在 libvirt/KVM 中将端口转发给客户机

Question 1

Ubuntu 上 libvirt 的最新稳定版本是 0.7.5 版，它没有一些新功能（例如脚本挂钩和网络过滤器），这些功能使自动网络配置更加容易。话虽如此，以下是如何在 Ubuntu 10.04 Lucid Lynx 上为 libvirt 0.7.5 启用端口转发。

这些 iptables 规则应该可以解决问题：

iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 80 -j DNAT --to-destination 10.0.0.1:80
iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 22 -j DNAT --to-destination 10.0.0.2:22
iptables -I FORWARD -m state -d 10.0.0.0/24 --state NEW,RELATED,ESTABLISHED -j ACCEPT

默认的 KVM NAT 配置提供了与我上面给出的第三条规则类似的规则，但它省略了 NEW 状态，这对于接受传入连接至关重要。

如果您编写启动脚本来添加这些规则，而您又不小心，libvirt 0.7.5 会通过插入自己的规则来覆盖它们。因此，为了确保这些规则在启动时正确应用，您需要确保 libvirt 已初始化前你插入你的规则。

在 /etc/rc.local 中的以下行之前添加以下行exit 0：

(
# Make sure the libvirt has started and has initialized its network.
while [ `ps -e | grep -c libvirtd` -lt 1 ]; do
        sleep 1
done
sleep 10
# Set up custom iptables rules.
iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 80 -j DNAT --to-destination 10.0.0.1:80
iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 22 -j DNAT --to-destination 10.0.0.2:22
iptables -I FORWARD -m state -d 10.0.0.0/24 --state NEW,RELATED,ESTABLISHED -j ACCEPT
) &

以上sleep 10是确保 libvirt 守护进程有机会在我们添加自己的 iptables 规则之前初始化其 iptables 规则的技巧。我迫不及待地想看到他们为 Ubuntu 发布 libvirt 版本 0.8.3。

Answer

Ubuntu 上 libvirt 的最新稳定版本是 0.7.5 版，它没有一些新功能（例如脚本挂钩和网络过滤器），这些功能使自动网络配置更加容易。话虽如此，以下是如何在 Ubuntu 10.04 Lucid Lynx 上为 libvirt 0.7.5 启用端口转发。

这些 iptables 规则应该可以解决问题：

iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 80 -j DNAT --to-destination 10.0.0.1:80
iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 22 -j DNAT --to-destination 10.0.0.2:22
iptables -I FORWARD -m state -d 10.0.0.0/24 --state NEW,RELATED,ESTABLISHED -j ACCEPT

默认的 KVM NAT 配置提供了与我上面给出的第三条规则类似的规则，但它省略了 NEW 状态，这对于接受传入连接至关重要。

如果您编写启动脚本来添加这些规则，而您又不小心，libvirt 0.7.5 会通过插入自己的规则来覆盖它们。因此，为了确保这些规则在启动时正确应用，您需要确保 libvirt 已初始化前你插入你的规则。

在 /etc/rc.local 中的以下行之前添加以下行exit 0：

(
# Make sure the libvirt has started and has initialized its network.
while [ `ps -e | grep -c libvirtd` -lt 1 ]; do
        sleep 1
done
sleep 10
# Set up custom iptables rules.
iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 80 -j DNAT --to-destination 10.0.0.1:80
iptables -t nat -I PREROUTING -p tcp -d 1.2.3.4 --dport 22 -j DNAT --to-destination 10.0.0.2:22
iptables -I FORWARD -m state -d 10.0.0.0/24 --state NEW,RELATED,ESTABLISHED -j ACCEPT
) &

以上sleep 10是确保 libvirt 守护进程有机会在我们添加自己的 iptables 规则之前初始化其 iptables 规则的技巧。我迫不及待地想看到他们为 Ubuntu 发布 libvirt 版本 0.8.3。

Question 2

有一种方法可以动态设置端口重定向当客户机使用用户模式网络时，我在这里写了一篇博客：

http://blog.adamspiers.org/2012/01/23/port-redirection-from-kvm-host-to-guest/

您可以在那里看到详细信息，但为了方便起见，这里是我找到的解决方案：

virsh qemu-monitor-command --hmp sles11 'hostfwd_add ::2222-:22'

这个单行答案比其他答案容易得多，但仅在某些情况下有效（用户模式网络堆栈）。

Answer

有一种方法可以动态设置端口重定向当客户机使用用户模式网络时，我在这里写了一篇博客：

http://blog.adamspiers.org/2012/01/23/port-redirection-from-kvm-host-to-guest/

您可以在那里看到详细信息，但为了方便起见，这里是我找到的解决方案：

virsh qemu-monitor-command --hmp sles11 'hostfwd_add ::2222-:22'

这个单行答案比其他答案容易得多，但仅在某些情况下有效（用户模式网络堆栈）。

Question 3

一个更“官方”[1] 的方法是创建一个钩子脚本，如 libvirt 网站上所述：

http://wiki.libvirt.org/page/Networking#Forwarding_Incoming_Connections

... 基本上，当 KVM 客户机启动时，将调用此脚本。脚本本身将添加适当的 iptable 规则（类似于上面 Isaac Sutherland 的回答），并正确添加“NEW”连接状态。请注意，您必须使用适合您的主机和端口的正确值修改脚本。

[1] 尽管 libvirt 文档本身说这是一种 hack，但想想看

Answer

一个更“官方”[1] 的方法是创建一个钩子脚本，如 libvirt 网站上所述：

http://wiki.libvirt.org/page/Networking#Forwarding_Incoming_Connections

... 基本上，当 KVM 客户机启动时，将调用此脚本。脚本本身将添加适当的 iptable 规则（类似于上面 Isaac Sutherland 的回答），并正确添加“NEW”连接状态。请注意，您必须使用适合您的主机和端口的正确值修改脚本。

[1] 尽管 libvirt 文档本身说这是一种 hack，但想想看

Question 4

在 Ubuntu 20.04 上我编写了以下脚本，保存为/etc/libvirt/hooks/allow-portfw(chmod +x)：

#!/bin/bash

CHAIN=LIBVIRT_FWI
IPTCMD="iptables -L $CHAIN -vn"
FILTERCMD="grep -v -e Chain -e pkts -e reject-with -e DNAT"

while $IPTCMD | grep ESTABLISHED | grep -v DNAT >/dev/null
do
    IF=$($IPTCMD | $FILTERCMD | awk '{print $7}' | head -n1)
    NET=$($IPTCMD | $FILTERCMD | awk '{print $9}' | head -n1)
    iptables -D $CHAIN -o $IF -d $NET -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
    iptables -I $CHAIN 1 -o $IF -d $NET -m conntrack --ctstate DNAT,RELATED,ESTABLISHED -j ACCEPT
done

进入的情况是，我们缺少新的。FORWARDING 链的 DNAT 标志，它是自动创建的。

sudo iptables -L LIBVIRT_FWI -vn
Chain LIBVIRT_FWI (1 references)
 pkts bytes target     prot opt in     out     source               destination         
1741K 2661M ACCEPT     all  --  *      virbr0  0.0.0.0/0            192.168.122.0/24     ctstate RELATED,ESTABLISHED
   38  1972 REJECT     all  --  *      virbr0  0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable

我的脚本将 DNAT 标志添加到所有定义中。

这样，我只需在 iptables 中添加端口转发即可

iptables -A PREROUTING -i mylanIF -p tcp --dport 3389 -j DNAT --to-destination 192.168.122.110:3389

您可以使用软件包iptables-persistent来保存此状态（但一定要从转储中删除 libvirt 链）

或者您可以使用ufw任何其他防火墙脚本。

我的脚本基于此地址的发现https://www.cyberciti.biz/faq/kvm-forward-ports-to-guests-vm-with-ufw-on-linux/

Answer