Conceder acesso ao Guest do KVM apenas ao OpenVPN

Question

Estou numa situação estranha em que preciso fazer o seguinte:

Conecte um túnel OpenVPN com IPs RFC1918 estáticos (pense no 10.3.3.1 para o fim do servidor e 10.3.3.2 para o fim do cliente) e use-o diretamente pelo convidado do KVM. O que eu estou tentando alcançar é o convidado KVM sem saber nada sobre a LAN e apenas o túnel VPN.

EDITAR : Para que eu não precise mexer com firewalls: -)

Normalmente eu tentaria ligar o tun-device com a interface para o KVM e atribuir um IP estático ao KVM (10.3.3.2). Isso é sensato ou existe uma maneira melhor?

    

Answer 1

Ok, isso acabou sendo bastante complicado de se fazer. Então eu não fiz. Optei pela solução de firewall.

O KVM Guest agora está configurado para conexão em ponte e possui um MAC / IP fixo. Usando ebtables no host eu especifiquei que o Guest só pode se conectar ao MAC do roteador e eu também limita o MAC Guest para usar um IP que eu configurei ou então obter o shutdown automaticamente. Dessa forma, posso usar o iptables normal no roteador para permitir apenas conexões do Guest para o servidor VPN na Internet. Eu terminei com cinco linhas de regras ebtables / iptables bem pensadas. Todo o resto (comunicação intra-sub-rede ARP ou IP, comunicação com outros anfitriões na Internet) cai silenciosamente.

Com essa configuração, o Visitante quando não está online via VPN não pode nem mesmo descobrir que existem outros hosts na mesma sub-rede além do roteador. A Internet também consiste apenas no servidor VPN. Parece bom para mim: -)