服务器 Gind.cn
  1. 服务器 Gind.cn
  3. 需要帮助在虚拟机运行主防火墙的物理主机和虚拟机之间configurationnetworking桥接器
Intereting Posts
我可以创build一个ZABBIX项目跟踪文件的CKSUM与一个稍微变化的文件名？ 提高Apache后面的Plone站点性能的最佳实践 Hyper-V虚拟机中的资源池共享 如何？ 部署SQL 2008备份以覆盖具有复制的数据库？ Augeas编辑选项（如果存在），否则添加 – 参考新创build的节点 子设备上的cgroup节stream阀不起作用 如何自动清除“dpkg -l |”报告的过去的pkgsconfiguration文件 grep ^ rc“ 未经授权的电子邮件使用谷歌应用程序注册域名发送 IPsec for Linux – strongSwan vs Openswan vs Libreswan vs其他（？） 在CentOS版本6.2（最终）的多个端口上运行SSHD Active Directory控制客户端超v权限 在IIS中更改日志文件位置是否需要重新启动网站？ 客户端正在请求什么是远程桌面的带宽要求 在服务器2008 R2中，如果我以pipe理员模式运行应用程序，subprocess仍处于相同模式下吗？ Virtualenv：在gentoo上安装python-ldap

需要帮助在虚拟机运行主防火墙的物理主机和虚拟机之间configurationnetworking桥接器

我已经阅读了无数关于如何configuration网桥的文章，而且它们都显得模棱两可或者不完整，或者只是显而易见的错误（使用192.168.xxconfiguration我的WAN端口以获得Internet连接？）。

我的情况：Ubuntu 16和KVM的安全性是通过Sophos UTM在虚拟机上运行的。 物理机有两个以太网端口，其中只有一个插入了电缆。

“当局”不同意是否必须有一个或两个物理以太网端口来build立桥梁。

我特别困惑的看似占优势的看法，说你只需要一个端口，并configuration它，使物理机（PM）和虚拟机（VM）共享一个IP地址。

在这种情况下防火墙是如何工作的？ 哪台机器接收到防火墙通过的任何内容？ 而不pipe答案是什么，不是一台机器就无法到达？ 或者两台机器都收到全部通过的数据包？

如果我有两个以太网端口并在LAN端口上设置网桥，我可以避免上述的混淆。 现在我有一个通向虚拟机的IP地址，另一个仍然指向下午。 防火墙现在不复杂，因为我有不同的目标IP地址。

但是，第二种情况下的帐户从不包含对防火墙或IP表的任何讨论。 但是我不需要在两个端口之间有规则转发stream量吗？ 我的电脑不是一个路由器（不是没有configuration）。 数据包进入一个端口不只是因为他们共享一个共同的底盘神奇地find通往第二个端口的方式吗？

我想正确的答案是WAN端口被分配一个公共IP。 局域网端口被桥接，并给予一个私人IP。 防火墙规则然后转发所有的stream量，除了SSH（所以我有办法远程进入PM仍然），从广域网到局域网端口。 然后，我在VM上configurationSophos来完成繁重的防火墙function。 局域网的其余部分连接在Sophos VM的下游。 我的IPtablesconfiguration命令的外观如何？

我花了好几个小时试图弄清楚自己。 帮帮我！

PS – 最后一个问题。 网桥是否获得公共或私人IP地址？ 我认为它需要有一个地址与虚拟机所在的网段相同。 在我的情况下，这意味着一个私人的IP地址。

您将其configuration为使物理机（PM）和虚拟机（VM）共享一个IP地址。

你不能共享一个IP，最有可能的是这个文件让你把一个IP NAT给VM /主机。 一个无用的场景来运行防火墙设备。

在这种情况下防火墙是如何工作的？ 哪台机器接收到防火墙通过的任何内容？ 而不pipe答案是什么，不是一台机器就无法到达？ 或者两台机器都收到全部通过的数据包？

不，我说你不能分享IP。 第一台机器将其MAC地址列在交换机caching中，另一台机器会在networking上检测到一个重复的IP地址，然后停在那里。 看到这样做的方式： 

When starting up, Windows performs a gratuitous ARP to detect any duplication with its own IP address. While this detects most cases of duplicate IP addresses, in a few situations two TCP/IP hosts (either Microsoft or non-Microsoft) on the same network can be configured for the same IP address. The MAC and IP address mapping is done by the ARP module, which uses the first ARP response it receives. Therefore, the impostor computer's reply sometimes comes back before the intended computer's reply.

参考

但是，第二种情况下的帐户从不包含对防火墙或IP表的任何讨论。 但是我不需要在两个端口之间有规则转发stream量吗？ 我的电脑不是一个路由器（不是没有configuration）。 数据包进入一个端口不只是因为他们共享一个共同的底盘神奇地find通往第二个端口的方式吗？

每个端口都是隔离的，除非是交换机。

PS – 最后一个问题。 网桥是否获得公共或私人IP地址？ 我认为它需要有一个地址与虚拟机所在的网段相同。 在我的情况下，这意味着一个私人的IP地址。

桥接了一个公共地址，但在你的路由器里面configuration好了。 大桥本身就在两者之间。 一个简单的graphics来显示一个ISP的网桥设置：

在这里输入图像说明

这种情况通常是ISP使用PPPoE的情况，该图中的第一个路由器从ISP主stream的服务器获取configuration，自动成为一个桥梁。

你也可以testing一下，如果你重置ISP路由器默认情况下没有连接ISP的链接，它将成为一个标准的路由器，通常使用192.168.1.1 IP。

您的设置中缺less的一点是您需要Sophos中的另一个网卡，与您的LAN进行通信，未使用的NIC将为此find用处。 在KVM中，我不知道你是如何设置你的端口的，但是在一个ESX中可以为你的局域网设置属性，所以Sophos和主机获得了不同的IP，但是当你把它插入开关。