![使用 Netplan 在 Hetzner 上为附加子网提供 KVM 路由桥接](https://linux22.com/image/794524/%E4%BD%BF%E7%94%A8%20Netplan%20%E5%9C%A8%20Hetzner%20%E4%B8%8A%E4%B8%BA%E9%99%84%E5%8A%A0%E5%AD%90%E7%BD%91%E6%8F%90%E4%BE%9B%20KVM%20%E8%B7%AF%E7%94%B1%E6%A1%A5%E6%8E%A5.png)
我在 Hetzner 有一台运行 KVM 的专用 Ubuntu 22.04 服务器。我已将来自其他子网的 IP 地址分配给来宾虚拟机。我可以按预期通过其公共 IP 地址访问来宾虚拟机。
我收到 Hetzner 发来的一封电子邮件,说我正在使用“不允许”的 MAC 地址,并威胁要封锁服务器。“不允许”的 MAC 地址属于客户虚拟机。Hetzner 支持人员说:“您必须确保您的虚拟机的 MAC 地址不会在网络设备上的公共上行链路中可见。”有人知道如何遵守 Hetzner 的网络规则吗?这是我的配置:
- 物理服务器
$ sudo cat /etc/netplan/01-netcfg.yaml
### Hetzner Online GmbH installimage
network:
version: 2
renderer: networkd
ethernets:
enp98s0f0:
match:
macaddress: xx:xx:xx:xx:xx:fa
dhcp4: no
dhcp6: no
bridges:
br0:
macaddress: xx:xx:xx:xx:xx:fa
interfaces:
- enp98s0f0
dhcp4: no
dhcp6: no
addresses:
- aa.bb.cc.108/32 # Physical NIC (Main IP)
- aa.bb.cc.65/28 # First usable IP of the additional subnet
routes:
- to: 0.0.0.0/0
via: aa.bb.cc.105 # Gateway for Main IP on physical NIC
on-link: true
- to: aa.bb.cc.64/28 # Additional subnet
via: aa.bb.cc.65 # First usable IP of the additional subnet assigned to physical NIC above
on-link: true
nameservers:
addresses:
- 185.12.64.2
- 185.12.64.1
parameters:
stp: false
forward-delay: 0
$ cat /etc/sysctl.d/10-forwarding.conf
net.ipv4.ip_forward=1
#net.ipv4.conf.enp98s0f0.send_redirects=0
net.ipv4.conf.all.proxy_arp=1
net.ipv4.conf.all.forwarding=1
$ cat br0.xml
<network>
<name>br0</name>
<forward mode='bridge'/>
<bridge name='br0'/>
</network>
- 来宾虚拟机
$ sudo cat /etc/netplan/01-netcfg.yaml
# This is the network config written by 'subiquity'
network:
ethernets:
enp1s0:
addresses:
- aa.bb.cc.67/28 # Additional subnet
nameservers:
addresses:
- 185.12.64.2
- 185.12.64.1
search: []
routes:
- to: default
via: aa.bb.cc.65 # First usable IP of the additional subnet assigned to physical NIC
version: 2
答案1
我使用 ebtables(第 2 层过滤工具)解决了这个问题,以确保来自客户虚拟机的所有出站流量似乎都来自主机物理网卡的 MAC 地址。我还禁用了代理 ARP。
sudo apt install ebtables
sudo ebtables -t nat -A POSTROUTING -o enp98s0f0 -j snat --to-source xx:xx:xx:xx:xx:fa
ebtables 规则在重启后将失效。我设置了一个 systemd 服务以在启动时应用它们。
希望这对某人有帮助。