防火墙 cmd-添加转发端口不起作用

Question

真正的问题：

命令...

firewall-cmd --permanent --zone=public --direct --add-rule ipv4 filter FORWARD 0 -d 0.0.0.0/0 -j ACCEPT
firewall-cmd --permanent --zone=public --add-forward-port=port=222:proto=tcp:toport=22:toaddr=10.1.0.9
firewall-cmd --reload

... 在“更新 II”中描述的工作方式与firewalld（由CentOS 7使用）一样好。

问题出在 KVM (libvirt) 中，当启动“网络”virbr0 时，它会注入规则（可能通过防火墙），从而阻止（第一个匹配原则）使用常规方式进行端口转发的任何尝试firewall-cmd。KVM 注入的（libvirt）规则位于 FORWARD 和 POSTROUTING 的顶部，在常规防火墙规则集之前。由于 netfilter 按照第一个匹配原则运行，因此这些规则。

解决方案：

由于 KVM（libvirt）注入防火墙的规则所产生的问题，解决方案是使用一种名为 libvirt-hook-qemu 的 hack/workaround，如下所述...

下载并安装 libvirt-hook-qemu...

yum -y install git-core
cd /usr/local/src
git clone https://github.com/saschpe/libvirt-hook-qemu.git
cd libvirt-hook-qemu
make install
cd ..
rm -rf libvirt-hook-qemu

列出您的虚拟机（客户机）...

virsh list --all

...并复制目标虚拟机的名称。

关闭虚拟机...

virsh shutdown "<VM_NAME>" --mode acpi

打开文件“hooks.json”，删除其内容...

vi /etc/libvirt/hooks/hooks.json

...并在下方模板中输入您的规则（也可以采用其他设置方式）...

{
    "<VM_NAME>": {
        "interface": "virbr0",
        "private_ip": "<VM_IP>",
        "port_map": {
            "tcp": [[<PORT_ON_HOST>, <PORT_ON_GUEST>]]
        }
    }
}

重新启动 libvirtd...

systemctl restart libvirtd.service

...并启动虚拟机...

virsh start "<VM_NAME>"

完成！=D

更远：

这种 KVM（libvirt）行为 - 注入阻止任何端口转发尝试的规则 - 是强制的、侵入性的和不必要的...首先，因为由于主机上没有端口转发，所以在默认网络（virbr0）上无法访问任何虚拟机；其次，因为它迫使我们使用黑客/变通方法（或我们在巴西称之为“gato”/“gambiarra”=D）。

我们认为，强迫用户决定是否应该构建基础设施是没有意义的……这毫无意义！坦率地说，我们认为最好是这些设置是可选的（注入规则……），就像其他领先的虚拟机管理程序一样。我们更进一步……如果是 KVM（libvirt）控制这种事情，那么它还应该提供将端口映射到虚拟机的方法。

KVM（libvirt）是一个伟大的工具，但出于各种原因，并非所有用户都愿意将他们的机器直接放在主机的网络上，就像并非所有用户都愿意放弃默认网络（virbr0）提供的所有灵活性/可访问性。

谢谢！

[参考文献.:https://bugzilla.redhat.com/show_bug.cgi?id=846810， https://libvirt.org/firewall.html， https://libvirt.org/formatnetwork.html#examplesRoute， https://saschpe.wordpress.com/2014/03/06/dynamic-iptables-port-forwarding-for-nat-ed-libvirt-networks/， https://serverfault.com/q/170079/276753， https://serverfault.com/q/915257/276753， https://wiki.libvirt.org/page/VirtualNetworking#Routed_mode， https://www.centos.org/forums/viewtopic.php?f=50&t=71454&sid=7f5190a29eebbf755235ec3dc404a47f， https://www.cyberciti.biz/faq/kvm-forward-ports-to-guests-vm-with-ufw-on-linux/]

更新：

注入规则，阻止任何端口转发尝试

-> 当前 KVM（libvirt）上游已经解决了该问题！

看到这个：...目前 KVM（libvirt）上游已经解决了该问题...

Answer 1