无关紧要，因为它直接通过桥接器进行通信，甚至不使用主机作为网关。

    但从评论来看，Xen 似乎没有按要求将 VIF 放入桥中。请使用 手动执行此操作ip link set <vif_name> master xenbr0。

    我的猜测是，Xen 会vif =因为ip=不应该存在的参数而忽略你的整个配置——我在文档中找不到它，事实上它的ip=存在根本没有意义，因为虚拟机管理程序只能控制客户的 MAC 地址（模拟硬件），但不能控制客户的 IP 地址（由客户在软件中决定）。

    上周写的初步答案：

    您的设置是几种相互矛盾的配置的混合。特别是您混合了“桥接”和“路由”设置：

    • 如果 enp2s0 是网桥的一部分，那么实际上虚拟机直接连接到与主机相同的 LAN（在以太网级别） - 它将直接与 10.56.0.1 的物理 LAN 网关通信，依此类推。

      但是如果将虚拟机配置为使用 10.56.0.1 作为其网关（通过网桥走捷径）……这意味着它不会使用 10.56.0.191（主机 PC）作为其网关，因此其流量不会经过主机的 IP 处理，包括任何 nftables NAT 规则。

      无论如何，NAT 不是必需的——在此设置中，NAT 和代理 ARP 也完全没有必要。代理 ARP 是多余的，因为网桥已经将真正的 ARP 请求/响应直接转发到虚拟机，因此主机无需代表它进行回答；NAT 是多余的，因为两个地址都在同一个子网内，因此网关无论如何已经知道到虚拟机真实地址的路由（同样，直接通过网桥）。

      因此，如果您想要一个桥接设置，其中虚拟机是物理 LAN 的正式成员，那么要做的第一件事就是再次禁用代理 ARP，并确保物理路由器正确学习虚拟机的真实 MAC 地址（通常 ARP 缓存条目会在短时间内过期）。第二件事 - 如果您在某个企业 LAN 上执行此操作 - 就是联系管理网络的人。

    • 另一方面，如果需要使用 NAT 进行路由设置（以便向物理 LAN 隐藏 VM 的存在），则 enp2s0根本不应成为桥接的一部分。相反，enp2s0 和 xenbr0 应该是两个具有独立 IP 配置的独立接口 - 更重要的是，具有不重叠的 IP 子网。

      例如，由于 LAN 使用 10.56.0.0/16，您可能将 192.168.44.0/24 用于 Xen 网络，并且 VM 将被配置成使用主机（例如 192.168.44.1）作为其网关。

      由于路由是隐式的，因此还必须通过主机系统上的 /etc/sysctl.conf 在系统范围内启用它（net.ipv4.conf.all.forwarding=1）。

      （从技术上讲，如果网桥仅包含这个单个虚拟机，那么整个网桥就是多余的；路由可以直接在 enp2s0 和代表虚拟机的单个接口之间进行。不过，使用网桥可以使其他一些事情变得更加方便。）

    • 0

相关问题