공용 네트워크 인터페이스(eth0)가 있는 Ubuntu 18.04 서버가 있습니다. 제가 설정한 NAT 규칙을 통해 인터넷에 액세스할 수 있는 추가 "가상" 네트워크 인터페이스를 만들려고 합니다.
다음 명령을 사용하여 가상 인터페이스를 만들었습니다.
ip link add type veth
ifconfig veth0 192.168.1.1
내 ifconfig의 결과는 다음과 같습니다.
eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
inet 10.0.0.1 netmask 255.255.255.0 broadcast 10.0.0.255
ether f2:3c:92:1f:2a:62 txqueuelen 1000 (Ethernet)
RX packets 85664 bytes 111561237 (111.5 MB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 15392 bytes 2229468 (2.2 MB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
lo: flags=73<UP,LOOPBACK,RUNNING> mtu 65536
inet 127.0.0.1 netmask 255.0.0.0
loop txqueuelen 1000 (Local Loopback)
RX packets 1385 bytes 213213 (213.2 KB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 1385 bytes 213213 (213.2 KB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
veth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
inet 192.168.1.1 netmask 255.255.255.0 broadcast 192.168.1.255
ether a6:e7:de:40:9a:28 txqueuelen 1000 (Ethernet)
RX packets 27 bytes 2082 (2.0 KB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 1132 bytes 48520 (48.5 KB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
"/proc/sys/net/ipv4/ip_forward"를 1로 설정했습니다.
$ cat /proc/sys/net/ipv4/ip_forward
1
또한 많은 iptables MASQUERADE, FORWARD 및 NAT 규칙을 시도했지만 veth0에서 인터넷에 액세스할 수 없습니다.
veth0 인터페이스에서 192.168.1.1에 ping을 실행하면 모든 것이 잘 작동합니다.
$ ping -I veth0 192.168.1.1
PING 192.168.1.1 (192.168.1.1) from 192.168.1.1 veth0: 56(84) bytes of data.
64 bytes from 192.168.1.1: icmp_seq=1 ttl=64 time=0.029 ms
64 bytes from 192.168.1.1: icmp_seq=2 ttl=64 time=0.046 ms
64 bytes from 192.168.1.1: icmp_seq=3 ttl=64 time=0.085 ms
64 bytes from 192.168.1.1: icmp_seq=4 ttl=64 time=0.062 ms
64 bytes from 192.168.1.1: icmp_seq=5 ttl=64 time=0.061 ms
--- 192.168.1.1 ping statistics ---
5 packets transmitted, 5 received, 0% packet loss, time 4097ms
rtt min/avg/max/mdev = 0.029/0.056/0.085/0.020 ms
그러나 veth0에서 eth0 인터페이스 IP 주소로 ping을 시도하면 응답이 없습니다.
$ ping -I veth0 10.0.0.1
PING 10.0.0.1 (10.0.0.1) from 192.168.1.1 veth0: 56(84) bytes of data.
--- 10.0.0.1 ping statistics ---
39 packets transmitted, 0 received, 100% packet loss, time 38900ms
내 경로 명령의 출력은 다음과 같습니다.
Destination Gateway Genmask Flags Metric Ref Use Iface
default gw-li832.linode 0.0.0.0 UG 0 0 0 eth0
xx.xx.xx.xx 0.0.0.0 255.255.255.0 U 0 0 0 eth0
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 veth0
내가 뭘 잘못하고 있는지 알 수 없는 것 같습니다. 도움을 주시면 대단히 감사하겠습니다.
답변1
@StefanSkoglund의 답변이 이 문제를 해결하기 위한 올바른 방향을 제시했기 때문에 수락했지만, 이 답변이 유용하다고 생각하는 다른 사람을 위해 아래에 완전한 솔루션을 게시하고 싶었습니다.
그들은 나를 돕기 위해 다음 가이드를 사용했습니다.
https://josephmuia.ca/2018-05-16-net-namespaces-veth-nat/
기본적으로 두 개의 veth 인터페이스 쌍을 생성하고 그 중 하나를 새 네트워크 네임스페이스에 연결해야 했습니다. 다음 명령을 사용하면 됩니다.
먼저 다음 명령을 사용하여 IP 전달을 활성화했습니다.
echo 1 > /proc/sys/net/ipv4/ip_forward
그런 다음 새 네트워크 네임스페이스(netns0)를 만들고 여기에 새 루프백 어댑터를 연결했습니다. 이 단계가 없으면 작동하지 않습니다.
ip netns add netns0
ip netns exec netns0 ip link set lo up
그런 다음 두 개의 veth 쌍을 만들었습니다. 기본적으로 이더넷 회선의 두 끝 역할을 합니다. 한쪽 끝은 기본 네트워크에 있고 다른 쪽 끝은 네트워크 네임스페이스에 연결됩니다.
ip link add veth0a type veth peer name veth0b
ip link set veth0b netns netns0
그런 다음 쌍의 각 인터페이스에 대한 IP 주소를 설정하고 활성화합니다.
ip addr add 192.168.0.1/24 dev veth0a
ip netns exec netns0 ip addr add 192.168.0.2/24 dev veth0b
ip link set veth0a up
ip netns exec netns0 ip link set veth0b up
다음 iptable 규칙은 전달 및 Nating을 활성화합니다.
iptables -A FORWARD -o eth0 -i veth0a -j ACCEPT
iptables -A FORWARD -i eth0 -o veth0a -j ACCEPT
iptables -t nat -A POSTROUTING -s 192.168.0.2/24 -o eth0 -j MASQUERADE
다음 명령은 네임스페이스의 기본 경로를 설정합니다. 이는 메인 네트워크와 통신하는 데 필수적입니다.
ip netns exec netns0 ip route add default via 192.168.0.1
마지막으로 DNS 서버를 사용하여 네임스페이스별 resolv.conf 파일을 만들었습니다. 이는 네트워크 네임스페이스의 도메인 이름 확인에 매우 중요합니다.
mkdir -p /etc/netns/netns0
echo "nameserver 1.1.1.1" > /etc/netns/netns0/resolv.conf
다음 단계를 수행하면 네트워크 네임스페이스를 사용하여 인터넷과 통신할 수 있습니다.
$ ip netns exec netns0 ping google.com
PING google.com (172.217.10.238) 56(84) bytes of data.
64 bytes from lga25s59-in-f14.1e100.net (172.217.10.238): icmp_seq=1 ttl=57 time=2.50 ms
64 bytes from lga25s59-in-f14.1e100.net (172.217.10.238): icmp_seq=2 ttl=57 time=1.44 ms
64 bytes from lga25s59-in-f14.1e100.net (172.217.10.238): icmp_seq=3 ttl=57 time=1.39 ms
--- google.com ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2003ms
rtt min/avg/max/mdev = 1.392/1.779/2.505/0.514 ms
"ip netns exec netns0 (COMMAND)"를 사용하면 이 네임스페이스를 사용하여 명령을 실행할 수 있습니다.
답변2
한 대의 컴퓨터를 가상 머신의 호스트로 사용하려는 경우 물리적 머신과 가상 머신을 양방향으로 액세스할 수 있기를 원하지만 iface가 하나만 있는 경우...
브리지를 사용해야 합니다(brctl 또는 NetworkManager:s nmcli를 사용하여 브리지를 생성할 수 있습니다.). macvtap 예제에서는 이를 변경합니다.
Linux의 네트워크 스택 설계로 인해 물리적 컴퓨터의 운영 체제는 가상 머신의 ARP 요청조차 볼 수 없습니다(가상 브리지를 통해 가상 머신과 호스트를 연결하지 않은 경우).
이 기사의 마지막 부분에서:https://wiki.archlinux.org/index.php/Network_bridge, 물리적 호스트와 머신의 가상 머신이 서로 액세스할 수 있었던 비결입니다.
또 다른 해결책은 라우터/방화벽의 헤어핀 규칙일 수 있습니다.
존재하다http://man7.org/linux/man-pages/man4/veth.4.html그들은 veth 장치에 대해 논의하므로 그들의 예에서는 veth 장치를 두 개의 이름을 가진 파이프로 취급합니다. 예제에서는 피어 이름을 추가하지 않았습니다.