現在、nftablesを使用してLXCコンテナにインターネットアクセスを提供しようとしていますが、正しく機能していないようです。
設定は次のとおりです。ホストにはWANインターフェイス（enp1s0）とブリッジ（lxcbrd）があります。 lxc-netを使用する代わりに、次のように直接ブリッジを作成しました。
allow-hotplug enp1s0
iface enp1s0 inet dhcp
auto lxcbrd
iface lxcbrd inet static
bridge_ports none
bridge_fd 0
bridge_maxwait 0
address 10.0.0.254
netmask 255.255.255.0
LXCコンテナはlxcbrdを使用するように設定されています。
lxc.network.type = veth
lxc.network.link = lxcbrd
lxc.network.ipv4 = 10.0.0.1/24
lxc.network.flags = up
lxc.network.hwaddr = 00:16:3e:98:34:26
lxc.network.ipv4.gateway = auto
...ある程度成功したようです。
2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000
link/ether [REDACTED] brd ff:ff:ff:ff:ff:ff
inet [REDACTED] brd [REDACTED] scope global enp1s0
valid_lft forever preferred_lft forever
inet6 [REDACTED] scope link
valid_lft forever preferred_lft forever
3: lxcbrd: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
link/ether fe:5f:9a:9b:75:a4 brd ff:ff:ff:ff:ff:ff
inet 10.0.0.254/24 brd 10.0.0.255 scope global lxcbrd
valid_lft forever preferred_lft forever
inet6 fe80::6414:77ff:fe2d:6699/64 scope link
valid_lft forever preferred_lft forever
5: vethPPYOVI@if4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master lxcbrd state UP group default qlen 1000
link/ether fe:5f:9a:9b:75:a4 brd ff:ff:ff:ff:ff:ff link-netnsid 0
inet6 fe80::fc5f:9aff:fe9b:75a4/64 scope link
valid_lft forever preferred_lft forever
ホストでは、nftables は nat で構成されて渡されます。
table ip nat {
chain prerouting {
type nat hook prerouting priority 0; policy accept;
}
chain postrouting {
type nat hook postrouting priority 0; policy accept;
oifname "enp1s0" masquerade
}
}
table inet filter {
chain input {
type filter hook input priority 0; policy drop;
ct state { established, related} accept comment "accept all traffic originated from us"
ct state invalid drop comment "drop invalid packets"
iif "lo" accept comment "accept all loopback traffic"
icmp type { router-advertisement, destination-unreachable, parameter-problem, time-exceeded} accept comment "ICMP"
icmpv6 type { nd-neighbor-solicit, time-exceeded, destination-unreachable, packet-too-big, nd-neighbor-advert, parameter-problem, nd-router-advert} accept comment "ICMPv6"
tcp dport 2222 ct state new accept comment "ssh"
udp dport 60000-61000 ct state new accept comment "mosh"
}
chain forward {
type filter hook forward priority 0; policy accept;
iifname "lxcbrd" oifname "enp1s0" accept
iifname "enp1s0" oifname "lxcbrd" accept
}
chain output {
type filter hook output priority 0; policy accept;
}
}
コンテナ内で：
6: eth0@if7: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
link/ether 00:16:3e:98:34:26 brd ff:ff:ff:ff:ff:ff link-netnsid 0
inet 10.0.0.1/24 brd 10.0.0.255 scope global eth0
valid_lft forever preferred_lft forever
inet6 fe80::216:3eff:fe98:3426/64 scope link
valid_lft forever preferred_lft forever
ただし、コンテナ内ではインターネットにアクセスできません。ホストは問題なくコンテナをpingできます。
更新：この設定では、ゲートウェイ（10.0.0.254など）をpingできませんが、同じサブネット（10.0.0.0/24）にある別のコンテナをpingできます。 nftablesチェーンinetフィルタ入力をポリシー承認に設定すると、ゲートウェイをpingできますが、すべてのicmpトラフィックを許可する必要があるという規則がある場合、サブネット外のIPはpingできません。理由は不明です。このように動作します。
アップデート2：以降echo 1 > /proc/sys/net/ipv4/ip_forward（この設定があると確信していましたが/etc/sysctl.conf…明らかにそうではありません）、WAN IP（8.8.8.8など）をpingし、Google DNSサーバーを/ etc / .confに手動で追加した後、DNSを確認できました。 。ただし、nftablesチェーンinetフィルタ入力がポリシー削除に設定されている場合、ゲートウェイ（ブリッジインターフェイスアドレス（10.0.0.254））に対してpingを実行できません。
私の構成で深刻な問題を発見した人はいますか？
助けてくれてありがとう！