Dotaz: VLAN + KVM + SSH problém

[Lukáš]

Dobrý den,

mám nakonfigurované 2 VLANy eth0.100 a eth0.200 na od nich 2 bridge br0 a br1.

Br0 používám v KVM na bridgeování VM.

Pokud jsem SSH nalogovaný v KVM hostovi, můžu pingovat VM posazené na br0. Nemůžu se na ně ale SSH nalogovat. Přitom pokud udělám VM s totožnými parametry, ale dám ho do stejného subnetu jako KVM host, tak se na něj bez problémů SSH naloguju.

Prosím o radu jak to zprovoznit. Přivítám i kritické komentáře.

Posílám /etc/network/interfaces z KVM hosta (Ubuntu 12.04.1):

# The loopback network interface auto lo iface lo inet loopback

# The primary network interface auto eth0 eth0.100 eth0.200 br0 br1

iface eth0 inet static address 10.0.20.1 netmask 255.255.0.0 network 10.0.0.0 broadcast 10.0.255.255 dns-nameservers 8.8.8.8 8.8.4.4 gateway 10.0.0.1

iface eth.100 inet manual vlan_raw_device eth0

iface br0 inet static address 10.10.100.1 network 10.10.100.0 netmask 255.255.255.0 broadcast 10.10.100.255 bridge_ports eth0.100 bridge_stp off bridge_fd 9 bridge_hello 2 bridge_maxage 12

iface eth.200 inet manual vlan_raw_device eth0

iface br1 inet static address 10.10.200.1 network 10.10.200.0 netmask 255.255.255.0 broadcast 10.10.200.255 gateway 10.10.200.1 bridge_ports eth0.200 bridge_stp off bridge_fd 9 bridge_hello 2 bridge_maxage 12

Odpovědi

[Lazar]

Nemůže jít o omezení na úrovni samotného SSH serveru, není v konfiguraci povolen přístup jen v vlastní IP sítě?

[Lukáš]

To asi ne, jde o default nastavení po instalaci VM, pokud mám tu VM na stejném subnetu jako hosta, tak se tam přes SSH dostanu i přes WAN a port forwarding z GW a v logu mám, že jsem se tam koukal z venkovní IP. Takže default nastavení je, že to žere všecho.

[Vantomas]

Zkontroloval bych firewall, jak iptables, tak ebtables na hostu. Na Fedoře mám ten samý problém, kdy se z hosta nemůžu dostat na ssh ve virtuálu, ale ping normálně projde. Při pokusu připojit se na ssh mi klient okamžitě napíše, že se nelze připojit, žádné timeouty ani nic podobného, tedy se posílá nějaký ICMP paket o nedostupnosti zařízení. Po vypnutí firewallu začne okamžitě vše fungovat. Co je příčinou jsem zatím nezjišťoval, popravdě mě to netrápí a nepotřebuji to zas tak často, abych to nějak řešil.

[Lukáš]

Je to testovací konfigurace. FW není, IP tables na hostu nastavení po instalaci KVM, podívám se na etables. Viděl bych to na dílo KVM, ten si tam vytváří nějaké bridge a iptables pravidla a ani se pořádně nepochlubí a člověk aby to pak složitě dohledával.

[Michal Kubeček]

Hm, "nemůžu se nalogovat", to není zrovna moc konkrétní popis problému. Zkusil jste spustit tcpdump na jedné i na druhé straně? Podaří se navázat TCP spojení? Pokud ne, na kterém paketu to selže a kam až se dostane? Pokud ano, co vám řekne "ssh -v", případně sshd spuštěný s přepínačem "-d"?

[Lukáš]

Tcpdump jsem nezkoušel, VM na jiném subnetu normálně pingnu, ale jakmile se pokouším o SSH spojení, tak mi to píše connection refused.

[Michal Kubeček]

To jste ale v podstatě jen zopakoval to, co jste napsal předtím. Uvědomte si, že bez pořádné diagnostiky se síťové problémy řeší hodně těžko.

[Lukáš]

Díky za poučení, budu důslednější. Pošlu log.