Conecte a rede virtual KVM à internet

Question

Eu tenho um servidor CentOS executando o KVM e preciso conectar uma rede virtual à Internet. A rede deve ser roteada ou NAT, não deve ser conectada (segurança de porta). Se possível, gostaria de conectar a rede a um alias de eth0 com um segundo endereço IP e deixar o primeiro IP do host, mas seria possível reverter isso. Os convidados não fornecem serviços que precisam ser acessados pela Internet, mas precisam acessar o host.

Não consigo encontrar instruções sobre isso com apenas os recursos de rede do KVM. Há algumas poucas menções sobre como conectar uma única máquina ou portas únicas de várias máquinas, mas nada que discuta como conectar uma rede inteira e lidar com a troca de tráfego entre as máquinas. Existem alguns artigos que sugerem usar uma rede virtual roteada, mas isso não parece ser diferente de um NAT nesse caso.

O Open vSwitch foi mencionado algumas vezes, embora a pouca documentação exista para discutir a possibilidade de executá-lo com uma ponte. Alguns artigos dizem que estão sendo executados no modo NAT e, em seguida, configuram o que parece ser uma ponte. Independentemente disso, estou trabalhando na criação de OVS na tentativa de configurar isso.

    

Answer 1

Não importa o que você vai precisar de uma ponte no host. De que outra forma um convidado se comunicará com a rede? A diferença é se você adiciona uma interface de host à bridge e o encaminhamento acontece na camada 2 (ethernet) ou não, e o encaminhamento acontece na camada 3 (network).

Como a segurança da porta está em vigor, somente o MAC do host é permitido. Assim, você não pode encaminhar na camada 2. Você tem duas opções de camada 3: ter a rota do host (deixar apenas IPs) ou NAT (reconfigurar IPs para o (s) IP (s) do host).

Se você rotear o restante da rede precisa saber que, para alcançar seus convidados, eles enviam o tráfego para seu host (que é o gateway padrão da rede convidada). Você não recebeu uma sub-rede roteada, apenas 2 IPs. Assim você deve NAT.

Os convidados anexam suas interfaces à bridge e você escreve as regras das tabelas IP para o tráfego NAT que vem da interface da bridge. O libvirt irá lidar com isso para você. Consulte o link