LinuxForum.Fans
Тема

Centos 6.5, KVM, настройка сети

Автор: LuckyStar 81 сообщений 24562 просмотров
12.03.2014 19:52 · отредактировано #371720
"alexfinn" написал:
iptables -t nat -A POSTROUTING -s 192.168.122.45 -o virbr0 -j SNAT --to-source xx.xx.xx.29

Вставляю данное правило в /etc/sysconfig/iptables и получаю
(потестил пару вариаций :
-A POSTROUTING -t nat -s 192.168.122.45 -o virbr0 -j SNAT --to-source xx.xx.xx.29
-t nat -A POSTROUTING -s 192.168.122.45 -o virbr0 -j SNAT --to-source xx.xx.xx.29
-A INPUT -t nat -A POSTROUTING -s 192.168.122.45 -o virbr0 -j SNAT --to-source xx.xx.xx.29

text
iptables: Цепочкам назначается политика ACCEPT: filter     [color="green"][  OK  ][/color]
iptables: Сбрасываются правила межсетевого экрана:         [color="green"][  OK  ][/color]
iptables: Выгружаются модули:                              [color="green"][  OK  ][/color]
iptables: Применяются правила межсетевого экрана: iptables-restore v1.4.7: Line 12 seems to have a -t table option.

Error occurred at line: 12
Try `iptables-restore -h' or 'iptables-restore --help' for more information.
                                                           [color="red"][СБОЙ ][/color]

в данный момент мой iptables файл такой :

text
# Firewall configuration written by system-config-firewall
# Manual customization of this file is not recommended.
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp -m multiport --dports 5900:5905 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT

Не могли бы Вы более подробно описать данное действие? Так же есть вопросы с PREROUTING'ом. По всей видимости я что-то напутал и вовсе пропал интернет, пришлось сбросить все правила в iptables.

12.03.2014 20:06 #371724
"DemSky" написал:
в данный момент мой iptables файл такой :

ок, у вас сейчас только filter в конфиге есть
добавьте в конец

text

*nat
-A POSTROUTING -s 192.168.122.0/24 -o virbr0 -j MASQUERADE
COMMIT
12.03.2014 20:08 #371725

про PREROUTING пока забудьте
еще в filter добавьте:

text
-A FORWARD -d 192.168.122.0/24 -o virbr0 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
12.03.2014 20:14 #371726
"alexfinn" написал:
ок, у вас сейчас только filter в конфиге есть
добавьте в конец

*nat
-A POSTROUTING -s 192.168.122.0/24 -o virbr0 -j MASQUERADE
COMMIT

Добавляю просто в конец, после своего COMMIT

text
iptables: Цепочкам назначается политика ACCEPT: filter     [  OK  ]
iptables: Сбрасываются правила межсетевого экрана:         [  OK  ]
iptables: Выгружаются модули:                              [  OK  ]
iptables: Применяются правила межсетевого экрана: iptables-restore v1.4.7: no command specified
Error occurred at line: 17
Try `iptables-restore -h' or 'iptables-restore --help' for more information.
                                                           [СБОЙ ]

Выдаёт такое, если пробую вставить перед своим COMMIT строку : -A POSTROUTING -s 192.168.122.0/24 -o virbr0 -j MASQUERADE

text
iptables: Цепочкам назначается политика ACCEPT: nat filter [  OK  ]
iptables: Сбрасываются правила межсетевого экрана:         [  OK  ]
iptables: Выгружаются модули:                              [  OK  ]
iptables: Применяются правила межсетевого экрана: iptables-restore: line 12 failed
                                                           [СБОЙ ]
12.03.2014 20:16 · отредактировано #371727

Отмена паники.
Всё проглотил.
Ещё какие-либо правила нужны?

update : интернета всё ещё нет.

12.03.2014 20:23 · отредактировано #371730

а вот теперь вопрос: что значит нет интернета? не пингуется по айпи и не пингуется по имени? или только по имени? пингуется ли с виртуалки хост? а с хоста виртуалка? и покажите сетевые настройки с виртуалки

12.03.2014 20:34 #371732

Пингуется хост с виртуальной машины.
Виртуальная машина по Ip (192.168.122.45) не пингуется с хоста (хх.хх.хх.29)

iptables :

text
# Firewall configuration written by system-config-firewall
# Manual customization of this file is not recommended.
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp -m multiport --dports 5900:5905 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -d 192.168.122.0/24 -o virbr0 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
COMMIT
*nat
-A POSTROUTING -s 192.168.122.0/24 -o virbr0 -j MASQUERADE
COMMIT

на виртуальной машине
IP - 192.168.122.45
NETMASK - 255.255.255.0
GATEWAY - 192.168.122.1
DNS1 - 192.168.122.1

12.03.2014 20:35 #371733

строки FORWARD местами поменяйте, правила применяются по очереди

12.03.2014 20:44 #371735
"alexfinn" написал:
строки FORWARD местами поменяйте, правила применяются по очереди

ничего не поменялось.
всё осталось по-прежнему.

12.03.2014 20:45 #371736

в sysctl форвардинг включен?

12.03.2014 20:47 #371737

Для меньшего геммороя вместо существующих правил FORWARD поставьте это:

text
-A FORWARD -j ACCEPT
12.03.2014 20:56 #371738
"alexfinn" написал:
в sysctl форвардинг включен?

Да.

"alexfinn" написал:
-A FORWARD -j ACCEPT

Заменил.

Так же выключил Firewall в виртуальной машине, пинг проходит с хоста до вирт. машины.

12.03.2014 20:58 #371742

а при пинге дальше что пишет?

12.03.2014 21:02 #371744
"alexfinn" написал:
а при пинге дальше что пишет?
text
ping 192.168.122.45
PING 192.168.122.45 (192.168.122.45) 56(84) bytes of data.
64 bytes from 192.168.122.45: icmp_seq=1 ttl=128 time=0.444 ms
64 bytes from 192.168.122.45: icmp_seq=2 ttl=128 time=0.236 ms
64 bytes from 192.168.122.45: icmp_seq=3 ttl=128 time=0.216 ms
64 bytes from 192.168.122.45: icmp_seq=4 ttl=128 time=0.246 ms
64 bytes from 192.168.122.45: icmp_seq=5 ttl=128 time=0.207 ms
64 bytes from 192.168.122.45: icmp_seq=6 ttl=128 time=0.272 ms
64 bytes from 192.168.122.45: icmp_seq=7 ttl=128 time=0.272 ms
64 bytes from 192.168.122.45: icmp_seq=8 ttl=128 time=0.218 ms
64 bytes from 192.168.122.45: icmp_seq=9 ttl=128 time=0.210 ms
64 bytes from 192.168.122.45: icmp_seq=10 ttl=128 time=0.259 ms

пингую с вирт. машины хост - получаю 100% пакетов, без потерь.

12.03.2014 22:19 · отредактировано #371772

это пинги с чего? пишите вывод вместе с командой. а то я ни черта не понимаю и прихъодится задавать кучу лишних вопросов

12.03.2014 22:20 #371773
"alexfinn" написал:
я имею в виду, что пишет, если пинговать что-то дальше хоста

С хоста всё пингуется, а с виртуальной машины нет. Пинг не проходит.

12.03.2014 22:27 #371779

винда в виртуалке у вас?

12.03.2014 22:27 #371780
"alexfinn" написал:
винда в виртуалке у вас?

Верно, ХР.

12.03.2014 22:28 · отредактировано #371781

пинганите ради интереса внешний айпишник. который на хосте. из виртуалки
и покажите вывод команды

text
iptables -L -n -v

и

text
iptables -L -n -v -t nat
Войдите или зарегистрируйтесь, чтобы ответить.