KVM em ponte com hosts VDE - LAN não podem se comunicar [fechado]

Question

Eu tenho servidor de base de ArchLinux de 64 bits (kernel 3.3.8). Ele reproduz servidor backend / file / VoIP mythtv. É também meu gw / firewall para internet (2 nic, iptables fw). fw está configurado no estilo "negar tudo" ( -P INPUT DROP , -P FORWARD DROP )

Eu também configuro o kvm nesta máquina. A rede KVM é via vde com o tap0 da vde em ponte para a eth0 (minha interface voltada para a rede local).

A sub-rede é 192.168.1.0

kvm(.190)<-->vde(tap0)<->bridge(name=lan0; ip=.254)<->nic0(phy dev)

kvm funciona, posso me comunicar bidirecionalmente entre o kvm guest (.190) e o host (.254) - mas não com os hosts da LAN! O problema parece estar relacionado à regra -P FORWARD DROP no meu firewall, pois a não execução dessa regra permite trabalhar toda a rede OK. Eu tenho problema para entender porque -P FORWARD DROP causa problema. A partir da perspectiva L3, a interface de rede kvm está por trás da LAN nic (ela é conectada a LAN nic), então no nível L3 ela deve funcionar. Parece que -P FORWARD DROP está bloqueando o tráfego de outros hosts da LAN. Porque isso?

thx antecipadamente

    

Answer 1

Parece que foi adicionado -I FORWARD -m physdev --physdev -passado -j ACCEPT resolve o problema. Na página man do iptables eu li: " - physdev-is-bridged Se o pacote está sendo ligado e, portanto, não está sendo roteado. Isso é útil apenas nas cadeias FORWARD e POSTROUTING. " Eu me pergunto o que a implicação de segurança é de permitir isso. Meu servidor tem:

• nic0: hw nic para o segmento de LAN
• wan0: hw nic para WAN
• lan0: ponte
• tap0: interface vde

nic0 & tap0 são ligados através da ponte lan0. Posso supor que -I FORWARD -m physdev --physdev -é-bridged -j ACCEPT permite a travessia de L2 apenas para quadros eth de nic0 e tap0 e quadros eth de wan0 intfs para outros intfs são bloqueados ( eles são limitados apenas a wan0 ip stack area)