Filtragem de rede com libvirt + xen + bridge + nat?

Question

Como posso adicionar corretamente filtros de rede básicos (tráfego limpo ou, pelo menos, prevenção de falsificação de ip) para convidados XEN (xend) gerenciados pelo libvirt?

Ou, em particular, posso executar manualmente os nwfilters da libvirt a partir de um script (para determinados parâmetros)?

Estou usando a rede da libvirt para criar a ponte ( default , bridge virbr0 ), mas, aparentemente, o script vif-bridge do xen é usado para inicializar a rede do sistema virtualizado e libvirt descarta nwfilter xml do domínio (provavelmente porque ele é convertido para a configuração nativa do xen).

    

Answer 1

Eu também olhei para esse assunto. Aqui está o que o Xen 4.x pode oferecer, embora não esteja bem documentado e ilustrado com scripts de amostra.

xend-config.sxp - arquivo de configuração do daemon Xen

vif-script The name of the script in /etc/xen/scripts that will be run to setup a virtual interface when it is created or destroyed. This needs to (in general) work in unison with the network-script.

Você pode substituir o% globalvif-script usando a palavra-chave script dentro de um valor de opção vif de qualquer configuração de convidado.

Configuração de rede XL

script Specifies the hotplug script to run to configure this device (e.g. to add it to the relevant bridge). Defaults to XEN_SCRIPT_DIR/vif-bridge but can be set to any script. Some example scripts are installed in XEN_SCRIPT_DIR.

Para a maioria dos sistemas Linux, substitua XEN_SCRIPT_DIR por /etc/xen/scripts .

Há também pelo menos uma solução mais específica na seguinte discussão da lista de discussão dos usuários Xen: impedindo a falsificação do Hwaddr na bridge