Перенаправление портов гостям в libvirt / KVM

Последним стабильным выпуском libvirt для Ubuntu является версия 0.7.5, в которой нет некоторых новых функций (например, обработчиков сценариев и сетевых фильтров), упрощающих автоматическую настройку сети. Тем не менее, вот как включить переадресацию портов для libvirt 0.7.5 в Ubuntu 10.04 Lucid Lynx.

Эти правила iptables должны помочь:

iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 80 -j DNAT --to-destination 10.0.0.1:80
iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 22 -j DNAT --to-destination 10.0.0.2:22
iptables -I FORWARD -m state -d 10.0.0.0/24 --state NEW,RELATED,ESTABLISHED -j ACCEPT

Конфигурация KVM NAT по умолчанию предоставляет правило, подобное третьему, которое я дал выше, но в нем отсутствует состояние NEW, которое необходимо для приема входящих подключений.

Если вы напишете сценарий запуска для добавления этих правил и не будете осторожны, libvirt 0.7.5 переопределит их, вставив свои собственные. Итак, чтобы убедиться, что эти правила применяются правильно при запуске, вам необходимо убедиться, что libvirt инициализирован. перед вы вставляете свои правила.

Добавьте следующие строки в /etc/rc.local перед строкой exit 0:

(
# Make sure the libvirt has started and has initialized its network.
while [ `ps -e | grep -c libvirtd` -lt 1 ]; do
        sleep 1
done
sleep 10
# Set up custom iptables rules.
iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 80 -j DNAT --to-destination 10.0.0.1:80
iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 22 -j DNAT --to-destination 10.0.0.2:22
iptables -I FORWARD -m state -d 10.0.0.0/24 --state NEW,RELATED,ESTABLISHED -j ACCEPT
) &

В sleep 10 выше - это хитрость, позволяющая убедиться, что у демона libvirt была возможность инициализировать свои правила iptables, прежде чем мы добавим свои собственные. Не могу дождаться, пока они выпустят libvirt версии 0.8.3 для Ubuntu.

Есть способ настроить перенаправление портов на лету когда гость использует сеть в пользовательском режиме, Я писал об этом здесь:

http://blog.adamspiers.org/2012/01/23/port-redirection-from-kvm-host-to-guest/

Вы можете увидеть подробности там, но для удобства вот решение, которое я придумал:

virsh qemu-monitor-command --hmp sles11 'hostfwd_add ::2222-:22'

Этот однострочный ответ намного проще, чем другие ответы, но работает только в некоторых сценариях (сетевой стек пользовательского режима).

Более "официальный" [1] способ сделать это - создать сценарий перехвата, как описано на веб-сайте libvirt:

http://wiki.libvirt.org/page/Networking#Forwarding_Incoming_Connections

... в основном этот сценарий будет вызываться при загрузке гостевой системы KVM. Сам скрипт добавит соответствующие правила iptable (аналогично ответу Исаака Сазерленда выше) с правильно добавленным состоянием подключения «NEW». Обратите внимание, что вы должны изменить сценарий, указав правильные значения для ваших хостов и портов.

[1] хотя в самой документации libvirt говорится, что это своего рода взлом, поймите

«Единственный» способ сделать переадресацию порта с помощью KVM (libvirt) с «сетью по умолчанию» (virbr0) - это использовать хак / обходной путь, проинформированный @Antony Nguyen. Или, проще говоря, вы можете использовать libvirt-крючок-qemu.

В этом потоке есть полное объяснение того, как решить эту проблему для CentOS 7 (и, конечно, для других дистрибутивов) с помощью libvirt-hook-qemu: https://superuser.com/a/1475915/195840 .

iptables -t nat -I PREROUTING -d 1.2.3.4 -p tcp --dport 80 -j DNAT --to-destination 10.0.0.1
 iptables -t nat -I PREROUTING -d 1.2.3.4 -p tcp --dport 22 -j DNAT --to-destination 10.0.0.1