Configure iptables com uma ponte e IPs estáticos

Question

Eu tenho meu servidor configurado com vários endereços IP públicos, com uma configuração de rede da seguinte forma (com exemplos de IPs):

eth0
 \- br0 - 1.1.1.2
     |- [VM 1's eth0]
     |    |- 1.1.1.3
     |    \- 1.1.1.4
     \- [VM 2's eth0]
          \- 1.1.1.5

Minha pergunta é: como configuro o iptables com regras diferentes para o servidor físico real e também para as VMs? Eu não me importo de ter as VMs fazendo seus próprios iptables, mas eu gostaria que o br0 tivesse um conjunto diferente de regras. No momento, eu só posso deixar tudo passar, o que não é o comportamento desejado (como br0 é exposto).

Obrigado!

    

Answer 1

Como você atribuiu um endereço IP a br0, ele é efetivamente a interface de rede "real" do seu servidor. Você pode criar regras de iptables em seu servidor que funcionam igualmente bem, independentemente de sua interface de rede ser chamada de br0 ou eth0. Isto é, apenas escreva as regras do iptables do firewall do seu servidor como se sua interface de rede fosse uma eth0 simples (exceto que ele é chamado br0).

Não se preocupe em ter que escrever suas regras iptables para permitir explicitamente o tráfego para as interfaces virtuais unidas para fazer a ponte br0, porque (e este é um ponto chave) as regras iptables não podem filtrar ou afetar o tráfego na bridge explicitamente . A razão é que as pontes operam na camada de enlace (L2), e o iptables opera (em sua maior parte) em pacotes em camadas de rede mais altas (tipicamente L3 e L4). Uma imagem mental que pode ser útil é a seguinte: uma ponte funciona quase exatamente como um hub de rede com todas as interfaces interligadas.

Se você quiser filtrar o tráfego que passa por uma ponte, consulte ebtables , mas é improvável que você precise . É muito mais natural e conveniente simplesmente tratar a ponte como parte da infraestrutura de rede (por exemplo, um hub ou um switch) e criar um script de firewall iptables para cada host (real ou VM) na rede.