Transfert de ports vers des invités dans libvirt / KVM

Il existe un moyen de configurer la redirection de port à la volée lorsque l'invité utilise le réseau en mode utilisateur, j'en ai parlé ici :

http://blog.adamspiers.org/2012/01/23/port-redirection-from-kvm-host-to-guest/

Vous pouvez voir les détails là-bas, mais pour plus de commodité, voici la solution que j'ai trouvée :

virsh qemu-monitor-command --hmp sles11 'hostfwd_add ::2222-:22'

Cette commande en une ligne est beaucoup plus simple que les autres réponses, mais ne fonctionne que dans certains scénarios (pile réseau en mode utilisateur).

Une manière plus "officielle"[1] de faire cela est de créer un script hook comme décrit sur le site web de libvirt :

http://wiki.libvirt.org/page/Networking#Forwarding_Incoming_Connections

... en gros, ce script sera invoqué lorsque qu'un invité KVM est démarré. Le script lui-même ajoutera les règles iptables appropriées (similaire à la réponse d'Isaac Sutherland ci-dessus) avec l'état de connexion 'NEW' correctement ajouté. Notez que vous devez modifier le script avec les valeurs correctes pour vos hôtes et ports.

[1] bien que la documentation de libvirt elle-même dise que c'est un peu un bidouillage, allez savoir

La seule façon de faire un transfert de port en utilisant KVM (libvirt) avec le "réseau par défaut" (virbr0) est d'utiliser le hack/contournement informé par @Antony Nguyen. Ou plus simplement, vous pouvez utiliser libvirt-hook-qemu.

Ce fil de discussion contient une explication complète de la façon de résoudre ce problème pour CentOS 7 (et certainement pour d'autres distributions) en utilisant libvirt-hook-qemu : https://superuser.com/a/1475915/195840.

Sur Ubuntu 20.04, j'ai créé le script suivant, qui est enregistré sous /etc/libvirt/hooks/allow-portfw (chmod +x):

#!/bin/bash

CHAIN=LIBVIRT_FWI
IPTCMD="iptables -L $CHAIN -vn"
FILTERCMD="grep -v -e Chain -e pkts -e reject-with -e DNAT"

while $IPTCMD | grep ESTABLISHED | grep -v DNAT >/dev/null
do
    IF=$($IPTCMD | $FILTERCMD | awk '{print $7}' | head -n1)
    NET=$($IPTCMD | $FILTERCMD | awk '{print $9}' | head -n1)
    iptables -D $CHAIN -o $IF -d $NET -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
    iptables -I $CHAIN 1 -o $IF -d $NET -m conntrack --ctstate DNAT,RELATED,ESTABLISHED -j ACCEPT
done

La situation initiale est que nous manquons NOUVEAU entre le drapeau DNAT pour la chaîne FORWARDING, qui est créée automatiquement.

sudo iptables -L LIBVIRT_FWI -vn
Chain LIBVIRT_FWI (1 references)
 pkts bytes target     prot opt in     out     source               destination         
1741K 2661M ACCEPT     all  --  *      virbr0  0.0.0.0/0            192.168.122.0/24     ctstate RELATED,ESTABLISHED
   38  1972 REJECT     all  --  *      virbr0  0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable

Mon script ajoute le drapeau DNAT à toutes les définitions.

De cette façon, j'ai simplement ajouté la redirection de port dans iptables avec

iptables -A PREROUTING -i mylanIF -p tcp --dport 3389 -j DNAT --to-destination 192.168.122.110:3389

Vous pouvez utiliser les packages iptables-persistent pour sauvegarder cet état (mais bien sûr, vous devez exclure les chaînes libvirt du dump)

Ou utilisez ufw ou tout autre script de pare-feu pour cela.

Mon script est basé sur les résultats de cette adresse https://www.cyberciti.biz/faq/kvm-forward-ports-to-guests-vm-with-ufw-on-linux/