RedHat仮想化マネージャー| 異なるサブネットからのスパイスアクセス

Aug 24 2020

私は次のような異常な設定をしていると思います。

  1. RedHat仮想化マネージャーとホストは同じハードウェアでホストされ、ハードウェアで使用されています。マネージャーはデュアルホームです。1つは内部ネットワーク(ホストとマネージャーの間)用の仮想NICで、もう1つは外部への接続用のNICです。
  2. クライアントは、単純なVPNを介して専用の仮想デスクトップに接続することになっています
  3. 選択はRDPまたはVNCではなくspiceに行われるため、エンドユーザーからの着信接続要求は、特定のポート上のホスト(RHEL仮想化ホスト)を対象としています。
  4. エンドユーザーからの接続要求は、最初にマネージャー(RHEL仮想化マネージャー)を経由してからホストに到達しますが、成功することはありません。
  5. ルーティング/パケット転送は両方のサーバーで有効になっています。

だから私は次の発見を思いついた:

  1. 接続されたエンドユーザーからホストへの単純なpingは成功しません。パケット「ICMPエコー要求」がホストに正しく到達し、対応する「ICMPエコー応答」がそこにありますが
  2. 「ICMPエコー応答」はマネージャでも表示されません。どこかで失われたようです/ ovirtmgmtインターフェイスの設定を確認しましたが、ヒントすら指摘できませんでした。
  3. マネージャーとホストの両方でiptablesルールを確認しました...しかし結果はありません。
  4. ホストからマネージャーへのpingとマネージャーからホストへのpingの両方が成功するため、2つの間の通信は正常です。Spice VMは、ローカルエリアネットワーク内にある場合でもアクセスできます。

誰かがこの問題に対処する方法について私にヒントを与えることができれば本当にありがたいです。ありがとうございました。みんな安全に。

回答

Avo Sep 15 2020 at 13:47

誰かが同じ問題に遭遇した場合に備えて。設計上、マネージャー/エンジンは、外部ネットワーク(つまり、独自のサブネットの外部)からの着信接続を通過させません。これを修正するには、スパイスプロキシが必要です。したがって、プロキシ(この場合はネットワークの外部と内部の2つのNICが必要)を実装し、そのようなプロキシの存在をエンジンに通知した後、問題は修正されます。