我可以通过213.xxx.xxx.1分配给主机访问主机，但带有（桥接接口打开）的br0:1虚拟机不起作用。213.xxx.xxx.2br0:1
我是否必须为第二个子网创建另一个桥接接口，但bond0已经连接br0？！
基本上，在这种情况下，我如何将第二个子网用于虚拟机？
子网：
213.xxx.xxx.176/28
213.xxx.xxx.0/27 routed via 213.xxx.xx.180
设置：
时间[1-2]
# cat /etc/sysconfig/network-scripts/ifcfg-em[1-2]
DEVICE="em[1-2]"
NAME="bond0-slave[1-2]"
BOOTPROTO="none"
NM_CONTROLLED="yes"
ONBOOT="yes"
TYPE="Ethernet"
USERCTL=no
IPV6INIT=no
PEERDNS=no
MASTER=bond0
SLAVE=yes
债券0
# cat /etc/sysconfig/network-scripts/ifcfg-bond0
DEVICE="bond0"
NAME="bond0"
BOOTPROTO="none"
NM_CONTROLLED="yes"
ONBOOT="yes"
TYPE="Bond"
USERCTL="no"
IPV6INIT="no"
PEERDNS="no"
BONDING_OPTS="mode=active-backup miimon=100"
BRIDGE=br0
br0
# cat /etc/sysconfig/network-scripts/ifcfg-br0
DEVICE="br0"
NAME="br0"
BOOTPROTO="none"
IPADDR="213.xxx.xxx.180"
GATEWAY="213.xxx.xxx.177"
NETMASK="255.255.255.240"
BROADCAST="213.xxx.xxx.191"
NM_CONTROLLED="yes"
ONBOOT="yes"
TYPE="Bridge"
USERCTL="no"
IPV6INIT="no"
PEERDNS="no"
br0:1
# cat /etc/sysconfig/network-scripts/ifcfg-br0:1
DEVICE="br0:1"
NAME="br0:1"
BOOTPROTO="none"
IPADDR="213.xxx.xxx.1"
NETMASK="255.255.255.224"
BROADCAST="213.xxx.xxx.31"
NM_CONTROLLED="yes"
#ONBOOT="yes"
TYPE="Bridge"
USERCTL="no"
IPV6INIT="no"
PEERDNS="no"
ONPARENT="yes"
2017 年 1 月 18 日星期三 16:25:17 GMT 更新：
<interface type='bridge'>
<mac address='52:54:00:4c:4f:27'/>
<source bridge='br0'/>
<model type='virtio'/>
<address type='pci' domain='0x0000' bus='0x00' slot='0x03' function='0x0'/>
</interface>
2017 年 1 月 24 日星期二 11:44:21 GMT 更新：
虚拟机网络设置：
# cat /etc/sysconfig/network-scripts/ifcfg-eth0
TYPE="Ethernet"
BOOTPROTO="none"
DEFROUTE="yes"
IPV4_FAILURE_FATAL="no"
NAME="eth0"
DEVICE="eth0"
ONBOOT="yes"
IPADDR="213.xxx.xxx.2"
PREFIX="27"
GATEWAY="213.xxx.xxx.177" <-- not sure if this should be 213.xxx.xxx.180 instead?!
主机上的 IPTables：
# iptables -nL
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:53
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:53
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:67
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:67
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22
REJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited
Chain FORWARD (policy ACCEPT)
target prot opt source destination
ACCEPT all -- 0.0.0.0/0 192.168.122.0/24 ctstate RELATED,ESTABLISHED
ACCEPT all -- 192.168.122.0/24 0.0.0.0/0
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
REJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-port-unreachable
REJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-port-unreachable
REJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:68
# iptables -t nat -nL
Chain PREROUTING (policy ACCEPT)
target prot opt source destination
Chain INPUT (policy ACCEPT)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
Chain POSTROUTING (policy ACCEPT)
target prot opt source destination
RETURN all -- 192.168.122.0/24 224.0.0.0/24
RETURN all -- 192.168.122.0/24 255.255.255.255
MASQUERADE tcp -- 192.168.122.0/24 !192.168.122.0/24 masq ports: 1024-65535
MASQUERADE udp -- 192.168.122.0/24 !192.168.122.0/24 masq ports: 1024-65535
MASQUERADE all -- 192.168.122.0/24 !192.168.122.0/24
当我在VM上将默认网关设置为213.xxx.xxx.1（主机上的br0：1的IP）时，它可以工作 - 不知道为什么我不能只使用与主机相同的默认网关（213.xxx.xxx .177)。
我还必须刷新 IPTables，所以我需要找出哪些规则是必要的。
从 VM ping 时，我也会收到重定向，因此不确定此配置是否最佳：
# ping 8.8.8.8
PING 8.8.8.8 (8.8.8.8) 56(84) bytes of data.
From 213.xxx.xxx.1: icmp_seq=1 Redirect Host(New nexthop: 213.xxx.xxx.177)
From 213.xxx.xxx.1 icmp_seq=1 Redirect Host(New nexthop: 213.xxx.xxx.177)
64 bytes from 8.8.8.8: icmp_seq=1 ttl=47 time=7.26 ms
...
2017 年 1 月 24 日星期二 14:49:43 GMT 更新：
我不确定为什么 IPTables 会过滤通过网桥的数据包，即使br_netfilter模块没有加载
# lsmod | grep "br_netfilter"; echo $?
1
# test -d /proc/sys/net/bridge; echo $?
1
这条规则也没有帮助：
# iptables -I FORWARD -m physdev --physdev-is-bridged -j ACCEPT
来自维基百科：
这意味着网关节点必须是网络或子网中的节点。您在一个接口上使用两个子网，
br0213.xxx.xxx.0/27并且213.xxx.xxx.176/28.213.xxx.xxx.177网络中有网关主机213.xxx.xxx.176/28。您的主机服务器通过此网关访问 Internet。我认为网关主机213.xxx.xxx.177是一个路由器，这个路由器不是子网的成员（节点）213.xxx.xxx.0/27。但它知道子网213.xxx.xxx.0/27可以通过节点213.xxx.xxx.180（您的主机服务器）访问。您的虚拟机有错误的网关地址。如果 VM 具有 IP 地址
213.xxx.xxx.2/27，则 VM 必须具有来自同一子网的网关地址213.xxx.xxx.0/27。这就是为什么虚拟机必须有网关地址213.xxx.xxx.1，因为你的主机服务器在br0接口上有辅助 IP 地址。如果要在子网中创建 VM，则
213.xxx.xxx.176/28必须213.xxx.xxx.177在其上分配与主机服务器相同的网关 ip。确保此 ip 未在某处使用。此外：
清除此处描述的所有 iptables 规则
在执行此操作之前，必须启动 iptables 服务。清除后重新启动 iptables 服务，将清除的规则存储在磁盘上。
“回答问题”的解决方案：
cat /proc/sys/net/ipv4/ip_forward如果不是 1，请确保在主机上启用了 ip 转发，请查看此站点如何更改它iptables -I FORWARD -m physdev --physdev-is-bridged -j ACCEPT看起来不错。最终将其更改为某个链接iptables -I FORWARD -s 213.xxx.xxx.0/27 -j ACCEPT（这意味着：接受从 vms 网络到另一个网络的所有流量）此解决方案的想法是使用您的主机作为 vm 网络的网关。显然，如果您在 213.xx0 网络（ 213.xxx.xx.180 ）上已经有其他网关，您可以直接从您的虚拟机中使用它。
建议的 iptables 配置将允许从虚拟机到外部的流量。如果你想允许从外部连接到虚拟机，你必须设置一个看起来像的规则
iptables -I FORWARD -d 213.xxx.xxx.0/27 -j ACCEPT推荐的解决方案：请记住，由于提出问题的方式，这一切可能只是一团糟。在现实世界中，如果你有一个路由器/防火墙来管理你的两个子网，你应该采取简单的方法： - 路由器/防火墙将在每个子网上都有一个 IP 地址。它将成为子网中所有主机的网关 - 为每个子网分配一个 vlan - 在您的主机上，您将有 2 个接口和网桥 - 您的 vm 将在“vms 子网”上桥接，并使用防火墙作为网关
这样你就不会有疯狂的 iptables / 别名 / 转发配置。您将在一个子网上拥有一些主机，而在另一个子网上拥有其他主机，并且在您的防火墙上配置了路由/acls/nats。您甚至不应该将“vm 网络”上的 IP 地址分配给您的主机。
将两个网络合并到同一个广播域是问题的根源，如果您对网络配置不是很自信，应该避免在主机上配置多个 ip 地址。