Bridge & Firewall

[Blackscreen]

Moin,

Ich möchte gerne eine Bridge erstellen, meine Netzwerkkarte anbinden und dynamisch tapX Interfaces für virtuelle Maschinen hinzufügen bzw. entfernen. wobei die Firewall des Hosts, wie auch ohne Bridge, funktionieren soll!

Dazu habe ich habe mir eine Bridge (br0) konfiguriert - /etc/sysconfig/network/ifcfg-br0:

BOOTPROTO='static'
IPADDR='192.168.1.100'
NETMASK='255.255.255.0'
BROADCAST='192.168.1.255'
NAME='Bridge'
STARTMODE='auto'
USERCONTROL='no'
BRIDGE='yes'
BRIDGE_PORTS='eth0'

und daran meine Netzwerkkarte (eth0) angebunden - /etc/sysconfig/network/ifcfg-eth-id-...:

BOOTPROTO='static'
BROADCAST=''
ETHTOOL_OPTIONS=''
IPADDR='192.168.0.100'
MTU=''
NAME='Giga-byte Ethernet controller'
NETMASK='255.255.255.0'
NETWORK=''
REMOTE_IPADDR=''
STARTMODE='auto'
UNIQUE='rBUF.WkkGS5m8Th0'
USERCONTROL='no'
_nm_name='bus-pci-0000:04:00.0'

Außerdem wurde br0 als externes Interface und eth0 als Internes konfiguriert.

Die Bridge wird - wie beabsichtigt - erstellt und eth0 angebunden aber die Firewall hat keinen Effekt mehr. Andererseits scheint sie den Netzwerkzugriff der virtuellen Maschinen zu verhindern - zumindest bis mittels

echo "1" > /proc/sys/net/bridge/bridge-nf-call-iptables

der Verkehr über br0 nicht mehr durch die FW geleitet wird oder die FW ausgeschaltet wird (dann funktioniert es einwandfrei).

Kurz gesagt: Ich möchte eine funktionierende Firewall für den Host (die aber nur Daten filtert die an den Host adressiert sind) und die Bridge soll einfach alles was von oder für die virtuellen Maschinen kommt weiterleiten! (Überflüssig zu sagen das diverse Spielchen mit der Forward Kette mich auch nicht weitergebracht haben)

Nachdem ich mir diesen Mist schon einige Tage um die Ohren schlage und trotzdem vollkommen im Wald stehe bin ich für jeden Hinweis wo der Denkfehler liegt bzw. wie es richtig geht sehr dankbar!

 

[Blackscreen]

Bump

Ich stehe damit nach wie vor vollkommen im Wald! Könnte sich daher bitte einer erbarmen und und etwas Licht ins Dunkle bringen?!

Für den Fall dass es im obigen Post nicht ganz klar wurde: das Szenario ist nur eine simple Bridge an die bei Bedarf tapX Interfaces für virtuelle Maschinen angebunden werden. Für diese bestimmter bzw. von diesen kommender Verkehr soll von der Bridge einfach nur weiter geleitet werden. Außerdem soll das Hostsystem über eine funktionierende Firewall verfügen, die eben den für den Host bestimmten Verkehr filtert.

Muß ich ein tapX für den Host erstellen und die Firewall bzw. den Host an dieses tapX binden, oder ....? Außerdem ist es mir völlig einerlei ob ich dafür die Suse Firewall verwende oder auf reines IPTables umsteige.

In der Hoffnung auf Antworten - Vielen Dank!