CentOS libvirt - Проблема с virbr0 - не работает сеть, нет forward

cat /proc/sys/net/ipv4/ip_forward что говорит?

1

это в первую очередь проверил.

Тогда все-таки смотреть правила fw + расчехлять tcpdump

Это уже во вторую очередь. Отключил фаервол и начал смотреть tcpdump - пусто

У тебя виртуальная NAT-сеть 192.168.1.0/24, что ли?

Отключил фаервол

Как именно отключили? NAT точно настроен?

получаю по dhcp адрес.

Какие сетевые настройки у новой машины?

и начал смотреть tcpdump - пусто

Где именно? На хосте или на виртуальной машине? И на каких интерфейсах?

Состояние фаервола на filter & nat.

Настройки sudo firewall-cmd –list-all-zones.

Настройки virsh net-dump.

TCPDUMP показывает, что пакет возник на виртуальной машине с источником = адрес виртуальной машины, назначение = роутер. и больше этот пакет никуда не появляется

И какой адрес у роутера?

192.168.1.1

Создан по умолчанию virbr0

bridge name=‘virbr1’

Ммм?

Они в разных сетях, и маршрута до этого шлюза наверняка нет (и не надо). Виртуалка точно все параметры получает по DHCP? Шлюз не прописан руками?

Сори я его грохнул

@Zbert, болезный, ты совсем головой заскорбел? Тут был ответ про iptables, нахера его удалять было? Если всё так плохо с головой - сперва в ней порядок наводить надо, а потом уже за форумы браться.

s/Zbert/@Zhbert/

Для тестов вам достаточно.
1. Очистить все правила fw (не забыть про полиси в ACCEPT)
2. Добавить одно правило iptables -t nat -A POSTROUTING -j MASQUERADE

Далее.
Покажите
ip a
ip r s
как с хоста так и с виртуалки.

ОК. сейчас по новой создам как было и напишу результат

Потушил фаервол.

Создал новый интерфейс в libvirt.

Создал новую машину.

Создал новые правила filter, nat

Пинговал с виртуальной машины

И все-таки
Покажите
ip a
ip r s
как с хоста так и с виртуалки.

Гипервизор - ip a ls, ip r ls.

Виртуальная машина - ip a ls, ip r ls

Хм. Вроде всё верно. А tcpdump с виртуалки и хоста одновременно, причем у хоста для начала c -i any

я вот тоже вижу что все нормально. Может нужно какой либо модуль подгрузить или еще что сделать?

Так а tcpdump что говорит?

Кажется я понял в чем дело.

Вообщем я на этой машине еще и докер поднял - это тестовая машина - там возможно все и столкнулся с такой же проблемой.

Прочитал, что к snat-правилу нужно еще добавить правило разрешающее в INPUT цепочку. сделал и в докере все заработало.

теперь думаю надо еще раз подумать и понять как INPUT цепочка влияет на SNAT поавила.

ЯННП Какое разрешающее правило если у вас и так всё разрешено?

Вот нашел интересное. Оказывается, firewalld и libvirtd не общаются между собой при создание нового моста в libvirtd, firewalld не знает, что создан новый интерфейс и в какую именно зону ее отправить.

ЯННП второй раз. :) Это уже как таковой постфактум, но изначально же проводились тесты с полным ACCEPT. Или последний уже не соответствовал CentOS libvirt - Проблема с virbr0 - не работает сеть, нет forward (комментарий) ?

Не надо ставить докер там, где есть хоть что-то ещё. Он отлично работает в виртуальных машинах.