防止桥接网络中的 IP 劫持（KVM/libvirt）

Question

有没有解决方案可以防止 VM 用户分配/使用他不拥有的 IP 地址，但这些 IP 地址与他自己的地址一样通过同一个网桥路由？使用 libvirt 和 KVM 的当前设置如下所示：

              |---VM1 (IP 1)
Host ---> br0 |---VM2 (IP 2) 
              |---VM2 (IP 3)

或者唯一的解决方案是为每个虚拟机使用一个唯一的桥？

Answer 1

假设您要为主机节点上的每个 VM 分配一个 mac，您可以使用 ebtables 来实现此目的。

http://ebtables.sourceforge.net/

简单来说，这是通过 MAC 地址锁定的，并且只允许 VM 使用专门分配给它们的 IP。