Question

我有以下设置：

VM1 --- --- NET1 VM2 --- --- NET2 VM3

VM2可以ping VM1和VM3。但是，当从VM1 ping到VM3时，数据包由VM2转发但从未到达VM3（即，由于tcpdump显示数据包是从VM2的NET2接口发出的，因此它们被NET2丢弃）。

从VM3 ping到VM1时也一样。数据包到达VM2，然后VM2将它们转发到V1，但它们永远不会到达VM1。

看起来NET2不允许带有srcIP的NET1的数据包通过。与NET1过滤数据包一样，srcIP为NET2。

这就是我们在热模板中创建每个网络的方式。

net1:
   type: OS::Neutron::Net
   properties:
      name: net1_name

net1_subnet:
   type: OS::Neutron::Subnet
   properties:
     network_id: { get_resource: net1 }
     cidr: { get_param: net1_cidr }

有没有办法让数据包通过充当路由器的VM2从NET1流到NET2？

谢谢！

==========更新====

看起来我找到了一个解决方案：将VM1和VM3的IP添加到＆＃34; allowed_address_pairs＆＃34; VM2的端口（Neutron：Port）。

VM2_left_port:
    type: OS::Neutron::Port
    properties:
       allowed_address_pairs: [{"ip_address": { get_param: VM3_IP}}]
       network: ...
       fixed_ips: ...

VM2_right_port:
    type: OS::Neutron::Port
    properties:
       allowed_address_pairs: [{"ip_address": { get_param: VM1_IP }}]
       network: ...
       fixed_ips: ...

是否允许在网络之间路由（使用VM2作为路由器）的正确方法的问题。

Answer 1

我认为允许VM2中两个网络接口之间的相互通信。

echo 1＆gt;的/ proc / SYS /净/的IPv4 / IP_FORWARD

sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

sudo iptables -A FORWARD -i eth0 -o eth1 -m state --state   相关，已建立-j ACCEPT

sudo iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT

Answer 2

所以问题实际上是＆＃34; port_security＆＃34; Openstack的功能，可以阻止从一个子网到另一个子网的流量。为了允许数据包在子网之间流动，可以使用以下选项替代我在问题中提出的方法（＆＃34; allowed_address_pairs＆＃34;）。

VM2_left_port:
    type: OS::Neutron::Port
    properties:
       security_groups: []
       port_security_enabled: False
       network: ...
       fixed_ips: ...

VM2_right_port:
    type: OS::Neutron::Port
    properties:
       security_groups: []
       port_security_enabled: False
       network: ...
       fixed_ips: ...

Openstack Neutron - VM作为同一租户内两个网络之间的路由器

2 个答案: