我在 2 个虚拟机 VM1 和 VM2 之间创建了一个名为 eth2 的网桥，其接口为 gre1。
以下是具有桥接设备 eth2 的 VM1。
# brctl show
bridge name bridge id STP enabled interfaces
eth2 8000.162f8564eb74 no gre1
VM1 的接口 IP 是 172.80.1.1，VM2 的接口 IP 是 172.80.1.2 当 VM1 中停止 iptables 时，我可以从 VM1 ping 通 VM2 的接口 IP。但启动 iptables 后，ping 将不起作用。
# ping 172.80.1.2
PING 172.80.1.2 (172.80.1.2) 56(84) bytes of data.
--- 172.80.1.2 ping statistics ---
6 packets transmitted, 0 received, 100% packet loss, time 5240ms
这是我的 iptables 的样子。
# iptables -L -n -v
Chain INPUT (policy DROP 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
72854 10M ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0 /* 10defaults */
0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 /* 10defaults */
75 5428 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED /* 10defaults */
0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:22 /* 20ssh */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:80 /* 30https */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:443 /* 30https */
0 0 ACCEPT udp -- eth0 * 0.0.0.0/0 0.0.0.0/0 udp dpt:162 /* 50snmp-health */
0 0 ACCEPT udp -- eth0 * 0.0.0.0/0 0.0.0.0/0 udp dpt:162 /* 50snmp-health */
0 0 ACCEPT udp -- eth0 * 0.0.0.0/0 0.0.0.0/0 udp dpt:123 /* 60ntp */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:5671 /* 70rabbitmq */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:3999 /* 80debug */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:4000 /* 80debug */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:4001 /* 80debug */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:4002 /* 80debug */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:4003 /* 80debug */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:4004 /* 80debug */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:4005 /* 80debug */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:4006 /* 80debug */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:4007 /* 80debug */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:4008 /* 80debug */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:4009 /* 80debug */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:4010 /* 80debug */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:4011 /* 80debug */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:4012 /* 80debug */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:4013 /* 80debug */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:4014 /* 80debug */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:4015 /* 80debug */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:4016 /* 80debug */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:4017 /* 80debug */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:4018 /* 80debug */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:4019 /* 80debug */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:4020 /* 80debug */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:4021 /* 80debug */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:4022 /* 80debug */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:4023 /* 80debug */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:15672 /* 85rabbitmq-ui */
1250 250K REJECT all -- * * 0.0.0.0/0 0.0.0.0/0 /* 99finish */ reject-with icmp-host-prohibited
0 0 ACCEPT udp -- eth2 * 0.0.0.0/0 0.0.0.0/0 udp dpt:162 /* eth2_RULE */
0 0 ACCEPT tcp -- eth2 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:9990 /* eth2_RULE */
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:9990 /* eth2_RULE */
0 0 ACCEPT tcp -- eth2 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:443 /* eth2_RULE */
0 0 ACCEPT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp spt:53
0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp spt:80 state ESTABLISHED
0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp spt:443 state ESTABLISHED
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
0 0 ACCEPT all -- eth2 * 0.0.0.0/0 0.0.0.0/0
Chain OUTPUT (policy ACCEPT 72917 packets, 10M bytes)
pkts bytes target prot opt in out source destination
还，sysctl -a | grep bridge-nf gives
net.bridge.bridge-nf-call-arptables = 0
net.bridge.bridge-nf-call-iptables = 0
net.bridge.bridge-nf-call-ip6tables = 0
net.bridge.bridge-nf-filter-vlan-tagged = 0
net.bridge.bridge-nf-filter-pppoe-tagged = 0
什么可能导致此功能不起作用？这里的iptable规则有问题吗？
答案1
我将 gre 隧道接口 gre1 的策略设置为接受。
iptables -I INPUT -p gre -j ACCEPT
这帮助我让它发挥作用。