設定br0、VPNは不要

Question

同じ質問には2つの質問がありますが、実際には互いに依存しません。私はまだ両方に答えます。

また、noprefixrouteアドレスオプションは、ネットワーク構成の一部が、ルートを追加するためにNetworkManagerなどのいくつかの追加ツールによって管理されることを意味します。この回答は、ネットワークツールの統合に対処しようとしません。これには、正しく再構成されていない場合に将来の変更を上書きする可能性があるDHCP構成の処理が含まれます。インターフェイスを閉じたり削除したりすると、多くの設定が消えてリセットする必要があるため、さまざまな責任あるネットワークツールのさまざまなフックを介して実行するのが最善です。

設定`br0`、VPNは不要

ブリッジポートとして設定されたインターフェイスは、ルーティング参加を放棄します。

ブリッジポートに設定すると、そのインターフェイスに関連付けられたパスは無視されます。住所を保存すると、まだ有害な副作用がある可能性があります。詳しくはブログでご覧いただけますLinux ブリッジの適切な分離:

特定のデバイスにフレームワークを引き渡すハンドラの受信、もしそうなら、

フレームをグローバルまたは特定のデバイスに渡します。プロトコルハンドラ（例：IPv4、ARP、IPv6）。

ブリッジインターフェイスの場合、カーネルはデバイス固有の受信ハンドラを設定しましたbr_handle_frame()。この機能は、STPおよびLLDPフレームを除いて、または「ルーティング」が有効になっている場合を除き、受信インターフェイスのコンテキストで他の処理を許可しません。だから、これ プロトコルハンドラが実行されないこの場合。

ブリッジポートになるインターフェイスに設定されているIPアドレスは、br0ルーティングに参加できる唯一のインターフェイスである特別なブリッジ自体インターフェイス（：ブリッジ自体）に移動する必要があります（他のオプションもありますが、簡単に保ちます）。。関連路線も同じだ。

OPのデフォルトゲートウェイが192.168.1.1/24であると仮定します。最初のケースを書き直してみましょう。

ip link add name br0 up type bridge
ip link set dev enp7s0 master br0

ip address flush dev enp7s0
# previous command will also have removed all associated routes as a side effect
ip address add 192.168.1.100/24 dev br0
# previous command added the LAN route too as a side effect (no noprefixroute here)
ip route add default via 192.168.1.1

これにより、ホストと仮想マシンの両方がインターネットにアクセスできます。

VM部分の場合はvnet5ブリッジポートでもあり、ルーティングに参加しません。ホストはVMとルーター（192.168.1.1）間でフレームを交換するだけです。ルーティングは含まれません。

VPNと`tun0`インターフェイスの使用

OpenVPNはTUN / TAPドライバ（Linuxのカーネルモジュールで提供）を使用します。tun）。ドライバーは以下を提供できます。

レイヤ 2 TAP インターフェイス

vnet5これはイーサネットデバイスのように機能し、VMハイパーバイザーによって生成されたイーサネットブリッジポートに設定できます。
またはレイヤ3 TUNインターフェイス

これにはフレーム情報（イーサネットMACアドレス）は含まれておらず、フレームを処理せずにレイヤ3以上のプロトコルであるIPv4またはIPv6のみを処理します。したがって、イーサネットブリッジポートとして設定することはできません。これはtun0TUNモードでOpenVPNによって生成されたOPです。

OpenVPNはブリッジ可能なTAPモードも使用できますが、これにはリモート設定を再設定する必要があります。仕える人サイドおよびフルネットワークレイアウト：リモートサーバーも192.168.1.0/24 LANの一部になります。 OPはそれを制御できないようです。

それでは、OPのTUNインターフェースが何ができるか考えてみましょう。これは、レイヤ2ではなくレイヤ3（ルーティング）で行われます。

信頼できる仮想マシンに対してのみ以前の設定を再利用します。

ホストにファイアウォールの制限やブリッジパスの変更など、高度なファイアウォールが含まれていない場合、VMは自分自身をゲートウェイとして使用することを強制できません。以前のようにブリッジされたVMは、単にホストを無視し、192.168.1.1をホストとして保持できます。ゲートウェイとトラフィックがtun0最終的にホストインターフェイスを使用しないようにします。

VMを信頼して再構成できる場合は、上記br0のままにして、次に基づいてOpenVPN設定を適用しbr0（enp7s0への参照を置き換えてbr0）、VMが実行され（アドレス192.168.1.221で）、VPNが起動した後実行できます。

ホストから

使用ポリシー/ソースベースのルーティングこの特定のソースに対して別のルーティング結果を選択してください。

ip rule add from 192.168.1.221 lookup 1000
ip rule add iif tun0 lookup 1000
ip route add 192.168.1.0/24 dev br0 table 1000
ip route add default dev tun0 table 1000

ルーターとして設定：

sysctl -w net.ipv4.ip_forward=1

この状況を処理するための同様のNATルールがない場合：

  iptables -t nat -A POSTROUTING -s 192.168.1.221 -o tun0 -j MASQUERADE

(Linux) VM では、ホストのルーターの代わりにホストをゲートウェイとして使用します。
```
ip route flush to default
ip route add default via 192.168.1.100
```

信頼できない仮想マシンの推奨事項：ホストプライマリインターフェイスをブリッジポートに設定しないでください。

tun0これにより、操作しないネットワーク部分を見ることができないため、仮想マシントラフィックをより簡単に適用できます。

独自のIPネットワークを使用するように仮想マシン設定を変更する

例：192.168.100.0/24および固定IP 192.168.100.2/24（ホストのネットワークDHCPの代わりに）、デフォルトゲートウェイ192.168.100.1。 Linux仮想マシンでは：
```
ip address add 192.168.100.2/24 dev enp1s0
ip route add default via 192.168.100.1
```
ホストの初期設定から始めます（ブリッジングなしenp7s0）。

以下のゼロブリッジを使用することもできます（つまり、ブリッジポートに直接設定ip address add 192.168.100.1/24 dev vnet5しない）vnet5ライブラリ仮想マシンこれをより難しくすることもできます。

仮想マシン専用のブリッジを設定するだけです（ここでは通常アドレス192.168.100.1/24を使用してください）。ライブラリ仮想マシン基本ブリッジvirbr0192.168.122.1/24 提供):
```
ip link add name br0 up type bridge
ip address add 192.168.100.1/24 dev br0
ip link set dev vnet5 master br0
```
そしてまた使用ポリシールーティングbr02つの関連インターフェイス、および仮想マシンに関連するトラフィックの動作を変更しますtun0。いつものように、バックアップルーティングテーブルの既存のパスへのいくつかのコピーと変更が含まれます。ここでは、tun0ホストとその仮想マシンのみが提供されているとします。最終的な目標は、VM側から来るすべてがトン側にルーティングされ、TUN側から来るすべてがVM側にルーティングされ、不要な側は無視されることです。
```
ip rule add iif br0 lookup 2000
ip rule add iif tun0 lookup 2000
ip route add 192.168.100.0/24 dev br0 table 2000
ip route add default dev tun0 table 2000 # layer 3 interfaces don't need a gateway
```
注：tun0ホストからの着信パケット（ルーティングされていないなど）はホストによって処理されました。地元のルーティングテーブル、テーブル2000の追加パスは必要ありません。

ルーターとして設定：
```
sysctl -w net.ipv4.ip_forward=1
```
その後、リモートOpenVPNサーバーが192.168.100.0/24を知らないため、NATを完了します。
```
iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o tun0 -j MASQUERADE
```

仮想マシンがまだ192.168.1.0/24 LANにアクセスできる場合：

これに対応するために、テーブル2000を再度更新してください。

プライマリテーブルのLANパスをテーブル2000にコピーします。
```
ip route add 192.168.1.0/24 dev enp7s0 table 2000
```
適切なMASQUERADEルールを再追加してください。

...今、VMは他のシステムが知らない別のLAN上にあるからです。
```
iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o enp7s0 -j MASQUERADE
```
（いくつかのiptablesルールの分解を行うことができます）。

Answer 1