libvirt guest: запретить смену IP

Используйте vlan, nat, доступ через виртуальный роутер.

Как-то так:

http://docs.cloudstack.apache.org/projects/cloudstack-administration/en/4.8/_...

Но Вы же просто перечислили кучку технологий и дали ссылку на картинку из cloudstack, это не помогает от слова совсем :( Cloudstack это программное решение где создаётся виртуальная машина через которую происходит NAT к прочим машинам (см. http://docs.cloudstack.apache.org/projects/cloudstack-administration/en/4.8/networking_and_traffic.html) - всё это динамически управляется Cloudstack. Правильно ли я понимаю, что Вы фактически мне предлагаете написать второй Cloudstack? Это то же самое, как если бы я спросил решение виртуализации и Вы бы предложили написать libvirt FACEPALM В любом случае спасибо за попытку :)

В действительности существует libvirt nwfilter и в частности CTRL_IP_LEARNING (см. https://libvirt.org/formatnwfilter.html), но у меня нет опыта использования этой штуки. Как это настроить для системных бриджей? Можно ли использовать без DHCP? Защитит ли это от IP/APR/DHCP (в случае с dhcp очевидно) spoofing? Оно работает как-то вроде IP Source Guard? Может есть какие-то другие аналоги, которые не подразумевают написания кода и дают аналогичные возможности из коробки? Так много вопросов :(

virsh shutdown VM
virsh edit VM

добавить в раздел

<interface type='network'> 

<filterref filter='clean-traffic'>
<parameter name='IP' value='192.168.1.1'/>
</filterref>

virsh start VM

До этого момента я использовал

<filterref filter='clean-traffic'>
  <parameter name='CTRL_IP_LEARNING' value='any'/>
</filterref>

Единственный изъян такого решения (в моём случае) - это то, что если внутри гостя сменить адрес и затем ребутнуть хост - произойдёт переобучение и адрес установленный вручную будет считаться валидным.

Ваш вариант защищает от таких случаев и подходит для меня больше, премного благодарен :)

P.S. В этих ваших интернетах бытует мнение, что лучше бы ещё указывать <parameter name='MAC' value='ТУТ_МАК_АДРЕС'/> но у меня он в параметрах интерфейса указан, так что я пренебрёг этим советом. Оставлю это тут, а то вдруг у кого чуть-чуть человекочасов хватать не будет для написания cloudstack, но проблему всё же решить нужно будет ^_^