主页 / user-40761

Phanto's questions

Martin Hope
Phanto
Asked: 2012-12-22 21:11:34 +0800 CST
  • 3

我正在做一些关于使用ebtables和iptables在 KVM 主机上对 KVM 来宾 VM 执行即时防火墙限制的论文研究。

问题是：我在eth0called上设置了一个网桥br0。这很好用。然后我添加了两个自来水设备：tap0并tap1使用br0.

由于 KVM GUI 中的一些奇怪原因，只有1个 tap 设备被识别为桥接设备。另一个在说macvtap。我不明白为什么会这样。我不记得在我运行它的另一个系统上有这个问题，但我在 ThinkPad 上有这个问题。

下面是 GUI 的屏幕截图，显示了我在说什么： Tap0 应该设置为网桥而不是 macvtap

为什么要tap1获取“(Bridge 'br0')”标签而不是标签tap0？它们都应该被视为桥梁。

我在 CentOS 6 上运行它，下面是ifcfgtaps 的文件：

对于tap0：

DEVICE="tap0"
TYPE="Tap"
BRIDGE="br0"

对于tap1：

DEVICE="tap1"
TYPE="Tap"
BRIDGE="br0"

从理论上讲，这应该有效......

编辑：重新安装 CentOS 是个好主意吗？我想知道是不是楼主的设置搞砸了……

编辑 2：我进一步检查了我的问题，但我仍然很困惑为什么只有一个 tap 接口被视为桥接接口。同样奇怪的是，br0界面没有出现在该列表中。我记得在我的其他系统上，它也会列出。只是为了证明tap0和tap1在桥中，这里是brctl show命令的输出：

bridge name bridge id               STP enabled     interfaces
br0         8000.001c25990400       no              eth0
                                                    tap0
                                                    tap1

如您所见，eth0、tap0和tap1被添加到br0桥中……所以……这应该有效……

linux
Martin Hope
Phanto
Asked: 2012-12-12 15:57:37 +0800 CST
  • 2

我正在做一个论文研究项目，我在弄清楚如何获取（在 KVM 主机上运行）来阻止发往BRIDGED KVM 来宾iptables的流量（或者更确切地说，操纵流量）时遇到了一些困难。我无法获取条目（粘贴在下面）来阻止进出 VM 的流量。iptables

实际上，我希望我的主机系统充当那些来宾 VM 的防火墙，目前，我想通过简单地丢弃所有发往特定 VM 的数据包来测试此功能。在不远的将来，我还想实现更细粒度的控制，甚至涉及代理。同样，这应该完全发生在 HOST 级别，而不是GUEST 级别。

我运行的是 CentOS 6，基于我写的另一个问题：Use one NIC to create multiple interfaces for Linux KVM，我配置了以下接口：

eth0
br0
tap0

下面是我的每个接口的网络设置脚本：

eth0的配置：

DEVICE="eth0"
BOOTPROTO="none"
NM_CONTROLLED="no"
ONBOOT=yes
TYPE="Ethernet"
UUID="<<UUID-HERE>>"
HWADDR=<<MAC-ADDR-HERE>>
DEFROUTE=yes
PEERDNS=yes
PEERROUTES=yes
IPV4_FAILURE_FATAL=yes
IPV6INIT=no
NAME="System eth0"
BRIDGE="br0"

br0的配置：

DEVICE="br0"
TYPE="Bridge"
ONBOOT="yes"
BOOTPROTO="dhcp"
DELAY=0

tap0的配置：

DEVICE="tap0"
TYPE="Tap"
BRIDGE="br0"
ONBOOT="yes"

我有一个运行的 CentOS 6 虚拟机，它被配置为使用tap0桥接接口。VM 上的网络正常工作。没有对主机系统进行其他更改。

以下是iptables我添加到FORWARD链中的无效规则（值得注意的是，我还不是这方面的专家iptables）。

sudo iptables -I FORWARD -i any -o tap0 -j DROP
sudo iptables -I FORWARD -i tap0 -o any -j DROP

运行命令后，FORWARD表格如下所示：

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 DROP       all  --  tap0   any     anywhere             anywhere            
    0     0 DROP       all  --  any    tap0    anywhere             anywhere            
    0     0 REJECT     all  --  any    any     anywhere             anywhere            reject-with icmp-host-prohibited

不幸的是，这不会阻止交通。我不明白为什么这行不通。

更新：2014 年 11 月 25 日：自从我上次更新以来已经有一段时间了。事实证明，iptables有physdev插件，这实际上是我在研究中成功使用的插件，并且比那时更灵活ebtables。

linux
Martin Hope
Phanto
Asked: 2012-12-10 11:18:57 +0800 CST
  • 0

我正在进行一个论文研究项目，我在弄清楚如何使一个 NIC 生成多个“桥接”接口以便可以在本地网络上看到每个 KVM VM 时遇到了一些困难。我是 KVM 的新手，还在探索它能做什么。下面是我试图创建的场景（在 CentOS/RHEL 6 系统上）：

  1. Linux KVM Host 有 1 个 NIC ( eth0) 连接到交换机。
  2. 创建多个“网桥”或从中产生的等效接口，eth0将为每个 VM 提供唯一的 IP。这样每个 VM 都可以与网络上的其他主机通信，网络上的其他主机也可以与 VM 通信。
  3. 重要提示：我希望iptables在 KVM 主机上能够操纵/控制/限制将在这些“桥接”接口上发送的流量。
  4. 我想创建至少三个 VM，每个都使用自己独特的“桥接”接口。

我之前已经制作了一个br0界面eth0，但不幸的是，我无法向其中添加更多内容。看来您只能将 1 个接口桥接到 NIC。我想桥接多对一。

tap设备能够做到这一点吗？如果是这样，它将如何设置？

实际上，我正在尝试复制可以在 Windows 上使用 VirtualBox 轻松创建的内容，其中每个 VM 都有一个“桥接”接口，并且可以存在于网络上。我想用 Linux KVM 实现同样的事情。

谢谢你

编辑：为了更具描述性，我想实现看起来像这样的东西：

这可以在此页面上找到： http: //en.gentoo-wiki.com/wiki/KVM#Networking_2

              HOST
        +---------------+
        |               |      KVM GUEST1
        |               |   +--------------+
        |  +------+     |   |              |
 LAN ---+--- eth0 |  +--+---+---- nic0     |      KVM GUEST2
        |  | tap0----+  |   |192.168.1.13  |   +--------------+
        |  | tap1----+  |   +--------------+   |              |
        |  +------+  |  |                      |              |
        |     br0    +--+----------------------+---- nic0     |
        |192.168.1.12   |                      |192.168.1.14  |
        +---------------+                      +--------------+
linux
Martin Hope
Phanto
Asked: 2010-04-19 08:57:51 +0800 CST
  • 2

在我们的实验室中，我们有一台运行 Ubuntu Linux 8.04.4 x64 的服务器，其中 VMware Server 2.1 托管 4 个 VM。

我有一个关于关闭主机服务器的主要问题。大多数情况下，我如何确保来宾 VM 被安全关闭？

在 VMware Web 界面控制台中，我启用了：

  • “允许虚拟机随系统自动启动和停止”
  • 我启用了 15 秒的默认启动延迟以及选中了“如果 VMware Tools 启动则立即启动下一个 VM”选项
  • 我启用了具有 60 秒关闭延迟和“关闭访客”的关闭操作的默认关闭延迟

所有虚拟机都安装了 VMware Tools 并且工作正常。所有虚拟机都被上移到“启动顺序”的“指定顺序”部分，因此当重新打开服务器电源时，所有这些虚拟机都应该按照指定的顺序重新启动。

当我去关闭服务器时，我使用了该shutdown -h now命令。根据我上面输入的设置，我预计关机时间为 4 分钟，因为可以选择将每个 VM 的关机时间延迟 60 秒。然而，事实并非如此。相反，服务器在一分钟内关闭。

当我重新打开服务器电源时，只有 2 个虚拟机正确加载。其他 2 显示以下错误：

“启动虚拟机”未能完成

如果这些问题仍然存在，请联系您的系统管理员。

详细信息：无法打开磁盘“[location to .vmdk]”或它所依赖的快照磁盘之一。原因：锁定文件失败。

显然，如果发生此错误，那么我很清楚 VM没有正确关闭，或者在 VM 完全关闭之前服务器已关闭。我已通过删除相应 VM 目录中的 .lck 文件来修复上述错误。

我怎么知道虚拟机是否正确关闭？我检查了 VMware-server 日志，但它们似乎只显示 vmware-mgmt 服务在当前会话中运行时的日志。我主要在运行 Linux VM，所以有没有一种简单的方法可以知道服务器是否在 Linux 中正确关闭？

谢谢大家的帮助！

linux ubuntu vmware-server