Регистрация Войти
Рейтинг:0
Andrew avatar Server

Linux-мост пропускает трафик выключения vms

флаг vn
Andrew

У меня есть linux bridge (br0) с netplan следующим образом:

  версия: 2
  визуализатор: сетевой
  Ethernet:
    эно1:
      DHCP4: нет
      DHCP6: нет
  мосты:
    пробр:
      интерфейсы:
        - ено1
      MAC-адрес: ab:cd:ef:01:02:03
      адреса:
        - 51.х.у.з/24
      серверы имен:
        адреса:
          - 8.8.8.8
          - 1.1.1.1
      параметры:
        стп: ложь
        задержка вперед: 0
      DHCP4: нет
      DHCP6: нет
      маршруты:
        - до: 0.0.0.0/0
          через: 55.xy254
        - до: 55.x.y.z/28
          область применения: ссылка

Я использую libvirt virt-install с сетевым аргументом: virt-install ... --network type=bridge,source=br0,model=virtio,filterref=clean-traffic,mac=00:11:22:33:44:55

Сеть работает, как и ожидалось, но я заметил, что если у меня есть несколько виртуальных машин, трафик, предназначенный для отключенной виртуальной машины, будет транслироваться на все работающие виртуальные машины. Это приведет к утечке информации о соединениях. Есть ли способ настроить мост, чтобы этого не делать? Может быть, с ebtables? Я заметил, что следующее правило ebtables будет работать, но я ищу что-то более общее, так как заранее не знаю имя интерфейса (vnet1): ebtables -A FORWARD -p IPv4 --ip-destination 55.xyz -o ! vnet1 -j УДАЛИТЬ Выполнение фильтра не для Mac не сработает, так как IP и MAC предназначены для отключения vm, но мост по каким-то причинам все равно решает его транслировать.

26
0 + 0
флаг in
Zoredache
«трафик, предназначенный для отключенной виртуальной машины, будет транслироваться» — вам нужно уточнить. Это просто ARP для IP-адреса назначения? ARP будет от локального маршрутизатора, чтобы попытаться определить местонахождение того, у кого есть IP-адрес, о котором не будет сообщено. Вы получаете пакеты TCP с флагом SYN? Это означало бы, что у вас есть что-то, отвечающее на ARP, или у вас есть длинный кеш ARP? Это UDP-трафик?
0
Ответить
Andrew avatar
флаг vn
Andrew
Это не только ARP-трафик, это пакеты TCP SYN и UDP. Любой IP-адрес, который направляется на мост, но либо еще не выделен для виртуальной машины, либо виртуальная машина отключена, будет виден внутри других виртуальных машин при запуске tshark.
0
Ответить
Andrew avatar
флаг vn
Andrew
О АРЗ; У меня настроены статические маршруты arp для работающих и выключенных виртуальных машин, а для еще не выделенных нет. Кажется, это не имеет значения. Нет записей ARP, которых там быть не должно.
0
Ответить
флаг Moldova
Admin
Этот вопрос на других языках:

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.