主页 / server / 问题 / 522478
Accepted
AlexD
Asked: 2013-07-12 02:14:30 +0800 CST

具有桥接网络的 LXC 容器将虚假 MAC 地址暴露给外部网络

  • 772

我在 Debian 挤压机上运行 LXC 容器（lxc 0.7.2-1），通过本书配置了公共 IP 的桥接网络，我遇到的问题是它将假 MAC 地址从 LXC 容器暴露到外部网络，并被交换机端口阻止安全性，因此阻止 LXC 容器与世界通信。我在具有相同网络配置的 Ubuntu 12.04.2 LTS (lxc 0.7.5-3ubuntu67) 上运行另一个 LXC 容器，但我没有任何问题，因为它不会将假 MAC 暴露给外部网络，并且所有通信都使用主机的 MAC。

目前我正在尝试找出主机之间网络配置的差异，但没有取得多大成功。它可能是 lxc 本身的版本依赖行为吗？

Debian /etc/network/interfaces

auto br0
iface br0 inet static
    bridge_ports eth0
    bridge_fd 0
    bridge_stp off
    bridge_maxwait 0
    address   y.y.y.9
    netmask   255.255.255.192
    broadcast y.y.y.63
    gateway   y.y.y.1
    pre-up iptables-restore < /etc/iptables.up.rules

Debian LXC 网络配置

lxc.network.type = veth
lxc.network.flags = up
lxc.network.link = br0
lxc.network.hwaddr = fe:95:57:4b:b4:9b
lxc.network.ipv4 = y.y.y.12/26

Ubuntu /etc/network/interfaces

auto br0
iface br0 inet static
    bridge_ports eth0
    bridge_fd 0
    bridge_stp off
    bridge_maxwait 0
    address   z.z.z.146
    netmask   255.255.255.0
    broadcast z.z.z.255
    gateway   z.z.z.1
    pre-up iptables-restore < /etc/iptables.rules
    up route add x.x.x.1 br0

Ubuntu LXC 网络配置

lxc.network.type = veth
lxc.network.flags = up
lxc.network.link = br0
lxc.network.name = eth0
lxc.network.ipv4 = x.x.x.1/32
lxc.network.hwaddr = 00:16:3e:87:b5:b9
networking

1 个回答

  1. Best Answer

    区别在于 Ubuntu 上的 LXC 容器使用来自不同子网的 IP 地址，并将其主机的 IP 作为默认网关，而 Debian 上的 LXC 容器使用与主机相同子网的 IP，并且其默认网关与主机相同。

    当 LXC 容器的 IP 来自与其主机不同的子网并使用其主机作为默认网关时，来自 LXC 容器的数据包被路由，当它们离开主机的网络接口时，它们具有主机的 MAC。当 LXC 容器与主机位于同一子网并使用相同的网关时，数据包将被桥接并保留 LXC 的假 MAC。我的解决方案是强制通过主机路由，即使它们在同一个子网上。在这种情况下，我的 LXC 容器具有以下/etc/network/interfaces：

    auto eth0
iface eth0 inet static
    address   y.y.y.12
    netmask   255.255.255.255
    post-up route add y.y.y.9 dev eth0
    post-up route add default gw y.y.y.9

    并且 LXC 主机在 sysctl.conf 中有以下内容

    net.ipv4.ip_forward=1
net.ipv4.conf.bond0.proxy_arp = 1

    在/etc/network/interfaces中：

     auto bond0
 iface bond0 inet static
   address y.y.y.9
   netmask 255.255.255.192
   broadcast y.y.y.63
   gateway y.y.y.1

 auto lxcbr0
 iface lxcbr0 inet static
    bridge_ports none
    bridge_fd 0
    bridge_stp off
    bridge_maxwait 0
    address   192.168.120.1
    netmask   255.255.255.0
    up echo 1 > /proc/sys/net/ipv4/conf/eth0/proxy_arp
    up /sbin/ip route add to y.y.y.12 dev lxcbr0

    我已经从上面的配置中删除了不相关的选项。

    • 4

相关问题