As listas de acesso de porta do Hyper-V não permitem o tráfego passado do gateway

Question

Uma situação: a rede local de 192.168.0.0/16 é dividida em várias sub-redes e os roteadores estão no lugar. Uma máquina virtual hospedada no Hyper-V está localizada em uma sub-rede 192.168.X.0 / 24. A tarefa foi dada para limitar o acesso a essa VM de todos os hosts, exceto uma determinada lista, que contém endereços IP de sub-redes 192.168.Y.0 / 24, em que Y é diferente de X e acesso de rede a sub-rede 192.168.Y.0 / 24 é roteado. A configuração da rede da VM é a seguinte:

IPv4 Address: 192.168.X.10
Subnet mask: 255.255.255.0
Default gateway: 192.168.X.1

Então eu executo as seguintes alterações na ACL da porta do Hyper-V:

Add-VMNetworkAdapterAcl -vm $vm -RemoteIPAddress 192.168.Y.Z -action allow -direction both
Add-VMNetworkAdapterAcl -vm $vm -RemoteIPAddress any -action deny -direction both

Para minha surpresa, ping 192.168.Y.Z mostrou "Host de destino inacessível" da VM, e o ping da VM desse host retornou o mesmo. Por outro lado, se eu adicionar uma entrada da ACL a 192.168.X.Z à mesma VM, a alteração permitirá que a VM veja o host sem problemas.

    

Answer 1

A solução foi adicionar uma entrada ACL para o gateway padrão da VM ou, no caso de uma rota personalizada para a sub-rede 192.168.Y, o endereço IP do destino da rota, para permitir que os pacotes fossem roteados para o remoto host.

Add-VMNetworkAdapterAcl -vm $vm -RemoteIPAddress 192.168.X.1 -action allow -direction both

Isso, infelizmente, não é mencionado em nenhum tutorial para configurar as ACLs para o Hyper-V, provavelmente devido ao fato de as LANs nesses tutoriais serem as mais simples possíveis e não conterem segmentos roteados.