Dotaz: limitacia virtualbox guesta host firewallom

[steve_balmer]

Zdravim

Mam virtualbox, v nom guest WindowsXP s priemyselnym sw na obsluhu zariadenia a chcem obmedzit guesta na komunikaciu s jedinou IP zariadenia, jedineho portu... lebo bezpecnost. Distibucia je aktualna Fedora.

A asi neviem spravne googlit, ale vsetky vysledky sa obmedzuju len na vysvetlovanie rozdielov v networkingu a linku sem https://www.virtualbox.org/manual/ch06.html Je mi jedno ako bude guest WindowsXP pripojeny do siete, NAT/bridge..

Predpokladam, ze nejako ten packet lezie z virtualboxu do sietoveho stacku Linuxu, ale nenasiel som ziadny priklad, ktory by ukazoval na nejake virtualne zariadenie, alebo obmedzoval nejaky proces "vb_network_card".

ip link show aj tcpdump -D ukazuju standardne zariadenia, nic s virtualboxom.

Nejake nakopnutie?

Odpovědi

[X]

limitacia virtualbox guesta host firewallom

[Max]

Když dáš síť do bridge, tak nemůžeš použít iptables, jelikož bridge funguje na L2. Musíš použít ebtables, nebo si povolit filtrování bridge přes iptables. Tj. toto mi třeba funguje s kvm, kde mám VM v bridge:

# povolíme filtrování bridge přes iptables
modprobe br_netfilter
echo 1 > /proc/sys/net/bridge/bridge-nf-call-iptables

# nastavíme v rámci iptables forwarde pravidlo (192.168.1.1 = WinXP):
iptables -A FORWARD -p tcp -m multiport --dports 80,443 -s 192.168.1.1 -d 8.8.8.8 -j DROP

Předpokládám, že Virtualbox bude v bridge fungovat shodně.
Zdar Max

[vencour]

Kdybych tak znal celé zapojení ...
Lze mít bridge bez IP adresy v hostitelském stroji (hypervizoru) a host bude mít adresu ve vlan s tím železem které má spravovat. Přístup třeba přes vnc.
Hostitel by měl mít aspoň dvě fyzické síťovky nebo trunk.