Проброс интернета в hostonly сеть kvm?

Question

[Евгений Воробьев]

В линукс только начинаю вникать.
Имеется сервер с Debian 10. На нем через libvrt запущены виртуалки с debian и win8.
В хост-системе есть физическая сетевая карта enp3s0, которая смотрит на роутер, получается от него инет и раздает ресурсы хоста в локальную сеть и... сетевой мост virbr0, который изолирован и общается только с этими двумя виртуалками.
Как можно на эти 2 виртуалки (по-сути на сетевой мост virbr0) раздать инет от хоста и пробросить порты... ну например 22 и 80 (чтобы в будущем я мог через роутер дать на них доступ человеку из уже внешней сети)?

ВАЖНО. Не давать доступ этим двум виртуалкам к локальной сети (вообще. Ни к компам, ни к роутеру, ни к хосту).

Прошу помочь и мое ламерство не высмеивать)

Answer 1

[Sanes]

Настроить мост и гостей как обычных клиентов роутера. Можно DHCP, можно статику, можно mac+ip.
Должно получиться.

ВАЖНО. Не давать доступ этим двум виртуалкам к локальной сети (вообще. Ни к компам, ни к роутеру, ни к хосту).

iptables на хосте

Comments

[Евгений Воробьев]

Про мост знаю. Такое на хосте есть (еще 2 виртуалки работают и общаются с локалкой).
Вот с iptables у меня и проблемы. По инструкциям что я нашел настроить не получается...

[Sanes]

astrave,
примерно так

[Sanes]

astrave, хост должен быть в сети роутера с обычными настройками, если всех изолировать.
И соответственно Hostonly мост в другой сети.

[Евгений Воробьев]

Sanes, https://notes.cloud-controller.ru/linux/probros-po...
2 этих правила раздадут инет?
iptables -t nat -I POSTROUTING 1 -s container_ip_address -j SNAT --to-source host_ip_address
iptables -t nat -A PREROUTING -d host_ip_address -j DNAT --to-destination container_ip_address
А разве они не откроют доступ полностью в локалку?

[Sanes]

Не откроют.
На хосте у вас IP роутера. Например в сети 192.168.0.0/24
И hostonly bridge для виртуалок в сети 10.0.0.0/24
На хосте через IPtables и разруливайте. Далее на роутере.

[Sanes]

astrave, не забудьте разрешить пересылку между интерфейсами.
echo 1 > /proc/sys/net/ipv4/ip_forward
sysctl -p

[Евгений Воробьев]

iptables -t nat -I POSTROUTING 1 -s 192.168.101.167 -j SNAT --to-source 192.168.1.10
iptables -t nat -A PREROUTING -d 192.168.1.10 -j DNAT --to-destination 192.168.101.167

Выполнил это от рута на хосте. Адрес ВМ 192.168.101.167, адрес хоста 192.168.1.10.
Инет так и не появился в Win8((
ip_forward включено было всегда на хосте.

[Sanes]

astrave, между VM есть сеть?

[Евгений Воробьев]

Sanes, проверил... нет. не пингуют они друг друга.

[Sanes]

Поставьте Proxmox или Virtuozzo. Там это всё элементарно делается.

[Евгений Воробьев]

Sanes, это уже существующий сервер и на нем навешан еще другой функционал, помимо ВМ.

[Sanes]

astrave, разбирайтесь тогда. Либо к кому-то обратитесь за помощью. Смотреть надо. Так непонятно.