Nous avons mis en place un réseau IPv6 sur openvz à l'aide de périphériques Veth pontés. Le trafic IPv6 à destination et en provenance des VE fonctionne correctement.
ip6tables fonctionne sur le HN et iptables fonctionne sur le VE. À l'intérieur du VE, nous pouvons configurer des règles ip6tables sans aucun message d'erreur. Ils sont cependant complètement ignorés.
Quelles options de configuration supplémentaires sont nécessaires pour que ip6tables fonctionne?
ip6tables -I INPUT -j LOGet de voir si les paquets atteignent réellement les filtres. Si tel est le cas, essayez d'ajouter des lignes similaires dans les filtres (en particulier après toute baisse attendue) et voyez ce qui est consigné dans syslog.Réponses:
Semble que vous utilisez les conteneurs sous proxmox, non? Vous devriez ensuite vérifier à partir de l'interface graphique dans proxmox que les adresses networkd sont correctes et connues par PVE
Dans certains cas, pve empêche d'utiliser certains modules iptables, par exemple:
FATAL: Impossible de charger /lib/modules/4.15.18-1- pve / modules.dep: Aucun fichier ou répertoire de ce type
Remarque: Sur proxmox 5, les conteneurs OpenVZ seront convertis en LXC , cela pourrait introduire un certain biais
la source
Assurez-vous d'appliquer explicitement les règles à l'interface venet0.
la source
Les conteneurs OpenVZ héritent du noyau et des modules du nœud hôte. Pour cette raison, vous ne pouvez pas charger de nouveaux modules du noyau dans un conteneur OpenVZ / LXC. Je m'assurerais que le nœud hôte a le
ip6_tablesmodule du noyau soit compilé dans le noyau ou chargé en tant que module.Il s'agit d'un problème car OpenVZ est la paravirtualisation, ce qui signifie qu'il partage le même noyau avec le nœud hôte. Parce que vous partagez le même noyau que les autres conteneurs OpenVZ, vous ne pouvez pas charger de modules dans le noyau. Avec les machines virtuelles matérielles, vous pouvez exécuter votre propre noyau et pouvez ensuite charger / décharger les modules du noyau, ou compiler votre propre noyau à utiliser. La question liée ci-dessous couvre les différences plus en détail.
Quelle est la différence entre la virtualisation assistée complète, para et matérielle?
Malheureusement , quand vous avez seulement accès à l'environnement invité OpenVZ déterminer si le module iptables IPv6 est chargé peut être un peu dur comme
lsmod,/proc/moduleset/proc/config.gzsouvent n'existent pas à l' intérieur OpenVZ.Pour cette raison, vous devrez peut-être simplement contacter votre fournisseur car une personne disposant d'un accès root sur le nœud hôte devra charger ce module du noyau pour vous.
la source