Как заставить виртуальную машину Linux работать как маршрутизатор
У меня есть доступ к учетной записи openstack, где я могу создавать виртуальные машины Linux 14.04. Я создал два сетевых интерфейса.
«public-net», который подключен к Интернету через маршрутизатор
«private-net», который не подключен к Интернету
Теперь я создал одну виртуальную машину с именем «GATEWAY», который подключен к обоим сетевым интерфейсам и имеет два интернет-адреса на eth0 (10.70.0.6) и eth1 (10.90.0.1). eth0 доступен в Интернете, а eth1 - для частной сети. Виртуальная машина GATEWAY имеет общедоступный IP-адрес на eth0.
Теперь я создал еще одну виртуальную машину с именем "AGENT" на интерфейсе частной сети. IP-адрес - 10.90.0.7, а шлюзом по умолчанию - 10.90.0. 1 (GATEWAY vm machine)
Поскольку частная виртуальная машина не связана с каким-либо маршрутизатором, у нас не может быть доступа к виртуальной машине через Интернет. Чтобы включить доступ в Интернет, я добавил правило NAT на виртуальную машину GATEWAY, как показано ниже:
sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
Это изменит исходный адрес всех Интернет-пакетов, покидающих GATEWAY хоста, в качестве адреса машины GATEWAY. Кроме того, установите пересылку пакетов ipv4 на машине GATEWAY = 1.
Я могу проверить связь с любым внешним адресом с машины GATEWAY, но не с машины с внутренним агентом. Не говоря уже о том, что на этой частной машине АГЕНТА тоже нет доступа к Интернету.
Кто-нибудь может помочь мне настроить виртуальную машину шлюза таким образом, чтобы я мог использовать ее в качестве маршрутизатора и обеспечить доступ в Интернет к частным машинам.
12123] Вот так моя таблица маршрутизации выглядит на машине AGENT:
Destination Gateway Genmask Flags Metric Ref Use Iface
0.0.0.0 10.90.0.1 0.0.0.0 UG 0 0 0 eth0
10.90.0.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
169.254.169.254 10.90.0.2 255.255.255.255 UGH 0 0 0 eth0
192.168.122.0 0.0.0.0 255.255.255.0 U 0 0 0 virbr0
Здесь я добавляю свой tcpdump для icmp ping на обоих интерфейсах.
eth1: интерфейс, подключающийся к частной сети.
18:43:39.309771 IP host-10-90-0-7.openstacklocal > 172.217.3.14: ICMP echo request, id 2395, seq 1, length 64
18:43:39.355430 IP 172.217.3.14 > host-10-90-0-7.openstacklocal: ICMP echo reply, id 2395, seq 1, length 64
18:43:40.318637 IP host-10-90-0-7.openstacklocal > 172.217.3.14: ICMP echo request, id 2395, seq 2, length 64
18:43:40.364178 IP 172.217.3.14 > host-10-90-0-7.openstacklocal: ICMP echo reply, id 2395, seq 2, length 64
eth0: интерфейс, подключающийся к Интернету.
18:43:39.309796 IP host-10-70-0-6.openstacklocal > 172.217.3.14: ICMP echo request, id 2395, seq 1, length 64
18:43:39.355396 IP 172.217.3.14 > host-10-70-0-6.openstacklocal: ICMP echo reply, id 2395, seq 1, length 64
18:43:40.318679 IP host-10-70-0-6.openstacklocal > 172.217.3.14: ICMP echo request, id 2395, seq 2, length 64
18:43:40.364154 IP 172.217.3.14 > host-10-70-0-6.openstacklocal: ICMP echo reply, id 2395, seq 2, length 64
18:43:41.326618 IP host-10-70-0-6.openstacklocal > 172.217.3.14: ICMP echo request, id 2395, seq 3, length 64
Здесь я вижу, что ответ на ping - это поступает с внешнего адреса и путешествует по обоим интерфейсам. Несмотря на то, что eth1 получает его на частную виртуальную машину, в нем говорится, что ping потерял 100% пакетов.
--------- ------------------- ------------- ------------
INTERNET |----| openstack-router| --10.70.0.1 --------10.70.0.6(NIC eth0) --| GATEWAY-VM |-- 10.90.0.1(NIC eth1) ---------10.90.0.7(NIC eth0) --| AGENT-VM |
--------- ------------------- ------------- ------------
Вы на правильном пути с правилами брандмауэра. Я делаю все «старомодным» способом - пишу сценарий, помещаю его в / etc и вызываю из /etc/rc.local. Как бы вы ни любили это делать, вот что у меня работает:
ОС - это 64-битная ОС Debian Jessie через netinstall с только «стандартными системными утилитами», выбранными во время набора задач, работающими в VirtualBox на рабочем столе Mint. Eth0 подключается к моей локальной сети через мостовой интерфейс и DHCP. Eth1 - это сторона LAN сети виртуальных машин, которые я использую для экспериментов. Скопируйте / вставьте скрипт брандмауэра в /etc/rc.firewall, сделайте его исполняемым и вызовите в /etc/rc.local.
#!/bin/bash
# copyright me, licensed to you freely
# a very simple set of iptables commands
# to allow forwarding between ethernet
# devices
# make sure forwarding is enabled in the kernel
echo 1 > /proc/sys/net/ipv4/ip_forward
# where is iptables located?
iptables=`which iptables`
# flush all existing rules
$iptables -F
# this is for NAT
# enable masquerading
/sbin/iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
# don't forward packets from off-lan to lan if
# they are a brand new connection being initiated
$iptables -A FORWARD -i eth0 -o eth1 -m state --state NEW -j REJECT
# if the packets come from off-lan but they are
# related to a connection that was established from
# within the lan, go ahead and forward them
$iptables -A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
# whatever traffic comes from the lan to go to
# the world allow thru
$iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT
Когда все это будет сделано и запущено, вы должны увидеть что-то вроде
root@router:~# ifconfig eth0
eth0 Link encap:Ethernet HWaddr 08:00:27:e6:43:df
inet addr:192.168.1.126 Bcast:192.168.1.255 Mask:255.255.255.0
inet6 addr: fe80::a00:27ff:fee6:43df/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:729 errors:0 dropped:0 overruns:0 frame:0
TX packets:382 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:61777 (60.3 KiB) TX bytes:46468 (45.3 KiB)
root@router:~# ifconfig eth1
eth1 Link encap:Ethernet HWaddr 08:00:27:af:50:e2
inet addr:10.99.99.1 Bcast:10.99.99.255 Mask:255.255.255.0
inet6 addr: fe80::a00:27ff:feaf:50e2/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:0 errors:0 dropped:0 overruns:0 frame:0
TX packets:10 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:0 (0.0 B) TX bytes:828 (828.0 B)
root@router:~# route -n
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
0.0.0.0 192.168.1.1 0.0.0.0 UG 0 0 0 eth0
10.99.99.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
root@router:~# iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
Chain FORWARD (policy ACCEPT)
target prot opt source destination
REJECT all -- anywhere anywhere state NEW reject-with icmp-port-unreachable
ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
ACCEPT all -- anywhere anywhere
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
root@router:~# cat /proc/sys/net/ipv4/ip_forward
1
root@router:~#