☰

Linux：为什么 ARP 不通过 VLAN Bridge 应答

tag-icon • tag-icon linux vlan bridge qemu arp
Linux：为什么 ARP 不通过 VLAN Bridge 应答

我们的目标

我们想要运行一个带有多个 QEMU VM 的服务器，其中一些 VM 应该连接到单独的 VLAN。主机通过绑定连接到交换机，并且应该有一个 VLAN 感知桥，所有 VM 都连接到该桥（就像一个带有 VLAN 的真实交换机，但采用软件方式）。桥本身被分配了主机的 IP，并且该主机应该能够访问 VM。为了保护主机/桥/主 LAN，应该使用 iptables（VM 之外的 iptables）过滤主机上的一些 VM 接口（传入和传出）。

我们的设置

测试服务器是一台具有 4 个端口和 Ubuntu 20.4 服务器的 Supermicro 机器。它连接到一个小型 Zyxel GS-1900 交换机，而该交换机又连接到我们的 LAN 网络（HP 基础设施）。我们从 PVID 1 和已经在堆栈和 WLAN AP 上设置的 VLAN 55 开始。交换机端口设置了 PVID 1 和标记的 VLAN 55。在物理网络上一切都应该正常。对于测试，我甚至没有设置虚拟机，它只是一个普通的操作系统，我将 VLAN 55 中的 IP 分配给 VLAN 接口。我们没有使用 netplan、NetworkManager 或 systemd 配置。我们只使用 /etc/network/interfaces。

我们的问题

我无法让具有 VLAN 感知桥的 Ubuntu 主机与 VLAN 配合使用。ping VLAN 55 导致 ARP who-has - 就是这样。我可以在 VLAN 接口 (tcpdump) 上看到它，但在任何其他接口上都看不到它。为什么 ARP 无法通过？如果 ARP 可以通过，其余的会正常工作吗？

我们做了什么

我们手动尝试了所有方法，但根本不知道我们错过了什么。我们甚至重新安装了机器。我们陷入困境。

这些是命令我们认为这应该有效。但事实并非如此：

ip link add bond0 type bond
ip link set bond0 type bond miimon 100 mode balance-alb
ip link set eth0 down
ip link set eth0 master bond0
ip link set bond0 up
ip link add br0 type bridge
ip link set br0 up
ip link set br0 type bridge vlan_filtering 1
ip link set bond0 master br0
ip link add venet0 type veth peer venet0_0
ip link set venet0 master br0
bridge vlan add dev venet0 vid 55 master
bridge vlan del dev venet0 vid 1
bridge vlan add dev bond0 vid 55
ip address add dev venet0_0 192.168.55.0/24
ip address add dev br0 10.233.202.2/22
ip link set venet0 up
ip link set venet0_0 up

我们没有看到任何错误，结果看起来我们认为是正确的。br0 接口可以 ping 本地 VLAN 55 接口，如果设置了默认 gw，它可以 ping 到外部世界。但是 VLAN 接口除了自己之外无法 ping 任何东西。问题是没有 arp 响应，因为在任何其他端口上都看不到 arp。

输出ip 链接显示是：

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00

2: eth0: <BROADCAST,MULTICAST,SLAVE,UP,LOWER_UP> mtu 1500 qdisc mq master bond0 state UP mode DEFAULT group default qlen 1000
    link/ether 3c:ec:ef:33:8a:74 brd ff:ff:ff:ff:ff:ff

3: eth1: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000
    link/ether 3c:ec:ef:33:8a:75 brd ff:ff:ff:ff:ff:ff

4: eth2: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000
    link/ether 3c:ec:ef:33:8a:76 brd ff:ff:ff:ff:ff:ff

5: eth3: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000
    link/ether 3c:ec:ef:33:8a:77 brd ff:ff:ff:ff:ff:ff

15: bond0: <BROADCAST,MULTICAST,MASTER,UP,LOWER_UP> mtu 1500 qdisc noqueue master br0 state UP mode DEFAULT group default qlen 1000
    link/ether 3c:ec:ef:33:8a:74 brd ff:ff:ff:ff:ff:ff

16: br0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000
    link/ether 3c:ec:ef:33:8a:74 brd ff:ff:ff:ff:ff:ff
    inet 10.233.202.2/22 scope global br0
    valid_lft forever preferred_lft forever

17: venet0_0@venet0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000
    link/ether de:d7:d5:3c:ed:91 brd ff:ff:ff:ff:ff:ff
    inet 192.168.55.5/24 scope global venet0_0
    valid_lft forever preferred_lft forever

18: venet0@venet0_0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br0 state UP mode DEFAULT group default qlen 1000
    link/ether 72:48:95:e5:9a:47 brd ff:ff:ff:ff:ff:ff

输出桥接 VLAN 显示：

port    vlan ids
bond0    1 PVID Egress Untagged
         55

br0      1 PVID Egress Untagged

venet0   55 Egress Untagged

路线-n显示：

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
10.233.202.0    0.0.0.0         255.255.252.0   U     0      0        0 br0
192.168.55.0    0.0.0.0         255.255.255.0   U     0      0        0 venet0_0

和tcpdump -nlpvvvi venet0_0显示（.254 可通过物理交换机使用）：

14:38:47.657112 ARP, Ethernet (len 6), IPv4 (len 4), Request who-has 192.168.55.254 tell 192.168.55.5, length 28

上面显示的配置在互联网上的几个地方都可以找到，并且报告说可以正常工作。我们在这里做错了什么？

多谢！

编辑：

a. 在 tcpdump 中，我刚刚看到一个数据包从接入点进入 venet0_0，表明客户端已漫游。奇怪...

b. 添加了以下非常简单的图片

应该如何

编辑2-解决方案：

ip link add bond0 type bond
ip link set bond0 type bond miimon 100 mode balance-alb
ip link set eth0 master bond0
ip link set bond0 up
ip link add br0 type bridge
ip link set br0 up
ip link set br0 type bridge vlan_filtering 1
ip link set bond0 master br0
ip link add venet0 type veth peer venet0_0
ip link set venet0 master br0
bridge vlan add dev venet0 vid 55 untagged pvid
bridge vlan del dev venet0 vid 1
bridge vlan add dev bond0 vid 55 master
ip link set venet0 up
ip link set venet0_0 up

这最终在 /etc/network/interfaces 中使用

感谢 Nikita Kipriyanov

编辑 3-/etc/network/interfaces

这是我根据这个制作的 /etc/network/interfaces 部分。关于 Nikita 的评论，似乎可以在没有所有 post-up 节和命令的情况下编写文件。我只知道来自 vconfig/vlan 的旧符号 ethY.XX，我不确定这如何与新的桥接命令配合使用；这就是我使用所有 post-up/pre-down 的原因。以下是接口文件：

auto eth0
iface eth0 inet manual
    bond-master bond0


auto eth1
iface eth1 inet manual
    bond-master bond0


auto bond0
iface bond0 inet manual
    bond-slaves eth0 eth1
    bond-mode balance-xor
    bond-miimon 100
    bond-updelay 200
    bond-downdelay 200
    bond-xmit-hash-policy layer3+4


auto br0
iface br0 inet static
    bridge_ports bond0
    bridge_stp on
    bridge_vlan_aware yes

    address 10.233.202.2/22
    gateway 10.233.200.254

    post-up ip link set br0 type bridge vlan_filtering 1
    post-up ip link set br0 type bridge nf_call_iptables 1
    post-up ip link set br0 type bridge nf_call_ip6tables 1
    post-up ip link set br0 type bridge nf_call_arptables 1

    post-up ip link add br0p1 type veth peer br0p1c
    post-up ip link set br0p1 master br0
    post-up bridge vlan del dev br0p1 vid 1
    post-up bridge vlan add dev br0p1 vid 55 untagged pvid
    post-up bridge vlan add dev bond0 vid 55

    pre-down bridge vlan del dev bond0 vid 55
    pre-down ip link del dev br0p1


auto br0p1
iface br0p1 inet manual

对于 vlan 接口上的 iptables，使用 -m physdev 执行

modprobe br_netfilter

和

echo 1 >/proc/sys/net/bridge/bridge-nf-filter-vlan-tagged

答案1

您缺少桥接端口上 VLAN 55 的“PVID”设置venet0。它未显示在 中bridge vlan show。

您将此标签设置为出口，这意味着离开系统到此接口的任何未标记数据包都将被标记为 VLAN 55。缺失的物理安全ID设置执行相反的操作：它告诉系统剥离 VLAN 标记 55 并在没有标记的情况下呈现给系统。目前，它不会执行此标记剥离操作。

要验证这一点，请使用当前配置，使用附加开关重新运行 tcpdump 命令-e（显示以太网信息）。它应该显示您从该接口看到的数据包仍然带有标记；这就是 Linux 忽略它们的原因。

是的，您可能已经猜到了，Linux 能够实现非对称 VLAN。

为了启用正确的标签处理（使事情对称 - 这是你所期望的），使用

bridge vlan add dev venet0 vid 55 untagged pvid

而不是你的bridge vlan add dev venet0 vid 55 master。

此外，/etc/network/interfacesDebian 网络脚本允许比您通过输入这一组命令获得的配置更加模块化的配置。它本身能够创建绑定、VLAN、网桥（包括可识别 VLAN 的网桥）。最好使用它，不要将这个糟糕的脚本放在原始位置，它违背了网络初始化系统的目的！

相关内容