KVMの仮想化ファイアウォール

KVM（CentOS7）を使用して仮想化されたいくつかの仮想マシン（ホームラップ）があり、ホームネットワークに接続されています。最近、それを別のネットワークに配置して分離しようとしましたが、これを達成するために他のVMと同じホストで仮想化されたpfsenseを使用したいと思います。

まず、virt-managerでラップホスト用の隔離されたネットワークを作成しました。

その後、2つのネットワークカードでvmを作成し、pfsenseをインストールしました。あるインターフェースのアドレスは192.168.1.100（ホームLAN）で、もう一方のインターフェースのアドレスは10.13.37.1（実験室ネットワーク）です。

pfsense xmlダンプ：

<interface type='direct'>
  <mac address='52:54:00:52:37:3f'/>
  <source dev='enp1s0' mode='bridge'/>
  <target dev='macvtap0'/>
  <model type='virtio'/>
  <alias name='net0'/>
  <address type='pci' domain='0x0000' bus='0x00' slot='0x03' function='0x0'/>
</interface>
<interface type='network'>
  <mac address='52:54:00:65:58:d6'/>
  <source network='lab' bridge='virbr1'/>
  <target dev='vnet1'/>
  <model type='virtio'/>
  <alias name='net1'/>
  <address type='pci' domain='0x0000' bus='0x00' slot='0x04' function='0x0'/>
</interface>

仮想マシン（テストサーバー）の1つを内部pfsenseネットワークに移動し、pfsense IPアドレスをゲートウェイに設定してインターネットに接続できることをテストしました。

テストサーバー（10.13.37.54）xmlダンプ：

<interface type='network'>
  <mac address='52:54:00:eb:ce:db'/>
  <source network='lab' bridge='virbr1'/>
  <target dev='vnet0'/>
  <model type='virtio'/>
  <alias name='net0'/>
  <address type='pci' domain='0x0000' bus='0x00' slot='0x03' function='0x0'/>
</interface>

テストサーバーはwwwサーバーを実行しており、それをカリングできます（カーリング）。http://10.13.37.54）pfsense vmで内部ネットワークが正常に動作しています。また、pfsenseにインターネットが接続されています（カールなどのOSを更新できます）。http://google.com）。テストサーバーでpfsenseとgoogle.comをpingできますが、カールを試してみるとhttp://google.com何らかの理由で（他のサイトと同様に）継続タイムアウトが発生します。 google.comドメインをIPで確認できるため、dns（udpパケット）は正常に機能しますが、TCP 3ウェイハンドシェイクを設定できません。 SYNパケットを送信していますが、何も受信しません。内部ラボネットワークでは、パケットキャプチャは次のとおりです（pfsenseでキャプチャ）。