主页 / server / 问题 / 457262
Accepted
Phanto
Asked: 2012-12-12 15:57:37 +0800 CST

在 KVM 主机上配置 IPTables 以阻止来宾网桥流量

  • 772

我正在做一个论文研究项目，我在弄清楚如何获取（在 KVM 主机上运行）来阻止发往BRIDGED KVM 来宾iptables的流量（或者更确切地说，操纵流量）时遇到了一些困难。我无法获取条目（粘贴在下面）来阻止进出 VM 的流量。iptables

实际上，我希望我的主机系统充当那些来宾 VM 的防火墙，目前，我想通过简单地丢弃所有发往特定 VM 的数据包来测试此功能。在不远的将来，我还想实现更细粒度的控制，甚至涉及代理。同样，这应该完全发生在 HOST 级别，而不是GUEST 级别。

我运行的是 CentOS 6，基于我写的另一个问题：Use one NIC to create multiple interfaces for Linux KVM，我配置了以下接口：

eth0
br0
tap0

下面是我的每个接口的网络设置脚本：

eth0的配置：

DEVICE="eth0"
BOOTPROTO="none"
NM_CONTROLLED="no"
ONBOOT=yes
TYPE="Ethernet"
UUID="<<UUID-HERE>>"
HWADDR=<<MAC-ADDR-HERE>>
DEFROUTE=yes
PEERDNS=yes
PEERROUTES=yes
IPV4_FAILURE_FATAL=yes
IPV6INIT=no
NAME="System eth0"
BRIDGE="br0"

br0的配置：

DEVICE="br0"
TYPE="Bridge"
ONBOOT="yes"
BOOTPROTO="dhcp"
DELAY=0

tap0的配置：

DEVICE="tap0"
TYPE="Tap"
BRIDGE="br0"
ONBOOT="yes"

我有一个运行的 CentOS 6 虚拟机，它被配置为使用tap0桥接接口。VM 上的网络正常工作。没有对主机系统进行其他更改。

以下是iptables我添加到FORWARD链中的无效规则（值得注意的是，我还不是这方面的专家iptables）。

sudo iptables -I FORWARD -i any -o tap0 -j DROP
sudo iptables -I FORWARD -i tap0 -o any -j DROP

运行命令后，FORWARD表格如下所示：

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 DROP       all  --  tap0   any     anywhere             anywhere            
    0     0 DROP       all  --  any    tap0    anywhere             anywhere            
    0     0 REJECT     all  --  any    any     anywhere             anywhere            reject-with icmp-host-prohibited

不幸的是，这不会阻止交通。我不明白为什么这行不通。

更新：2014 年 11 月 25 日：自从我上次更新以来已经有一段时间了。事实证明，iptables有physdev插件，这实际上是我在研究中成功使用的插件，并且比那时更灵活ebtables。

linux

2 个回答

  1. Best Answer

    确保您了解此处涉及的网络基础知识。网桥是交换机，在第 2 层运行。您的iptables规则适用于第 3 层，不会在该级别通过。

    查看ebtables并指定第 2 层规则 - 或者 - 完全禁用桥接并移动到路由设置，其中所有流量都通过主机在第 3 层传递。不确定后一个选项是否可以使用 Libvirt/KVM。

    • 2

  2. 如果你这样做：

    echo 1 > /proc/sys/net/bridge/bridge-nf-call-iptables

    它将在网桥上启用 netfilter，然后您可以在 FORWARD 链上设置 iptables 规则，以影响通过网桥接口进出虚拟机的数据包。

    要使其在重启时永久生效：

    编辑/etc/sysctl.conf和设置net.bridge.bridge-nf-call-iptables = 1

    https://wiki.libvirt.org/page/Net.bridge.bridge-nf-call_and_sysctl.conf

    尽管 wiki 上说这样做不可取，但我多年来一直这样做。它允许我在全局适用于所有 VM 的 FORWARD 链上设置黑名单和其他 iptables/ipset 规则。它在中等负载的服务器上工作得很好。

    • 1

相关问题