Как настроить 2 сети, одна из которых виртуальная?

Question

[Александр Вульф]

Коллеги, привет!
В офисе к нам приходит шнурок от провайдера с одним статическим IP. Он втыкается в роутер, к которому подключена куча машин. Роутер раздаёт IP адреса из сети 192.168.2.0/24 по DHCP. Всё работает как надо.
Сейчас приобрели сервер, воткнули в него патчкорд от роутера, сервер получил свой IP адрес (например, 192.168.2.200). Внутри сервера установили KVM, создали сеть NAT (virbr1, virbr1-nic. IP адреса раздаёт DHCP в сети 192.168.5.0/24), которая ходит в интернет через физический интерфейс enp2s0. Виртуалки доступ в интернет имеют, всё хорошо.

Что нужно: дать возможность из сети 192.168.2.0/24 получать доступ к виртуалкам в сети 192.168.5.0/24. Сначала я действовал просто: на роутере настроил статический маршрут (при пакете в 192.168.5.0/24 пакет уходит в 192.168.2.200). Затем на самом сервере настроил iptables на переадресацию пакетов из enp2s0 в virbr1 если IP получателя находится в сети 192.168.5.0/24. И всё, вроде, заработало. Только был странный момент - у некоторых людей к 192.168.5.0 не подключалось. Ни по SSH, ни по HTTP. А у других всё было хорошо.

Что интересно: как вообще организуют такие сети? Как правильно настраивать iptables под такие задачи? Не подойдёт ли для этого bridge?

Сильно не бейте, я не сисадмин, просто приходится настраивать сеть в офисе, знания приобретал по ходу работы.

Comments

[Евген]

Так в чем собственно вопрос?

Только был странный момент - у некоторых людей к 192.168.5.0 не подключалось. Ни по SSH, ни по HTTP. А у других всё было хорошо.

открыть порты с помощью dnat

[Александр Вульф]

Евген, если бы они были закрыты - не работало бы у всех

[Евген]

Александр Вульф, а если бы были открыты то работало бы у все, а у вас не у всех, значит настроено что то неправильно, нужно больше инфы

[hint000]

я не сисадмин

- поздравляю, если вы справляетесь с iptables, то вы уже сисадмин :)

Виртуалки KVM - да, загоняю в единственный бридж на хосте, ip-адреса виртуалки получают из общего пула с "железными" хостами, не выделяю их ни в другую подсеть, ни в VLAN.
iptables только на шлюзах, внутри локальной сети весь доступ к виртуалкам прозрачный, ничего не NAT'ится, ничего не фильтруется. Но правда у меня и сети небольшие (но площадок несколько), может быть поэтому такая простая конфигурация нормально работает.

[Александр Вульф]

hint000, я тоже так хотел, но в основной сети адреса выдаются DHCP, а у виртуалок хотелось бы статичные адреса иметь. В роутере это настраивать ну вообще не хочется на каждую виртуалку.

[hint000]

Александр Вульф, никаких проблем, на DHCP надо отдать в пул не всю подсеть, а заныкать часть адресов. Например, DHCP раздаёт из диапазона 192.168.2.51 - 192.168.2.254,
а адреса 192.168.2.1 - 192.168.2.50 можно руками статично прописывать на виртуалках или где угодно. Это обычная практика.

[hint000]

Александр Вульф, можно даже так: в пуле DHCP
192.168.2.10 - 192.168.2.40
192.168.2.51 - 192.168.2.200
192.168.2.222 - 192.168.2.254
статически назначаем:
192.168.2.1 - 192.168.2.9
192.168.2.41 - 192.168.2.50
192.168.2.201 - 192.168.2.221
- всё это прописывается на DHCP один раз.

[Александр Вульф]

hint000, да, я понял. Идея шикарная. Хочу попробовать всё-таки настроить отдельную подсеть, если совсем не выйдет - воспользуюсь таким способом!

Answer 1

[Константин Цветков]

но в основной сети адреса выдаются DHCP, а у виртуалок хотелось бы статичные адреса иметь

Для конкретного MAC выделенный IP (настройка DHCP). Или внутри отключите DHCP и настройте постоянный IP.

Answer 2

[office378]

добавить в /etc/sysctl.conf:
net.ipv4.ip_forward=1

затев в консоли сделать:
sysctl -p

iptables не нужен, если у обоих сетей физически один шлюз

Answer 3

[Dmitry]

Ох, эксперты понабежали. Попробую объяснить по-чайниковски. Самым простым способом решения вашей задачи это подключить виртуальные машины к сети не используя приватную подсеть за nat, а используя bridge (мост), таким образом сеть с вашими виртуалками становится частью сети 192.168.2.0, а 192.168.5.0 становится не нужна – виртуальным машинам назначаются адреса из основной сети. Более сложный случай, если есть необходимость отделить подсеть с виртуалками (для облегчения понимания лучше абстрагироваться от понятия виртуальная сеть, с точки зрения OSI это обычная подсеть с хостами) от основной сети. Как вы понимаете, для маршрутизации между подсетями должна быть некая сущность, объединяющая две L3 подсети, в вашем случае этой сущностью является ваш маршрутизатор. Короче говоря , на нём выделяется отдельный порт для подсети 192.168.5.0/24, самому порту назначается адрес из этой подсети, например 192.168.5.1, к этому порту должен быть подключен гипервизор, самому гипервизору тоже назначается адрес из этой подсети, шлюзом по умолчанию для него будет 192.168.5.1. Как и в первом случае, виртуальные машины подключается к сети через bridge (мы же помним, фактически, это просто коммутатор), адреса назначаются также из 192.168.5.0, а шлюзом для них также является 192.168.5.1 – то есть гипервизор, виртуальные машины – это всё, с точки зрения сети являются отдельными хостами. После чего все счастливы, трафик между подсетями ходит через маршрутизатор, без странных костылей в виде проброса портов и других нетрадиционных развлечений. Рассмотрим самый сложный случай, гипервизор должен находиться в одной сети (192.168.2.0), а виртуальные машины другой (192.168.5.0). В этом нам поможет технология VLAN. На маршрутизаторе также выделяется порт, но работать он должен в режиме trunk (хитрым способом объединяя внутри одного физического сегмента два или более L2-домена), в общем-то, это всё тот же второй случай, только с настройкой vlan-интерфейсов как на гипервизоре, так и на маршрутизаторе. Как вы понимаете, для второго и третьего случая не подойдет обычный домашний роутер (если, конечно, он не доведен до ума альтернативной прошивкой openwrt).
Как-то так. можно было бы и детальнее подсказать, если укажите модель вашего маршрутизатора и какой гипервизор вы используете.

Comments

[Dmitry]

Илья Ромашёв, очень круто, конечно, но что-то мне подсказывает, что автору стоит начать с обычных linux-bridge. Но за наводку - спасибо. А есть работающий how-to для sr iov для kvm в общем и proxmox в частности? и возможна ли работа HA при sr iov?

Answer 4

[nApoBo3]

Внутри kvm вам nat не нужен. Делайте везде внутри route, а nat только наружу.