| bitrixbiz |
|
|
Темы:
26
Сообщения:
165
Участник с: 29 апреля 2016
|
Есть проблема! Построил простенький виртуальный стенд. Роутер R1 подключенный одним концом через бридж к физическому интерфейсу и вторым к виртуальной сети, и станция H1 подключенная в виртуальную сеть. После перезагрузки машина подключенная только к виртуальной сети H1 не может общаться с внешним миром через роутер R1. При попытке обращения за пределы виртуальной сети идёт ответ к примеру на пинг: From 10.0.1.1 icmp_seq=1 Destination Port Unreachable Приходится сначала взбодрить всю эту сеть пингом с R1 до H1. Что я делаю не так? Рецепт парадокса: Взять один QEMU/KVM в виде libvirt, один virt-manager, добавить пару машин и одну или две (по вкусу) виртуальные сети, через одну из которых эти машины будут общаться. При этом одна машина имеет второй сетевой интерфейс, который посредством бриджа соединён с физическим интерфейсом хоста, в котором всё это варится. Эта машинка с двумя сетевыми интерфейсами (назовём её R1) выступает в роли шлюза для второй машины (назовём H1), на R1 поднят IP форвардинг и NAT. 1. Машинка H1 выходит во внешний мир, парадокса нет. 2. При попытке пинговать H1 с хоста, о чудо, он начинает пинговаться, но при этом H1 перестаёт выходить во внешний мир. Парадокс. 3. При попытке начать пинговать H1 с машины R1 она сначала не пингуется, потом начинает, при этом восстанавливается выход H1 во внешний мир и теряется пинг с хоста. Опять парадокс. переходим к п.2 потом к п.3 и так по кругу. Как будто какой-то волшебный переключатель где-то работает. Где, непонятно. Хочу разобраться где и как это работает, как и какими средствами и утилитами на это глазами посмотреть? Помогите. Пожалуйста. ip addr |
| bitrixbiz |
|
|
Темы:
26
Сообщения:
165
Участник с: 29 апреля 2016
|
Мне кажется что загвоздка где-то между МАС и IP адресами. В общем сделал для себя вывод, что если машинка подключена только к виртуальной сети и не имеет интерфейса связанного с хостом-хозяином через бридж или тунель, то пообщаться с ней без потери её интереса к виртульной сети не получится. Машинка может общаться либо с хостом-хозяином, либо с виртуальной сетью. Поправьте если не прав. |
| bitrixbiz |
|
|
Темы:
26
Сообщения:
165
Участник с: 29 апреля 2016
|
Всё таки есть нерешенная проблема. После перезагрузки машина подключенная только к виртуальной сети H1 не может общаться с внешним миром через роутер R1. Приходится сначала взбодрить всю эту сеть пингом с R1 до H1. До этого на пинги с H1 система отвечает: 10.0.1.1 это адрес R1 Как сделать правильно чтобы работало без пинков? |
| pztrn |
|
|
Темы:
23
Сообщения:
1436
Участник с: 20 сентября 2009
|
Сталкивался с такими приколами, если в бридж был включен физический интерфейс. Непонятно немного строение вашей сети. У вас физическая машинка воткнута в эту "виртуальную" подсеть? Ну и да - делайте обычным натированием. Не надо городить костыли с бриджем :) У меня для виртуалок отдельный свой бридж, который не включает физический адаптер, FORWARD в ACCEPT, маскарадинг, net.ipv4.ip_forward=1. Если надо - можно и отдельную VPN воткнуть, чтобы объединить удаленные офисы. Кейворд - не включайте физический сетевой интерфейс. |
| bitrixbiz |
|
|
Темы:
26
Сообщения:
165
Участник с: 29 апреля 2016
|
Добрый день! Спасибо! попробую выкинуть физический интерфейс из бриджа. У меня вопрос этой темы созрел попутно. Я делаю стенд на виртуалках чтобы как говорится потренироваться на кошках. Идея такова, чтобы съэмулировать работу в сети двух офисов. Наверное со структуры сети и надо было начинать. Грубо говоря R1 и H1 это роутер со станцией(сервером) одного офиса, а R2 и H2 роутер со станцией другого. Среда передачи интернет эмулируется через бридж. Почему так, ну, чтобы доступ был к машинам по SSH, а то неудобно в их голых консолях работать. Может сразу не понял как это правильно сделать. Вообще задача состоит в другом и к этой теме не относится. Нужно заставить схему работать по GRE протоколу - объединить два офиса по ethernet over IP который должен быть завёрнут в IPSEC, вот так как описано в этой статье - https://libreswan.org/wiki/EoIP_shared_ethernet_LAN_using_IPsec Только вместо libreswan должен применяться strongswan. Пока ничего не выходит. Придётся по этому вопросу видимо новую тему открыть. |
| pztrn |
|
|
Темы:
23
Сообщения:
1436
Участник с: 20 сентября 2009
|
Для эмуляции надо будет минимум 2 физических сервера :) И советую посмотреть в сторону softether для VPN, настраивается легко и просто. А про бридж рекомендую забыть. Если у вас все-таки одна машинка, на которой надо эмулировать, то лучше 2 виртуальные сети для виртуалок создать (через virt-manager делается просто). |
| bitrixbiz |
|
|
Темы:
26
Сообщения:
165
Участник с: 29 апреля 2016
|
Так и так две виртуальные сети, а роутеры внешними интерфейсами через бридж сидят в той же сети что и физическая машина. Может поэтому мне взбрело в голову пихнуть туда физический интерфейс. спасибо про упоминание softether, посмотрю позже, когда буду сам определять как сеть строить. Пока же надо слепить конфету из чего предлагают, это IPSEC на strongswan и всё должно объединяться по GRE через eoip. Пока так и не понял в чём затык, пока как описано в статье не получилось. После того как выкинул интерфейс из бриджа, виртуалки перестали общаться с внешним миром. Чтобы мне это организовать придётся вернуть физический интерфейс в бридж, а иначе как организовать их обмен с внешним миром и при этом чтобы я мог обращаться к роутерам как бы извне. При этом чтобы не было лишних NATов по пути обмена между роутерами. |
| pztrn |
|
|
Темы:
23
Сообщения:
1436
Участник с: 20 сентября 2009
|
bitrixbizМаскарадинг тут нужен. Без NATа не обойтись. |