ProxMox, встроенный Firewall и NAT

топ 100 блогов klink0v08.01.2024

... Иногда "от нищеты" нет возможности организовать "отдельную" железку-маршрутизатор. Ну там жаба душит лишний юнит в серверном шкафу оплатить и всё вот это. Тогда приходится маршрутизировать на самих хост-машинах.

Вроде бы оно и не страшно. Но иногда "до кучи" хочется задействовать красивую встроенную веб-морду от iptables. И тогда начинаются разные чудеса.

Так, я передвинул одну из виртуалок с хоста на хост и обнаружил, что она потеряла доступ в интернеты. То есть снаружи на её веб-сервер вполне можно достучаться, а вот она сама за обновлениями, например, сходить больше не может.

Стал разбираться. Оказалось, не отрабатывает правило Source NAT в Iptables хост-машины. Притом, пока виртуалка жила на не-маршрутизирующем хосте, всё было ОК. А как только подвинул на маршрутизирующий — сломалось.

Оказывается, трассировщик соединений ядра (conntrack) с какого-то момента стал мультизональным. Это что-то типа namespace-ов, но только чисто для трассировщика. И когда включаешь Firewall средствами ProxMox-а прицельно для какой-то отдельно взятой виртуалки, её соединения начинают попадать в другую зону трассировщика. Не в ту, где обитает Source NAT. Поэтому последний и не отрабатывает.

Лечится примерно так.

iptables -t raw -I PREROUTING -i fwbr+ -j CT --zone 1

М-дя.

Оставить комментарий

Архив записей в блогах:
Сын (он постарше) попытался сбежать. Дочка отказывается выходить из комнаты, и заявила, что мама превратилась в чудовище. Муж старается придти с работы и слиться с пейзажем. ...
Все видео взяты с американского ресурса Ютуб Начинаю вечерний обзор новостей из Сирии: 1. Карта "котла" на стыке провинций Алеппо, Хама и Идлиб к вечеру 7 февраля 2018 года -- зеленый цвет чисто условный, так как джихадисты из "котла" давно ушли, и эта территория ранее контролировалась ...
...
Персонаж Шарабан-Мухлюева присутствует уже 3-й сезн «Трансгуманизма ИНК» и у меня только сейчас возникла мысль, что именно в нём ПВО является нам в своей реальной ипостаси. Особенно это торкает на эссе «Рыба», где бытиё Сознания описывается как бесконечная погоня за смысловыми обманками ...
Звонок от непосредственного начальника: - А вы в курсе, что у вас два человека собираются в декретный отпуск? - Два? - Ну, я думаю, вы знаете, кто… - Угу. Знаю, потому и удивляюсь вашей цифре. - Что? Кто еще собирается?! - Народ у нас способный, к любому ...