我有一台 Ubuntu 18.04 服务器，带有一个公共网络接口 (eth0)。我正在尝试创建额外的“虚拟”网络接口，这些接口也能够通过设置的 NAT 规则访问互联网。
我使用以下命令创建了一个虚拟接口：
ip link add type veth
ifconfig veth0 192.168.1.1
下面是我的 ifconfig 的输出：
eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
inet 10.0.0.1 netmask 255.255.255.0 broadcast 10.0.0.255
ether f2:3c:92:1f:2a:62 txqueuelen 1000 (Ethernet)
RX packets 85664 bytes 111561237 (111.5 MB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 15392 bytes 2229468 (2.2 MB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
lo: flags=73<UP,LOOPBACK,RUNNING> mtu 65536
inet 127.0.0.1 netmask 255.0.0.0
loop txqueuelen 1000 (Local Loopback)
RX packets 1385 bytes 213213 (213.2 KB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 1385 bytes 213213 (213.2 KB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
veth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
inet 192.168.1.1 netmask 255.255.255.0 broadcast 192.168.1.255
ether a6:e7:de:40:9a:28 txqueuelen 1000 (Ethernet)
RX packets 27 bytes 2082 (2.0 KB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 1132 bytes 48520 (48.5 KB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
我已将“/proc/sys/net/ipv4/ip_forward”设置为 1：
$ cat /proc/sys/net/ipv4/ip_forward
1
我还尝试了许多 iptables MASQUERADE、FORWARD 和 NAT 规则，但无法从 veth0 访问互联网。
当我从 veth0 接口 ping 192.168.1.1 时，一切正常：
$ ping -I veth0 192.168.1.1
PING 192.168.1.1 (192.168.1.1) from 192.168.1.1 veth0: 56(84) bytes of data.
64 bytes from 192.168.1.1: icmp_seq=1 ttl=64 time=0.029 ms
64 bytes from 192.168.1.1: icmp_seq=2 ttl=64 time=0.046 ms
64 bytes from 192.168.1.1: icmp_seq=3 ttl=64 time=0.085 ms
64 bytes from 192.168.1.1: icmp_seq=4 ttl=64 time=0.062 ms
64 bytes from 192.168.1.1: icmp_seq=5 ttl=64 time=0.061 ms
--- 192.168.1.1 ping statistics ---
5 packets transmitted, 5 received, 0% packet loss, time 4097ms
rtt min/avg/max/mdev = 0.029/0.056/0.085/0.020 ms
但是，如果我尝试从 veth0 ping eth0 接口 IP 地址，则没有任何响应：
$ ping -I veth0 10.0.0.1
PING 10.0.0.1 (10.0.0.1) from 192.168.1.1 veth0: 56(84) bytes of data.
--- 10.0.0.1 ping statistics ---
39 packets transmitted, 0 received, 100% packet loss, time 38900ms
以下是我的路线命令的输出：
Destination Gateway Genmask Flags Metric Ref Use Iface
default gw-li832.linode 0.0.0.0 UG 0 0 0 eth0
xx.xx.xx.xx 0.0.0.0 255.255.255.0 U 0 0 0 eth0
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 veth0
我似乎无法弄清楚我做错了什么，任何帮助将不胜感激。
答案1
我接受了 @StefanSkoglund 的回答，因为它为我指明了解决这个问题的正确方向，但是我想在下面发布我的完整解决方案，供其他认为有用的人使用。
他们使用以下指南来帮助我：
https://josephmuia.ca/2018-05-16-net-namespaces-veth-nat/
基本上我必须创建两个 veth 接口对并将其中一个附加到新的网络命名空间。以下命令完成了此操作：
首先，我使用以下命令启用 IP 转发：
echo 1 > /proc/sys/net/ipv4/ip_forward
然后我创建了一个新的网络命名空间 (netns0) 并为其附加了一个新的环回适配器。如果没有这一步，它将无法工作：
ip netns add netns0
ip netns exec netns0 ip link set lo up
然后我创建了两个 veth 对。它们基本上充当以太网线路的两端。一端留在主网络上，另一端连接到网络命名空间：
ip link add veth0a type veth peer name veth0b
ip link set veth0b netns netns0
然后我为该对中的每个接口设置 IP 地址并启用它们：
ip addr add 192.168.0.1/24 dev veth0a
ip netns exec netns0 ip addr add 192.168.0.2/24 dev veth0b
ip link set veth0a up
ip netns exec netns0 ip link set veth0b up
以下 iptable 规则启用转发和 Nating：
iptables -A FORWARD -o eth0 -i veth0a -j ACCEPT
iptables -A FORWARD -i eth0 -o veth0a -j ACCEPT
iptables -t nat -A POSTROUTING -s 192.168.0.2/24 -o eth0 -j MASQUERADE
以下命令设置命名空间的默认路由。这对于与主网络通信至关重要：
ip netns exec netns0 ip route add default via 192.168.0.1
最后，我使用 DNS 服务器创建了一个特定于命名空间的 resolv.conf 文件。这对于网络命名空间的域名解析至关重要：
mkdir -p /etc/netns/netns0
echo "nameserver 1.1.1.1" > /etc/netns/netns0/resolv.conf
经过这些步骤后，我可以使用网络命名空间与互联网进行通信：
$ ip netns exec netns0 ping google.com
PING google.com (172.217.10.238) 56(84) bytes of data.
64 bytes from lga25s59-in-f14.1e100.net (172.217.10.238): icmp_seq=1 ttl=57 time=2.50 ms
64 bytes from lga25s59-in-f14.1e100.net (172.217.10.238): icmp_seq=2 ttl=57 time=1.44 ms
64 bytes from lga25s59-in-f14.1e100.net (172.217.10.238): icmp_seq=3 ttl=57 time=1.39 ms
--- google.com ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2003ms
rtt min/avg/max/mdev = 1.392/1.779/2.505/0.514 ms
使用“ip netns exec netns0 (COMMAND)”允许您使用此命名空间运行命令。
答案2
如果您想使用一台计算机作为虚拟机的主机，您还希望物理机和虚拟机可以双向访问，但如果您只有一个 iface ...
有必要使用桥（您可以使用 brctl 或 NetworkManager:s nmcli 创建它们。）尽管 macvtap 例如改变了这一点。
由于 Linux 中网络堆栈的设计，物理计算机的操作系统甚至看不到来自虚拟机的 ARP 请求（如果您不通过虚拟网桥连接虚拟机和主机）。
在本文的最后一部分中：https://wiki.archlinux.org/index.php/Network_bridge，是我以前能够让物理主机和机器中的虚拟机互相访问的秘诀。
另一种解决方案可能是路由器/防火墙中的发夹规则。
在http://man7.org/linux/man-pages/man4/veth.4.html他们讨论了 veth 设备，因此在他们的示例中，他们将 veth 设备视为具有两个名称的管道。您没有在示例中添加对等名称。