[Sysadmins] NAT inside VE

[Sysadmins] NAT inside VE

[Rinat Shigapov]

Доброго времени суток!

Что-то не заводится nat внутри VE. Ядро 2.6.27-ovz-smp-alt12 x86_64. В 
конфигурации VE указал IPTABLES="", т.е. использовать все возможные 
модули iptables.

На HN запущены такие модули:
#lsmod |grep ip
iptable_nat 16260 0
ipt_addrtype 11136 0
xt_multiport 11904 3
ipt_MASQUERADE 10624 0
nf_nat 28436 3 iptable_nat,nf_nat_ftp,ipt_MASQUERADE
ipt_ttl 10240 0
iptable_mangle 12928 1
ipt_REJECT 11776 51
nf_conntrack_ipv4 29856 6 iptable_nat,nf_nat
nf_conntrack 96528 6 
iptable_nat,nf_nat_ftp,nf_nat,nf_conntrack_ipv4,xt_state,nf_conntrack_ftp
iptable_filter 12416 2
ip_tables 27792 3 iptable_nat,iptable_mangle,iptable_filter
x_tables 32136 10 
iptable_nat,ipt_addrtype,xt_multiport,xt_MARK,ipt_MASQUERADE,xt_tcpudp,ipt_ttl,ipt_REJECT,xt_state,ip_tables

При этом внутри VE:
# cat /proc/net/ip_tables_names
mangle
filter

VE стартовал после загрузки модулей в HN.

Как там с nat в 2.6.27-ovz-smp?

-- 
С уважением,
         инженер-программист ООО "Невод"
         Ринат Шигапов
         Jabber ID: dxist эт ya.ru

Re: [Sysadmins] NAT inside VE

[Ivan Fedorov]

[-- Attachment #1: Type: text/plain, Size: 496 bytes --]

Rinat Shigapov <srk-XwTW/+JUs20@public.gmane.org> writes:

> Доброго времени суток!
>
> Что-то не заводится nat внутри VE. Ядро 2.6.27-ovz-smp-alt12 x86_64. В
> конфигурации VE указал IPTABLES="", т.е. использовать все возможные
> модули iptables.

А вы уверены в смысле IPTABLES=""?

AFAIR оно значит не использовать никаких модулей.

[-- Attachment #2: Type: application/pgp-signature, Size: 197 bytes --]

Re: [Sysadmins] NAT inside VE

[Sergey]

On Tuesday 23 March 2010, Rinat Shigapov wrote:

> Что-то не заводится nat внутри VE. Ядро 2.6.27-ovz-smp-alt12 x86_64. В 
> конфигурации VE указал IPTABLES="", т.е. использовать все возможные 
> модули iptables.

/etc/vz/vz.conf:

## IPv4 iptables kernel modules
IPTABLES="ipt_REJECT ipt_tos ipt_limit ipt_multiport iptable_filter iptable_mangle ipt_TCPMSS ipt_tcpmss ipt_ttl ipt_length iptable_nat ipt_conntrack ipt_LOG"

Но это 2.6.18-ovz-rhel, с 2.6.27-ovz не пробовал, кажется... 

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] NAT inside VE

[Di]

[-- Attachment #1: Type: text/plain, Size: 706 bytes --]

On 23.03.2010 22:08, Sergey wrote:
> On Tuesday 23 March 2010, Rinat Shigapov wrote:
>
>> Что-то не заводится nat внутри VE. Ядро 2.6.27-ovz-smp-alt12 x86_64. В
>> конфигурации VE указал IPTABLES="", т.е. использовать все возможные
>> модули iptables.
>
> /etc/vz/vz.conf:
>
> ## IPv4 iptables kernel modules
> IPTABLES="ipt_REJECT ipt_tos ipt_limit ipt_multiport iptable_filter iptable_mangle ipt_TCPMSS ipt_tcpmss ipt_ttl ipt_length iptable_nat ipt_conntrack ipt_LOG"
>
> Но это 2.6.18-ovz-rhel, с 2.6.27-ovz не пробовал, кажется...
>
У меня сутра работало с 2.6.27-ovz. Нужно точно указать какие модули 
использовать. IPTABLES="" - разве что проверить в исходниках/скриптах, 
как себя текущий vz ведёт.

[-- Attachment #2: denyago.vcf --]
[-- Type: text/x-vcard, Size: 366 bytes --]

begin:vcard
fn:Denis Timurovich Yagofarov
n:Yagofarov;Denis Timurovich
org:ITGIS NASU
adr:room 615;;Chokolovski blvdr., 13;Kiev;;03151;Ukraine
email;internet:denyago@rambler.ru
title:system administrator
tel;work:80442480755
tel;pager:diyago@jabber.te.ua
tel;home:80442434512
tel;cell:80662933760
note:diyago@jabber.te.ua
x-mozilla-html:FALSE
version:2.1
end:vcard

Re: [Sysadmins] NAT inside VE

[Rinat Shigapov]

24.03.2010 02:19, Di пишет:
> On 23.03.2010 22:08, Sergey wrote:
>> On Tuesday 23 March 2010, Rinat Shigapov wrote:
>>
>>> Что-то не заводится nat внутри VE. Ядро 2.6.27-ovz-smp-alt12 x86_64. В
>>> конфигурации VE указал IPTABLES="", т.е. использовать все возможные
>>> модули iptables.
>>
>> /etc/vz/vz.conf:
>>
>> ## IPv4 iptables kernel modules
>> IPTABLES="ipt_REJECT ipt_tos ipt_limit ipt_multiport iptable_filter 
>> iptable_mangle ipt_TCPMSS ipt_tcpmss ipt_ttl ipt_length iptable_nat 
>> ipt_conntrack ipt_LOG"
>>
>> Но это 2.6.18-ovz-rhel, с 2.6.27-ovz не пробовал, кажется...
>>
> У меня сутра работало с 2.6.27-ovz.
> Нужно точно указать какие модули использовать. IPTABLES="" - разве что 
> проверить в исходниках/скриптах, как себя текущий vz ведёт.
В man vzctl:

--iptables name
            Restrict  access  to iptables modules inside a container (by 
default all iptables modules that are
            loaded in the host system are accessible inside a container)

Заработало только при явном указании предложенного набора модулей. 
Значит man говорит неправду?

-- 
С уважением, Шигапов Ринат
     инженер-программист ООО "Невод"
     тел. (342) 2 196 960
     JID: dxist эт jabber.mipt.ru

Re: [Sysadmins] NAT inside VE

[Ivan Fedorov]

[-- Attachment #1: Type: text/plain, Size: 577 bytes --]

Rinat Shigapov <srk-XwTW/+JUs20@public.gmane.org> writes:

> В man vzctl:
>
> --iptables name
>            Restrict  access  to iptables modules inside a container
> (by default all iptables modules that are
>            loaded in the host system are accessible inside a container)
>
> Заработало только при явном указании предложенного набора
> модулей. Значит man говорит неправду?
скорее всего модули грузились после запуска сервиса vz.

[-- Attachment #2: Type: application/pgp-signature, Size: 197 bytes --]

Re: [Sysadmins] NAT inside VE

[Rinat Shigapov]

24.03.2010 15:05, Ivan Fedorov пишет:
> Rinat Shigapov<srk-XwTW/+JUs20@public.gmane.org>  writes:
>
>    
>> В man vzctl:
>>
>> --iptables name
>>             Restrict  access  to iptables modules inside a container
>> (by default all iptables modules that are
>>             loaded in the host system are accessible inside a container)
>>
>> Заработало только при явном указании предложенного набора
>> модулей. Значит man говорит неправду?
>>      
> скорее всего модули грузились после запуска сервиса vz.
>    
Модули уже загружены в HN. Как я понимаю, в VE лишь ограничивается 
доступ к ним.

По крайней мере, matches и targets в VE при IPTABLES="" были такие же, 
как и при явном указании модулей, значит частично что-то отрабатывало.

-- 
С уважением, Шигапов Ринат
     инженер-программист ООО "Невод"
     тел. (342) 2 196 960
     JID: dxist эт jabber.mipt.ru

Re: [Sysadmins] NAT inside VE

[Ivan Fedorov]

[-- Attachment #1: Type: text/plain, Size: 1183 bytes --]

Rinat Shigapov <srk-XwTW/+JUs20@public.gmane.org> writes:

> 24.03.2010 15:05, Ivan Fedorov пишет:
>> Rinat Shigapov<srk-XwTW/+JUs20@public.gmane.org>  writes:
>>
>>    
>>> В man vzctl:
>>>
>>> --iptables name
>>>             Restrict  access  to iptables modules inside a container
>>> (by default all iptables modules that are
>>>             loaded in the host system are accessible inside a container)
>>>
>>> Заработало только при явном указании предложенного набора
>>> модулей. Значит man говорит неправду?
>>>      
>> скорее всего модули грузились после запуска сервиса vz.
>>    
> Модули уже загружены в HN. Как я понимаю, в VE лишь ограничивается
> доступ к ним.
Если модули загружены после запуска сервиса vz в HN, то контейнеры их не
увидят независимо от времени запуска контейнера. По краней мере так было
когда-то давно... :)

[-- Attachment #2: Type: application/pgp-signature, Size: 197 bytes --]

Re: [Sysadmins] NAT inside VE

[Rinat Shigapov]

24.03.2010 16:48, Ivan Fedorov пишет:
> Rinat Shigapov<srk-XwTW/+JUs20@public.gmane.org>  writes:
>
>    
>> Модули уже загружены в HN. Как я понимаю, в VE лишь ограничивается
>> доступ к ним.
>>      
> Если модули загружены после запуска сервиса vz в HN, то контейнеры их не
> увидят независимо от времени запуска контейнера. По краней мере так было
> когда-то давно... :)
>    
Но сейчас параметр IPTABLES можно указать отдельно для конкретной VE, 
значит достаточно подгрузить модули перед запуском VE.

-- 
С уважением, Шигапов Ринат
     инженер-программист ООО "Невод"
     тел. (342) 2 196 960
     JID: dxist эт jabber.mipt.ru

Re: [Sysadmins] NAT inside VE

[Slava Dubrovskiy]

24.03.2010 14:29, Rinat Shigapov пишет:
>>> Модули уже загружены в HN. Как я понимаю, в VE лишь ограничивается
>>> доступ к ним.
>>>      
>> Если модули загружены после запуска сервиса vz в HN, то контейнеры их не
>> увидят независимо от времени запуска контейнера. По краней мере так было
>> когда-то давно... :)
>>    
>    Но сейчас параметр IPTABLES можно указать отдельно для конкретной
> VE, значит достаточно подгрузить модули перед запуском VE.
Это Вы так думаете. В реальности немного по другому.  :)

-- 
WBR,
Dubrovskiy Vyacheslav