kvm Windows Gast, welche IP in firewall filtern?

Hallo, ich habe einen Windows Gast in einer kvm/qemu Umgebung installiert und möchte den Gast vom Internet trennen. Funktioniert mit der im Gast angezeigten IP-Adresse nicht. Wo finde ich die zu filternde IP-Adresse? -- Gruß Dirk

Dirk Meier schrieb:
Wir wird denn qemu genau gestartet, also die genaue Kommandozeile wäre interessant, denn es gibt verschiedene Wege, die Netzwerk-Verbindung zwischen Client und Host in qemu zu realisieren. Und welche IP glaubt der Client zu haben? -- Manfred Härtel, DB3HM mailto:Manfred.Haertel@rz-online.de http://rz-home.de/mhaertel

Am 17.01.24 um 23:23 schrieb Dirk Meier:
Du hast Deine Büchse so konfiguriert, dass Deine VMs vom HOST ge- NAT'ed werden. Kann man mögen, muß muß man nicht. Deine VM treten nach extern also mit der IP des Hosts auf. Detail zu den Netzwerktypen unter libvirt: https://libvirt.org/formatnetwork.html#nat-based-network Und der Firewall Config https://libvirt.org/firewall.html Ich gebe meinen VMs üblicherweise eine richtige Bridge und filtere an der zentalen Firewall, bin hier also vermutlich keine Hilfe. Viele Grüße Ulf

Am Mittwoch, 17. Januar 2024, 23:42:32 CET schrieb Ulf Volmer:
Hallo Ulf, ganz im Gegenteil, du kannst genau die richtige Hilfe sein, da ich das genauso konfigurieren möchte. Da dies meine ersten Erfahrungen mit KVM/qemu nach dem Umstieg von Virtualbox sind, kann es sein, dass ich aus Vereinfachungsgründen bei der Installation etwas nicht berücksichtigt habe. Ich werde mich mal einlesen und mich wieder hier melden. Die IP des Hosts kann und will ich natürlich nicht sperren. -- Gruß Dirk

Am Mittwoch, 17. Jänner 2024, 18:12:12 CET schrieb Dirk Meier:
Hallo, wenn es reicht, die VM generell vom externen Netzwerk zu trennen, ist es wohl am einfachsten, sie in ein isoliertes Netzwerk zu setzen. Mit dem Host sollte sie dann noch kommunizieren können. Wenn sie aber mit dem Netzwerk außerhalb des Hosts kommunizieren können soll, nicht aber mit dem Internet, braucht es eine iptables Regel. Grüße Richard

Am Sonntag, 21. Jänner 2024, 12:33:20 CET schrieb Dirk Meier:
Dann ist die Bridge der richtige Weg, das umzusetzen, wie schon vorgeschlagen. So kann die VM auch eine IP von einem externen DHCP ziehen. Die Bridge muss erst in den System-Netzwerkeinstellungen erstellt werden. Ich verwende diese Konfiguration nur auf Servern und da verwende ich wicked, es sollte aber auch mit Network Manager umsetzbar sein. Grüße Richard

Am Sonntag, 21. Januar 2024, 22:04:48 CEST schrieb Richard Hafenscher:
Hallo, ich wärme den thread nochmal auf. Jetzt habe ich eine Bridge br0 eingerichtet, auf dem Host und in den VM Details bridge-device eingestellt und als Name br0 angegeben. Allerdings zeigt der VM-Manager für den Gast anstelle br0 virtbr0 an. Der Gast hat damit Zugriff auf das lokale Netz und auch auf das internet. Wenn der Gast ausgeschaltet ist, wird keine IP-Adresse angezeigt, wenn er läuft erhält er die IP-Adresse 192.168.122.108. Aber ich weiß nicht woher. Der DHCP-Server im Netz sollte diese Adresse eigentlich nicht kennen. Der VM-Host hat die IP-Adresse 192.168.1.10. Sieht das für euch okay aus? Was muss ich jetzt im Router einstellen, damit der Gast keinen Zugang zum Internet bekommt? -- Dirk

Am 8/17/24 um 5:04 PM schrieb Dirk Meier:
Die virbr0 ist mit sehr hoher Wahrscheinlichkeit die Bridge für das Default- Netz. Was NAT macht. Du möchtest also für Deine neune Bridge br0 auf Libvirt Seite ein Netz einrichen, welches diese Bridge verwendet. Einen Link hatt ich meiner Erinnerung nach weiter oben gepostet. Innerhalb dieser neuen Bridge kannst Du dann scahlten, wie Du magst, wenn die Bridge ein Beinchen zu Deinem normalen Netz hat, bekommt die VM Internet, wenn nicht dann nicht. Für isoloierte Netze setze ich dann ganz gern einen Proxy auf dem Host ein. HTH Ulf

Am Sonntag, 18. August 2024, 05:48:26 CEST schrieb Ulf Volmer:
Hallo Ulf, kannst Du den erwähnten link bitte nochmal posten. Wenn ich im virtman ein neues Netzwerk für die vm einrichten will, erhalte ich für die Typauswahl: NAT, Weitergeleitet, Open, Isoliert und SR-IOV pool. Außer NAT kann ich mit den Begriffen nichts anfangen. Weitergeleitet könnte ich mir für die br0 noch denken, habe aber keine Ahnung was sich tatsächlich dahinter verbirgt. Welche Angabe ist denn zutreffend. Und dann? Weiterleiten an physical device? /dev/br0? Amschließend kann ich IP4 aktivieren und eine Netzwerkadresse außerhalb meines physischen Netzwerks angeben. Und DHCP kann ich mit einem eingegrenzten Adressbereich aktivieren. Erhält die vm dann eine Adresse aus dem DHCP Pool vom virtman? Mit welcher Adresse taucht sie dann im physischen Netz auf und kommuniziert mit den anderen Geräten im Netz? Wenn ich deine Angaben richtig verstehe, dann bekommt die vm mit der Brücke eine Adresse über dhcp (vom virtm oder aus dem physischen Netz?). Wenn aus dem physichen Netz kann ich den Zugang zum Internet doch im Router über die IP der VM sperren. Welche Funktion hat dann noch der Proxy? -- Dirk

Am 8/21/24 um 5:54 PM schrieb Dirk Meier:
kannst Du den erwähnten link bitte nochmal posten.
https://libvirt.org/formatnetwork.html#using-an-existing-host-bridge https://wiki.libvirt.org/VirtualNetworking.html
Wenn Deine Bridge mit dem physischen Netz verbunden ist, bekommt sie eine Adresse von dem DHCP Server, der in diesem Netz aktiv ist. Wenn Deine Bridge **nicht** mit dem physischen Netz verbunden ist, mußt Du selber dafür sorgen, dass in dem Netz wahlweise ein DHCP vorhanden ist oder statische Adressen verwendet werden.
Welche Funktion hat dann noch der Proxy?
Der Proxy ist für den Fall 2. Viele Grüße Ulf

Dirk Meier schrieb:
Wir wird denn qemu genau gestartet, also die genaue Kommandozeile wäre interessant, denn es gibt verschiedene Wege, die Netzwerk-Verbindung zwischen Client und Host in qemu zu realisieren. Und welche IP glaubt der Client zu haben? -- Manfred Härtel, DB3HM mailto:Manfred.Haertel@rz-online.de http://rz-home.de/mhaertel

Am 17.01.24 um 23:23 schrieb Dirk Meier:
Du hast Deine Büchse so konfiguriert, dass Deine VMs vom HOST ge- NAT'ed werden. Kann man mögen, muß muß man nicht. Deine VM treten nach extern also mit der IP des Hosts auf. Detail zu den Netzwerktypen unter libvirt: https://libvirt.org/formatnetwork.html#nat-based-network Und der Firewall Config https://libvirt.org/firewall.html Ich gebe meinen VMs üblicherweise eine richtige Bridge und filtere an der zentalen Firewall, bin hier also vermutlich keine Hilfe. Viele Grüße Ulf

Am Mittwoch, 17. Januar 2024, 23:42:32 CET schrieb Ulf Volmer:
Hallo Ulf, ganz im Gegenteil, du kannst genau die richtige Hilfe sein, da ich das genauso konfigurieren möchte. Da dies meine ersten Erfahrungen mit KVM/qemu nach dem Umstieg von Virtualbox sind, kann es sein, dass ich aus Vereinfachungsgründen bei der Installation etwas nicht berücksichtigt habe. Ich werde mich mal einlesen und mich wieder hier melden. Die IP des Hosts kann und will ich natürlich nicht sperren. -- Gruß Dirk

Am Mittwoch, 17. Jänner 2024, 18:12:12 CET schrieb Dirk Meier:
Hallo, wenn es reicht, die VM generell vom externen Netzwerk zu trennen, ist es wohl am einfachsten, sie in ein isoliertes Netzwerk zu setzen. Mit dem Host sollte sie dann noch kommunizieren können. Wenn sie aber mit dem Netzwerk außerhalb des Hosts kommunizieren können soll, nicht aber mit dem Internet, braucht es eine iptables Regel. Grüße Richard
participants (4)
-
Dirk Meier
-
Manfred Haertel, DB3HM
-
Richard Hafenscher
-
Ulf Volmer