înregistrare Logare
Puncte:0
Andrew avatar Server

Linux bridge scurge trafic de închidere vms

drapel vn
Andrew

Am o configurare linux bridge (br0) cu netplan după cum urmează:

  versiunea: 2
  redator: în rețea
  ethernet:
    eno1:
      dhcp4: nu
      dhcp6: nu
  poduri:
    probr:
      interfete:
        - eno1
      macadress: ab:cd:ef:01:02:03
      adrese:
        - 51.x.y.z/24
      servere de nume:
        adrese:
          - 8.8.8.8
          - 1.1.1.1
      parametri:
        stp: fals
        întârziere înainte: 0
      dhcp4: nu
      dhcp6: nu
      rute:
        - până la: 0.0.0.0/0
          prin: 55.x.y.254
        - până la: 55.x.y.z/28
          domeniul de aplicare: link

Folosesc libvirt virt-install cu argumentul de rețea: virt-install ... --network type=bridge,source=br0,model=virtio,filterref=clean-traffic,mac=00:11:22:33:44:55

Rețeaua funcționează conform așteptărilor, dar ceea ce am observat este că, dacă am mai multe VM, traficul destinat unui VM care este oprit va fi difuzat către toate VM-urile care rulează. Acest lucru va scurge informații despre conexiuni. Există vreo modalitate de a configura puntea să nu facă asta? Poate cu ebtables? Am observat că următoarea regulă ebtables va funcționa, dar caut ceva mai generic, deoarece nu știu numele interfeței în prealabil (vnet1): ebtables -A FORWARD -p IPv4 --ip-destination 55.x.y.z -o ! vnet1 -j DROP Efectuarea unui filtru pe nu pe Mac nu va funcționa, deoarece IP-ul și MAC sunt pentru vm-ul de închidere, dar bridge-ul încă din anumite motive decide să-l difuzeze.

26
0 + 0
pod
drapel in
Zoredache
`traficul destinat unui VM care este oprit va fi difuzat` - Trebuie să detaliați. Este doar un ARP pentru IP-ul de destinație? ARP-ul ar fi de la routerul local, pentru a încerca să găsească o persoană care are IP-ul, care nu va fi raportat înapoi. Primești pachete TCP cu indicatorul SYN? Asta ar însemna că aveți undeva ceva care răspunde la ARP sau aveți un cache ARP lung?. Este trafic UDP?
0
Răspunde
Andrew avatar
drapel vn
Andrew
Nu este vorba doar de trafic ARP, ci de pachete TCP SYN și UDP. Orice ip care se direcționează către bridge, dar fie nu este încă alocat unui vm încă, fie vm-ul este oprit va fi văzut în interiorul celorlalte vms atunci când rulează tshark.
0
Răspunde
Andrew avatar
drapel vn
Andrew
Despre ARP; Am rute arp statice setate pentru rularea și oprirea vms, niciuna pentru cele care nu au fost încă alocate. Nu pare să conteze. Nu există intrări ARP care să nu fie acolo.
0
Răspunde
drapel romania
SEF 777
întrebarea această in alte limbi:

Postează un răspuns

Majoritatea oamenilor nu înțeleg că a pune multe întrebări deblochează învățarea și îmbunătățește legătura interpersonală. În studiile lui Alison, de exemplu, deși oamenii își puteau aminti cu exactitate câte întrebări au fost puse în conversațiile lor, ei nu au intuit legătura dintre întrebări și apreciere. În patru studii, în care participanții au fost implicați în conversații ei înșiși sau au citit transcrieri ale conversațiilor altora, oamenii au avut tendința să nu realizeze că întrebarea ar influența – sau ar fi influențat – nivelul de prietenie dintre conversatori.