Проброс портов из-под NAT в KVM

А с адреса 192.168.1.2 ты на нее как заходил? 192.168.100:$GUESTSSHPORT ? где $VIRTSSHPORT == $PORT1

   На роутере говорим следующие команды(от рута)

        # iptables -t nat -A PREROUTING -p tcp -d $EXT_R_IP --dport $PORT1 -j DNAT --to-destination $LOCAL_IP:$PORT2
        # iptables -A FORWARD -i eth0 -d $LOCAL_IP -p tcp --dport $PORT2 -j ACCEPT

https://www.opennet.ru/base/net/nat_redirect.txt.html

Первая ссылка в гугле. Хз как ты там гуглил.

Если ты стучал на 192.168.122.5 с машины 192.168.1.2, то убедись что у тебя на ней маршрут до 192.168.122.5 есть. Ну и ты про нат говоришь, значит это решение не для тебя будет.

Ну вот пытаюсь пробросить SSH порт виртуальной машины (22-й) на сервер в качестве 2201-го порта. Для чего вввел

iptables -t nat -A PREROUTING -p tcp -d 192.168.1.100 --dport 2201 -j DNAT --to-destination 192.168.122.5:22
iptables -A FORWARD -i eth0 -d 192.168.122.5 -p tcp --dport 22 -j ACCEPT

ssh -p 2201 192.168.1.100

eth0

Точно правильный интерфейс?

а включить поддержку установленных соединений

Не получается. Пишет «connection refused».

Потому что цепочка FORWARD зарезана.
Нужно вставить разрешающее правило или удалить запрещающие.
Причём именно вставить, а не добавить.
И подозреваю, что вам придётся это делать после каждого запуска виртуалки.
Для libvirt задача решается hook-скриптами.

Кажется, нашел решение. Вот рабочий мануал. Он правда не без недостатка, действует только для одной виртуальной машины, но у меня вряд ли будет больше одной виртуальной машины.

Не понял. А куда прописывать порты? А IP-адреса сервера и виртуалки разве не нужны?

а сетевой мост не проще было сделать? чтот я не врубаюсь в смысл всего этого

Это рабочая болванка с одного из моих серваков.
Допишите нужные вам правила во второй скрипт и переименуйте его по имени виртуалки.

а сетевой мост не проще было сделать?

Да, если есть возможность избавиться от NAT, имеет смысл ей воспользоваться.

он мне добавил подсеть с адресами 192.168.122.x.

ну ты сказочный петросян, создал дефолтный интерфейс для виртуалки, который поднял виртуальную изолированную сеть и пытаешься это разрулить иптаблсом.

повесь виртуалку на мост привязанный к физическому адаптору связанному с твоей локалкой

iptables -t nat -A PREROUTING -p tcp -d 192.168.1.100 --dport 2201 -j DNAT --to-destination 192.168.122.5:22

натом локальные сети не спаривают, для этого есть роутинг, нат подменяет адреса для скрещивания локалок с инетом

молодца, я чет сразу в эту шизу не въехал, а ТС просто забил на чтение манов

А куда я дену 192.168.1.100, который сейчас висит на этом физическом адаптере?

отдашь его интерфейсу моста

auto br0
iface br0 inet static
bridge_ports eth0
bridge_stp off
bridge_maxwait 5
        address 192.168.1.139
        netmask 255.255.255.0
        gateway 192.168.1.1
        dns-nameservers 192.168.1.1

А куда я дену 192.168.1.100, который сейчас висит на этом физическом адаптере?

Локалка переедет на мост, виртуалка прицепится к этому же мосту.
И тогда 192.168.122.0/24 можно выпилить.

Т.е мой сервер станет еще и роутером для локалки? И адреса по DHCP в пределах локалки тоже будет раздавать сервер вместо роутера, который на 192.168.1.1 ?

Нет, сервер не будет ничего роутить и раздавать.
Мост выступает в роли коммутатора канального уровня.

капец, открой https://docs.fedoraproject.org/en-US/Fedora/23/html/Networking_Guide/index.html и читай.

ой сервер станет еще и роутером для локалки? И адреса по DHCP

жесть какое модемно-коробочное мышление, какая связь между динамической раздачей адресов, роутингом, мостом и виртуалкой

...Смешались в кучу кони, люди и залпы тысячи орудий ))))

Вы, чего, и пальцы за меня загибать будете? ))))

Ух ты, на меня ссылаются :)

Как грамотно пробросить порты KVM ? (комментарий)

Но в данном случае да, лучше всё-таки мост.

IMHO:

1. Должен быть РАЗРЕШЕН форвардинг пакетов в sysctl:

echo 1 > /proc/sys/net/ipv4/ip_forward

ну или соответствующая строчка в /etc/sysctl.conf Скорее всего, проблема именно в этом (в CentOS6, например, ip_forward под дефолту ЗАПРЕЩЕН)

2. Все тебе тут понаписанные правила FORWARD удали и дай по бошкам горе-советчикам:

:FORWARD ACCEPT [0:0]

У тебя FORWARD итак разрешен по дефолту.

3. Возможно, проблема в том, что «обратка» идет по MASQUERADE, а не SNAT. Я бы попробовал этот кусок переписать так:

iptables -t nat -I PREROUTING -s 192.168.1.0/24 -d 192.168.1.100 -p tcp --dport 2201 -j DNAT --to-destination 192.168.122.5:22

iptables -t nat -I POSTROUTING -s 192.168.1.0/24 -d 192.168.122.5 -p tcp --dport 22 -j SNAT --to-source {IP-гипервизора-в-сети-192.168.122.0/24}

Может, ему DMZ организовать надо, тогда никаких мостов и роутинга. Только DNAT+SNAT родненькие! :)

Когда мне такое понадобилось, я это сделал по-быстрому через xinetd, он простой как грабли. Ибо копание в iptables ниасилил искренне ненавижу.

Судя по оппосту, ТСу нужен мост, а он просто про него не знал.

IMHO, лучше делать DMZ :)

Есть локальная сеть, есть в ней сервер под управлением Ubuntu 16.04

Да, забыл спросить. Как там в будущем? :)

Мост объективно предпочтительнее любых натов, если нужно обеспечить взаимодействие виртуалок с локалкой.

Это как сказать. Кул-хацкеры и в локалках водятся.

А если опыта нету вот даже с iptables разобраться и позакрывать всё опасное... то DMZ - не самое худшее решение.