服务器 Gind.cn
  1. 服务器 Gind.cn
  3. 如何保护桥br0接口？
Intereting Posts
后缀发送邮件为root @ example而不是[email protected] 未findenable-secure-admin 你如何运行一个PHP脚本作为文件的所有者，而不是Web服务器用户？ 为什么'索引'不符合这个重写规则？ Linux-on-Linux KVM：我应该使用哪个文件系统作为guest和host？ 如何redirect到不同的url？ 绑定DNS速率限制和每秒响应和窗口的值 将大量文件存储在文件系统中？ 如何使用Postfix临时暂停向特定域（非本地）发送邮件？ 应该在哪里存储SSH密钥文件以符合FHS要求？ 如何检测Windows中的文件夹中是否添加了任何文件？ 如何使用SSH运行脚本 将Linux中的默认网关stream量redirect到文件 504 HTTPS上的网关超时，但不是HTTP 透明地在一个地址上提供多个Web应用程序

如何保护桥br0接口？

我有一台Ubuntu服务器，充当KVM主机，一些虚拟机暴露在networking下运行。

虚拟机拥有自己的iptables规则，并通过主机上的直接网桥br0联网。

我的问题是，我应该如何在主机上的iptables中处理这个桥梁。 我是否认为它是自己的设备，并保护它，因为我会任何接口？ 有什么我应该知道的，如果我阻止主机上的stream量，可能会阻止客人的stream量？ 或者也许写我的规则到原始的接口eno1？

我的设置看起来像这样：（virbr0不被任何虚拟机使用，vmnet0是一个正在运行的guest虚拟机的networking） 

br0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500 inet xxx.HOSTIP.xxx netmask 255.255.255.0 broadcast 62.210.172.255 inet6 fe80::d6ae:52ff:fece:993a prefixlen 64 scopeid 0x20<link> inet6 xxx:HOSTIPv6::xxx prefixlen xx scopeid 0x0<global> ether d4:ae:52:ce:99:3a txqueuelen 1000 (Ethernet) RX packets 753413 bytes 59239171 (59.2 MB) RX errors 0 dropped 51 overruns 0 frame 0 TX packets 115967 bytes 17911763 (17.9 MB) TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0 eno1: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500 ether d4:ae:52:ce:99:3a txqueuelen 1000 (Ethernet) RX packets 993041 bytes 303457181 (303.4 MB) RX errors 0 dropped 599 overruns 0 frame 0 TX packets 151299 bytes 22226710 (22.2 MB) TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0 lo: flags=73<UP,LOOPBACK,RUNNING> mtu 65536 inet 127.0.0.1 netmask 255.0.0.0 inet6 ::1 prefixlen 128 scopeid 0x10<host> loop txqueuelen 1000 (Local Loopback) RX packets 182799 bytes 19199389 (19.1 MB) RX errors 0 dropped 0 overruns 0 frame 0 TX packets 182799 bytes 19199389 (19.1 MB) TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0 virbr0: flags=4099<UP,BROADCAST,MULTICAST> mtu 1500 inet 192.168.122.1 netmask 255.255.255.0 broadcast 192.168.122.255 ether 52:54:00:3c:92:cf txqueuelen 1000 (Ethernet) RX packets 0 bytes 0 (0.0 B) RX errors 0 dropped 0 overruns 0 frame 0 TX packets 0 bytes 0 (0.0 B) TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0 vnet0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500 inet6 fe80::fc54:ff:fe00:825e prefixlen 64 scopeid 0x20<link> ether fe:54:00:00:82:5e txqueuelen 1000 (Ethernet) RX packets 25390 bytes 2725539 (2.7 MB) RX errors 0 dropped 0 overruns 0 frame 0 TX packets 683484 bytes 266619773 (266.6 MB) TX errors 0 dropped 16075 overruns 0 carrier 0 collisions 0

这主要是你相信你的客户系统的问题。 只要你不把FORWARD表超出了基础，不pipe你做什么路由，你都应该在常规界面上合理地做任何事情。 在大多数情况下，像其他人一样locking界面通常是一个好主意，然后根据需要添加exception（理想情况下logging每个exception），但如果您完全信任您的客户系统，则不会locking它下。