我有一台 Debian 7 服务器,有 5 个公共 IP 地址。服务器上有多个 KVM 客户机(全部为 Debian 8)。其中一个客户机需要使用其中一个公共 IP 进行公开访问。该客户机具有 IP 地址,192.168.122.133
所有其他客户机的 IP 都在该范围内192.168.122.50/28
。
我目前已将其设置为访客可以相互通信,但是需要公开访问的访客的外部传入和传出连接失败(只有来自本地网络的连接才有效)。
我认为这些规则应该转发往返于该访客的所有传入和传出流量,但它似乎没有发挥应有的作用:
/sbin/iptables -t nat -I PREROUTING -d 111.111.111.133 -j DNAT --to 192.168.122.133
/sbin/iptables -t nat -I POSTROUTING -s 192.168.122.133 -j SNAT --to 111.111.111.133
/sbin/iptables -t filter -I FORWARD -d 192.168.122.133 -j ACCEPT
/sbin/iptables -t filter -I FORWARD -s 192.168.122.133 -j ACCEPT
之前我曾这样设置过我相信在某个时间点它工作正常,但我可能改变了一些东西或者某种系统更新可能改变了一些东西,现在它不工作了。
更多信息:
KVM网络配置:
<network>
<name>default</name>
<uuid>261764e8-ef0c-dc57-90b5-4c356ae12bf1</uuid>
<forward mode='nat'/>
<bridge name='virbr0' stp='on' delay='0' />
<mac address='52:54:00:77:D9:2B'/>
<ip address='192.168.122.1' netmask='255.255.255.0'>
<dhcp>
<range start='192.168.122.2' end='192.168.122.254' />
</dhcp>
</ip>
</network>
客户网络配置如下:
<interface type='network'>
<mac address='52:54:00:61:d9:ba'/>
<source network='default'/>
<model type='virtio'/>
<address type='pci' domain='0x0000' bus='0x00' slot='0x03' function='0x0'/>
</interface>
这是我主机服务器上的 /etc/network/interfaces:
# The loopback network interface
auto lo
auto eth3
auto eth3:0
auto eth3:1
auto eth3:2
auto eth3:3
iface lo inet loopback
# The primary network interface
allow-hotplug eth3
iface eth3 inet static
address 111.111.111.130
netmask 255.255.255.248
network 111.111.111.128
broadcast 111.111.111.135
gateway 111.111.111.129
dns-nameservers 8.8.8.8 8.8.4.4 127.0.0.1
iface eth3:0 inet static
address 111.111.111.131
netmask 255.255.255.248
iface eth3:1 inet static
address 111.111.111.132
netmask 255.255.255.248
iface eth3:2 inet static
address 111.111.111.133
netmask 255.255.255.248
iface eth3:3 inet static
address 111.111.111.134
netmask 255.255.255.248
访客设置了静态 IP。例如:
iface eth0 inet static
address 192.168.122.133
netmask 255.255.255.0
network 192.168.122.0
broadcast 192.168.122.255
gateway 192.168.122.1
dns-nameservers 192.168.122.1
我相信这就是允许那些不应该从互联网访问的访客访问互联网的原因(改编自这里) — 请注意,它们处于略有不同的 IP 范围内:
/sbin/iptables -t nat -A POSTROUTING -s 192.168.122.50/28 ! -d 192.168.122.50/28 -p tcp -j MASQUERADE --to-ports 1024-65535
/sbin/iptables -t nat -A POSTROUTING -s 192.168.122.50/28 ! -d 192.168.122.50/28 -p udp -j MASQUERADE --to-ports 1024-65535
/sbin/iptables -t nat -A POSTROUTING -s 192.168.122.50/28 ! -d 192.168.122.50/28 -j MASQUERADE
/sbin/iptables -t filter -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
/sbin/iptables -t filter -A FORWARD -s 192.168.122.50/28 -i virbr0 -j ACCEPT
/sbin/iptables -t filter -A INPUT -s 192.168.122.50/28 -i virbr0 -j ACCEPT
答案1
解决方案是在中添加一个桥接接口/etc/networking/interfaces
,但不知何故该接口已被注释掉。我附加了以下内容:
auto br0
iface br0 inet static
address 111.111.111.133
netmask 255.255.255.248
bridge_ports eth3
bridge_stp on
bridge_fd 0
bridge_maxwait 0
然后运行ifup br0
以打开界面。