Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

KVM, vlan & bridge: isoler des VMs dans leur propre vlan

gemineo

Bonjour,

J'utilise KVM/QEMU pour mes besoins perso "à la maison" et j'en suis totalement satisfait. Généralement les machines sont toutes isolées les unes des autres (lancement avec -net user parfois suivi d'un hostfwd pour du NAT de ssh par exemple).

Au boulot je tourne avec XEN que j'utilise pour gérer une petite dizaine de machines virtuelles très modestes fournissant chacune un service précis (serveur web, base de données, serveur git, etc.). Chacune de ces machines est isolée du réseau de l'entreprise mais capable de communiquer les unes avec les autres. L'accès vers chacune d'elle se fait via le Dom0 où je NAT un port donné vers une machine précise via iptables. Mais plus ça va, et plus XEN c'est l'enfer à gérer (en ce moment je craque car mes machines perdent la connexion réseau sans crier gare). De plus je n'aime pas la direction que prend le projet dans la version en cours de développement. Je souhaiterais donc migrer mes machines virtuelles vers KVM qui me semble beaucoup plus simple au quotidien (et viable sur le long terme) sachant que mon métier n'est pas sysadmin mais que je n'ai personne d'autre sous la main pour s'occuper de ces serveurs. Pour le moment mon Dom0 est une Debian stable (Squeeze) mais je pense profiter de la migration pour passer en Ubuntu server.

Ma contrainte reste que je souhaite déployer mes VMs dans un VLAN, afin qu'elles ne soient pas visibles du reste de l'entreprise. Je ne peux donc pas les relier à un basique bridge. Et là je bute. Comment faire pour que ces différentes VMs se voient les unes les autres, aient accès au monde extérieur, mais que l'accès entrant soit NATé vers elles via le serveur hôte en fonction d'un port donné ?
Avec KVM j'aboutis soit à des machines seules isolées (pas capable de communiquer avec ses VM soeurs), soit à des VMs visibles de partout (bridge), par contre faire des sous-groupes isolés de plusieurs VMs je ne vois pas.

Si quelqu'un pourrait me guider sur la méthode...

Merci d'avance !

src

Salut,

C'est possible avec KVM, si ton serveur dispose d'une interface graphique tu peux installer virt-manager. C'est une console graphique pour gérer KVM. Cela te permet de manière simple de configurer un réseau "isolé". Toutes tes machines peuvent se voir mais ne voient pas le réseau physique. Sauf si tu actives l'IP forwarding sur l'hôte et que tu configures les passerelles.

Si ton serveur n'a pas d'interface graphique tu peux installer libvirt en stand-alone et utiliser la console virt-manager depuis un ordinateur distant pour tout gérer.

Voici quelques bidouillages que j'avais fait avec KVM / Virt-manager / réseau isolé / routage / PAT 😉
http://maniatux.fr/index.php?article129/serveur-virtualise