转:KVM使用NAT联网并为VM配置iptables端口转发,kvmiptables

转载地址:https://www.ilanni.com/?p=7016

在前面的文章中,我们介绍KVM的虚拟机(以下简称VM)都是通过桥接方式进行联网的。

本篇文章我们来介绍KVM的VM通过NAT方式进行联网,并且通过配置IPtables做端口映射,这个也是前几天一家公司面试我的问题。直接问我KVM如何做端口转发,当时因为确实没有做过这方面的应用,所以就直接回答不知道了。

NAT(网络地址)方式连接网络在桌面虚拟化使用是比较多的,比如VMware Workation。使用NAT方式联网可以节省IP地址。说实话这个对于公网IP地址比较少的公司,也节省了成本。

而KVM默认的网络连接方式就是NAT,只是我们一直没有使用。它支持主机与虚拟机的互访,同时也支持虚拟机访问互联网(需要对KVM服务器做配置),但不支持外界访问虚拟机(不过可以通过KVM服务器配置IPtables端口转发解决)。

本篇文章主要包括两个部分:

1、KVM为VM配置NAT网络

2、为VM配置iptables端口转发

一、KVM为VM配置NAT网络

我们可以通过如下命令,查看NAT是否开启。如下:

virsh net-list

clip_image001

通过上图,我们可以看到NAT方式已经开启。而且default是宿主机安装VM支持模块的时候自动安装的。

我们也可以查看,系统中已经存在的网卡。使用ifconfig命令,如下

clip_image002

通过上图,我们可以看出网卡virbr0就是NAT方式连接网络时,所使用到的网卡。

除此之外我们还可以通过配置文件,来查看NAT方式的DHCP地址池。该配置文件为:/etc/libvirt/qemu/networks/default.xml。如下:

clip_image003

通过上图我们可以看出,目前NAT使用的IP地址池是192.168.122.2-192.168.122.254,网关为192.168.122.1,子网掩码为255.255.255.0。

因为是和KVM相关的VM(虚拟机),所以我们首先为VM新建硬盘。今天我们的实验不使用裸设备,直接使用文件的方式为虚拟机创建硬盘。这样有利于虚拟机的迁移,但是性能方面没有裸设备好。有关VM如何使用裸设备,可以参考我的另外一篇文章《烂泥:KVM使用裸设备配置虚拟机》。

创建VM硬盘,使用如下命令:

qemu-img create -f qcow2 /natdisk/nat.img 20G

clip_image004

硬盘创建完毕后,我们使用如下命令创建VM,如下:

virt-install -n nat -r 2048 --vcpus=1 --os-type=linux --boot cdrom,menu=on -c /iso/CentOS-6.4-i386-minimal.iso --disk path=/natdisk/nat.img,format=qcow2,bus=ide --network network=default --vnc --vnclisten=0.0.0.0 --vncport=5991

clip_image005

注意该条命令中有关网络的配置--network network=default,我们使用的是默认网络配置default。这个就是NAT方式。

同时有关硬盘的格式与接口模式也一定要注意:

--disk path=/natdisk/nat.img,format=qcow2,bus=ide

下面开始为VM安装系统,如下:

clip_image006

VM系统安装完毕后,我们进入VM中。默认情况下VM此时使用的DHCP方式获取IP地址,如果你在安装系统时未进行网络配置。我们现在修改VM使用静态IP地址,如下:

more /etc/sysconfig/network-scripts/ifcfg-eth0

clip_image007

网络配置完毕后,我们来测试下网络通信情况。如下:

clip_image008

通过上图我们发现,此时VM通过NAT网络获取的IP地址无法与其他网段的服务器进行通信。是不是我们的NAT配置出错?还是其他原因?

这个其实不是我们NAT配置出错,而是要是NAT网络与其他服务器进行正常通信还需要做其他工作。

现在切换到KVM服务器,开启KVM服务器的IP转发功能。编辑/etc/stsctl.conf文件,把其中的net.ipv4.ip_forward = 0修为net.ipv4.ip_forward = 1,如下:

vi /etc/sysctl.conf

clip_image009

或者使用如下命令:

echo 1 >/proc/sys/net/ipv4/ip_forward

不过这种方法是暂时的,系统重启后消失。要使其永久生效,建议使用直接修改/etc/stsctl.conf文件的方法。

/etc/stsctl.conf文件修该完毕后,我们要使用sysctl --p使其生效。如下

clip_image010

以上配置完毕后,我们还要开启KVM服务器的IPtables的转发功能,使用如下命令:

iptables -t nat -A POSTROUTING -o br0 -j MASQUERADE

clip_image011

注意该命令中的网卡时br0,而不是eth0。

此时,我们再切换VM中测试的网络通信情况。如下:

clip_image012

通过上图我们可以很明显的看到,目前VM可以与服务器以及外网正常通信。

以上就是KVM为VM配置NAT网络的整个过程。下面我们开始为VM配置端口。

二、为VM配置iptables端口转发

为什么要为VM配置iptables端口转发呢?这个是因为有些业务是在公网的,有时候为了资金考虑不得不尽量节省公网IP的个数。比如现在我想管理KVM中的VM,通过SSH方式。但是KVM服务器对外只有一个公网IP,而且KVM服务器是在IDC机房中。

如果要达到我上述的要求,只能在KVM服务器为VM配置IPtables端口转发。

现在我们还以上述VM为例,目前该KVM的公网IP为192.168.1.102,VM的IP为192.168.122.173,现在我要求通过访问KVM的8022端口访问VM的22端口。

要想达到上述功能,我们需要在KVM服务器上设置如下IPtables规则:

iptables -t nat -A PREROUTING -d 192.168.1.102 -p tcp -m tcp --dport 8022 -j DNAT --to-destination 192.168.122.173:22

iptables -t nat -A POSTROUTING -s 192.168.122.0/255.255.255.0 -d 192.168.122.173 -p tcp -m tcp --dport 22 -j SNAT --to-source 192.168.122.1

clip_image013

注意这两条IPtables规则:

第一条规则很好理解,就是把所有访问192.168.1.102:8022的请求转发到192.168.122.173:22的端口上。

第二条规则我的理解是,把所有来自192.168.122.0/255.255.255.0网段访问192.168.122.173:22的数据全部通过192.168.122.1这个网关转发出去。

现在我们来实际效果,如下:

ifconfig eth0|grep “inet addr”|awk ‘{print $2}’|cut -d: -f2

ssh -p 8022 root@192.168.1.102

clip_image014

通过上图我们可以看出,我们通过192.168.1.213这台服务器使用ssh通过8022端口登录到IP为192.168.122.173的VM。

很明显这个已经达到我们的要求。

在这只是一个例子,其实我们也完全可以在VM192.168.122.173上搭建一个web,然后通过KVM的IPtables端口转发下,公网就可以访问了。下面再来个例子,如下:

iptables -t nat -A PREROUTING -d 192.168.1.102 -p tcp -m tcp --dport 8023 -j DNAT --to-destination 192.168.122.173:80

iptables -t nat -A POSTROUTING -s 192.168.122.0/255.255.255.0 -d 192.168.122.173 -p tcp -m tcp --dport 80 -j SNAT --to-source 192.168.122.1

clip_image015

clip_image016

clip_image017

以上这个例子是通过192.168.102:8023访问VM92.168.122.173的web服务器。

为了在下次重启KVM服务器后,这些IPtables规则继续使用。我们要把这些规则保存下,使用如下命令:

/etc/init.d/iptables save

more /etc/sysconfig/iptables

clip_image001[4]

至此我们有关KVM的NAT方式网络连接以及为VM配置IPtables端口讲解完毕。

posted @ 2018-06-07 08:40 河谈 阅读(...) 评论(...) 编辑 收藏