Uživatelské nástroje
navody:vps:kvm
Rozdíly
Zde můžete vidět rozdíly mezi vybranou verzí a aktuální verzí dané stránky.
| Obě strany předchozí revizePředchozí verzeNásledující verze | Předchozí verze | ||
| navody:vps:kvm [2017/03/08 09:22] – [Používání KVM a na vpsFree.cz] ernierasta | navody:vps:kvm [2026/08/17 11:09] (aktuální) – Napojení na revizi zdroje a testy virtualizace aither | ||
|---|---|---|---|
| Řádek 1: | Řádek 1: | ||
| < | < | ||
| - | ====== Používání KVM a na vpsFree.cz | ||
| - | Tato info stránka obsahuje návody pro zprovoznění KVM na Alpine Linux 3.4+, CentOS 7 a Debian 8. | + | < |
| + | source=" | ||
| + | test=" | ||
| + | /> | ||
| - | Nejprve je potřeba ve vpsAdminu, v detailu vaší | + | ====== KVM a libvirt uvnitř VPS ====== |
| - | * Bridge – povolí vytvoření síťového bridge, do kterého následně připojíte KVM virtuály, | + | ===== Instalace libvirt ===== |
| - | * TUN/TAP - povolí vytváření virtuálních interface, které jsou pak bridgovány, | + | |
| - | * iptables – povolí použití iptables, které jsou potřeba pro nastavení IP maškarády, | + | |
| - | * KVM – povolí použití KVM (pro HW podporu virtualizace). | + | |
| - | Na vpsFree | + | vpsAdminOS provozuje VPS v kontejnerech, |
| + | uvnitř VPS proto není vnořená virtualizace: | ||
| + | hardwarovou virtualizaci fyzického nodu přímo. | ||
| + | Tento návod používá aktuální šablonu **Debian | ||
| + | spojení '' | ||
| + | < | ||
| + | Pro virtualizaci je potřeba funkce **KVM**. **TUN/TAP** je potřeba pro síťová | ||
| + | rozhraní virtuálních strojů typu TAP. Obě funkce jsou u nových VPS zapnuté ve | ||
| + | výchozím nastavení v sekci **Funkce** v detailu VPS ve vpsAdminu. | ||
| + | </ | ||
| - | ===== KVM na Alpine Linuxu | + | {{: |
| - | Nainstalujte potřebné balíčky (ip6tables je volitelný): | + | Nainstaluj QEMU, libvirt a '' |
| - | < | + | < |
| - | apk update | + | # |
| - | apk add qemu-system-x86_64 qemu-openrc qemu-img bridge iptables ip6tables | + | set -euo pipefail |
| - | </ | + | |
| - | Nakonfigurujte bridge pro Qemu/KVM virtuály; vytvořte soubor /// | + | apt-get update |
| + | apt-get install --yes \ | ||
| + | iptables \ | ||
| + | libvirt-clients \ | ||
| + | libvirt-daemon-system \ | ||
| + | qemu-system-x86 \ | ||
| + | qemu-utils \ | ||
| + | virtinst | ||
| - | <code shell> | + | virsh --connect qemu:/// |
| - | auto br0 | + | |
| - | iface br0 inet static | + | |
| - | pre-up brctl addbr br0 | + | |
| - | | + | |
| - | | + | |
| - | post-down brctl delbr br0 | + | |
| </ | </ | ||
| - | Jelikož OpenVZ poněkud neohrabaně přepisuje soubor | + | Používej systémové spojení '' |
| + | libvirt | ||
| + | klíčem. Nezveřejňuj nešifrovaný libvirt TCP socket do internetu. | ||
| - | Povolte uživateli ve skupině //qemu// spravovat vytvořený bridge: | + | ===== Diskové obrazy a ZFS ===== |
| - | <code shell> | + | Pro obrazy disků použij samostatný [[navody:vps: |
| - | echo "allow br0" > / | + | vlastnosti pak můžeš změnit bez zásahu do kořenového datasetu VPS. Úložiště |
| - | chown root:qemu / | + | připrav takto: |
| - | chmod 0640 / | + | |
| - | </ | + | |
| - | Nastavte IP maškarádu | + | * < |
| + | * < | ||
| + | * < | ||
| - | Pokud už máte nakonfigurované iptables, tak jen přidejte pravidlo: | + | Například z běžné kapacity 120 GiB můžeš ponechat 20 GiB kořenovému datasetu |
| + | a 100 GiB přidělit datasetu '' | ||
| + | můžeš přidělit například 80 GiB a ponechat 20 GiB volných pro jeho růst a | ||
| + | snapshoty. | ||
| - | < | + | Subdataset se [[navody: |
| - | iptables -t nat -A POSTROUTING -s 172.17.1.0/24 ! -o br0 -j MASQUERADE | + | VPS. |
| - | </ | + | |
| - | V opačném případě můžete postupovat např. podle odstavce [[# | + | {{: |
| + | Připojený adresář přidej do libvirt jako trvalý storage pool: | ||
| - | ==== Vytvoření a spuštění virtuálu ==== | + | <code bash> |
| + | # | ||
| + | set -euo pipefail | ||
| - | V tomto návodu předpokládám použití [[https://github.com/jirutka/ | + | virsh --connect qemu:///system pool-define-as \ |
| - | + | vm-images dir --target | |
| - | Vytvoření nového virtálu spočívá pouze v přípravě image disku, vytvoření symlinku pro init skript a úpravě jednoduchého konfiguračního skriptu. Nechť se nový virtuál jmenuje třeba „myvirt.“ | + | virsh --connect qemu:///system pool-start vm-images |
| - | + | virsh --connect | |
| - | Připravte raw image pro myvirt o potřebné velikosti: | + | virsh --connect |
| - | + | ||
| - | <code shell> | + | |
| - | mkdir -p /var/lib/ | + | |
| - | qemu-img create | + | |
| - | chown qemu:qemu /var/lib/qemu/myvirt/disk0.img | + | |
| - | chmod 0600 /var/ | + | |
| </ | </ | ||
| - | Zkopírujte výchozí konfigurák /etc/conf.d/qemu do / | + | Disky pak vytvářej prostřednictvím libvirt, '' |
| + | '' | ||
| - | <code shell> | + | ZFS vlastnosti subdatasetu ponech na výchozích hodnotách, dokud měření |
| - | cd /etc/conf.d | + | neukáže |
| - | cp qemu qemu.jarvis | + | '' |
| - | vi qemu.jarvis | + | používá i menší záznamy. Změna '' |
| - | </ | + | vytvořených souborů. |
| - | Zejména tedy přidejte připravený image: | + | Pro obrazy na ZFS je vhodnou výchozí volbou formát '' |
| + | další copy-on-write vrstvu. '' | ||
| + | files, interní snapshoty nebo jiné funkce obrazového formátu. | ||
| - | <code shell> | + | Podrobnosti k ladění podle zátěže popisuje [[https://openzfs.github.io/openzfs-docs/Performance%20and%20Tuning/Workload%20Tuning.html|OpenZFS Workload Tuning]], formáty obrazů pak [[https:// |
| - | disk1_file=" | + | |
| - | disk1_format=" | + | |
| - | </code> | + | |
| - | A zřejmě také instalační CD některé distribuce, které jste si předem stáhli: | + | ===== Síť virtuálních strojů ===== |
| - | <code shell> | + | Síťové rozhraní VPS je k nodu připojené směrovaným spojem na třetí vrstvě. |
| - | cdrom0_file="/ | + | Nepřidávej proto rozhraní VPS do bridge spravovaného libvirt. Pro připojení |
| - | </ | + | virtuálních strojů k síti jsou vhodná dvě zapojení: |
| - | Vytvořte symlink pro init skript | + | ^ Zapojení ^ Adresy v doméně ^ Výhody ^ Nevýhody ^ |
| + | | NAT v libvirt | Privátní IPv4 a privátní ULA IPv6 | Funguje s běžnými adresami VPS, snadno obslouží více domén. | Příchozí služby potřebují přesměrování portů | ||
| + | | Směrované veřejné adresy | Veřejná IPv4 ''/ | ||
| - | <code shell> | + | NAT je obvykle jednodušší pro jednu nebo několik domén s malým počtem |
| - | cd /etc/init.d | + | zveřejněných služeb. Směrované adresy použij, když má mít doména vlastní |
| - | ln -s qemu qemu.myvirt | + | veřejné adresy, všechny porty nebo protokoly, které se přes port forwarding |
| + | obsluhují špatně. Pro čistě vnitřní komunikaci mezi doménami můžeš přidat další | ||
| + | izolovanou síť libvirt; přístup ven nadále řeší jedno z uvedených zapojení. | ||
| - | rc-service qemu.myvirt start | + | ==== Veřejné adresy na VPS a dvouprotokolový NAT ==== |
| - | </ | + | |
| + | Veřejná IPv4 ''/ | ||
| + | '' | ||
| + | '' | ||
| + | NAT66. Výchozí síť '' | ||
| + | IPv4 a používá '' | ||
| + | dvouprotokolovou síť s odlišnou IPv4 podsítí. NAT66 se v XML zapíná pomocí | ||
| + | ''< | ||
| + | [[https:// | ||
| - | ==== Nastavení iptables ==== | + | ULA '' |
| + | více privátních sítí později propojovat pomocí VPN nebo směrování, | ||
| + | každou z nich vlastní náhodný ULA ''/ | ||
| + | '' | ||
| - | Pokud nepoužíváte žádný nástroj pro generování iptables pravidel (jako např. [[https:// | + | Podstatnou část definice sítě tvoří následující XML: |
| - | Stáhněte upravenou šablonu pravidel s přidanou maškarádou pro náš bridge do /etc/iptables: | + | <code xml> |
| - | + | < | |
| - | <code shell> | + | < |
| - | rmdir /etc/iptables | + | < |
| - | wget -O /etc/ | + | <nat ipv6=' |
| + | </forward> | ||
| + | < | ||
| + | <ip address=' | ||
| + | <ip family=' | ||
| + | </ | ||
| </ | </ | ||
| - | Upravte konfigurák /etc/conf.d/iptables (IPv4): | + | Vytvořenou doménu připoj k '' |
| + | '' | ||
| + | nastav stabilní adresy a brány: | ||
| - | < | + | < |
| - | # /etc/conf.d/iptables | + | auto ens3 |
| + | iface ens3 inet static | ||
| + | address 192.168.124.10/24 | ||
| + | gateway 192.168.124.1 | ||
| - | IPTABLES_SAVE=" | + | iface ens3 inet6 static |
| - | # | + | address fd5f: |
| - | SAVE_ON_STOP=" | + | |
| - | IPFORWARD=" | + | |
| </ | </ | ||
| - | …a /etc/conf.d/ip6tables (IPv6): | + | Přesměrování portu se skládá z DNAT na adresu domény |
| + | forwardu. Pro web na IPv4 jsou podstatou například tyto dva příkazy: | ||
| - | < | + | < |
| - | # /etc/conf.d/ip6tables | + | iptables -t nat -I PREROUTING 1 -p tcp -d VPS_IPV4 --dport 80 \ |
| - | + | -j DNAT --to-destination 192.168.124.10: | |
| - | IP6TABLES_SAVE="/ | + | iptables -t filter |
| - | SAVE_RESTORE_OPTIONS=" | + | -j ACCEPT |
| - | SAVE_ON_STOP=" | + | |
| - | IPFORWARD=" | + | |
| </ | </ | ||
| - | Spusťte iptables a ip6tables a přidejte je do runlevel boot: | + | Stejná pravidla je potřeba vytvořit i pomocí '' |
| - | + | zadaná pravidla však libvirt při změnách sítě nezachová. Následující úplný | |
| - | <code shell> | + | skript proto vytvoří |
| - | rc-service iptables start | + | při spuštění nebo znovupřipojení sítě. Ve výchozím nastavení zveřejní web na |
| - | rc-service | + | portu 80 a SSH domény na portu 2222 pro IPv4 i IPv6. |
| - | rc-update add iptables boot | + | |
| - | rc-update add ip6tables boot | + | |
| - | </ | + | |
| - | + | ||
| - | + | ||
| - | ===== KVM na CentOS 7 ===== | + | |
| - | + | ||
| - | <note warning> | + | |
| - | Tento návod platí pouze pro CentOS 7.1. Na CentOS 7.2 aktuálně nefunguje interní | + | |
| - | </ | + | |
| - | + | ||
| - | KVM používám prostřednictvím libvirt | + | |
| - | Doporučuju CentOS 7 plně aktualizovat, | + | Ulož jej například jako ''/ |
| + | s jednou veřejnou IPv4 a jednou adresou z IPv6 ''/ | ||
| - | < | + | < |
| - | yum group install virtualization-host-environment | + | PUBLIC_IPV4=VPS_IPV4 PUBLIC_IPV6=VPS_IPV6 \ |
| - | yum install virt-manager xauth | + | / |
| - | systemctl enable libvirtd | + | |
| - | systemctl disable firewalld | + | |
| - | reboot | + | |
| </ | </ | ||
| - | ==== Vytvoření | + | Skript se spouští při prvním vytvoření |
| + | hodnot, ne po každém restartu VPS. Síť má zapnutý autostart a pravidla při jejím | ||
| + | spuštění načte hook. | ||
| - | Motivace: Když pracujete na pomalém připojení (což O2 ADSL na vsi bezpochyby je), potřebujete minimalizovat datové toky přes váš pracovní počítač. Lokální virt-manager by stahoval minimálně kernel a initramdisk po relativně pomalém downloadu a typicky po ukrutně pomalém uploadu nahrával na hostitelský kontejner. | + | <code bash> |
| + | # | ||
| + | set -euo pipefail | ||
| - | <code shell> | + | : " |
| - | ssh root@your-host-name -Y virt-manager | + | : " |
| - | </ | + | |
| - | Na vzdáleně spuštěné instanci lze zahájit instalaci, ale nefunguje mi zobrazení instalátoru pomocí výchozího spice. Protože mi přijde krajně nepraktické přepínat | + | guest_ipv4=${GUEST_IPV4: |
| + | guest_ipv6=${GUEST_IPV6: | ||
| + | host_ipv4=${HOST_IPV4: | ||
| + | host_ipv6=${HOST_IPV6: | ||
| + | connection=qemu:/// | ||
| + | network=dualstack-nat | ||
| + | hook=/etc/libvirt/ | ||
| + | config=/ | ||
| + | xml=$(mktemp) | ||
| + | trap 'rm -f " | ||
| + | network_uuid=$(virsh --connect " | ||
| + | uuid_element= | ||
| + | if [[ -n $network_uuid ]]; then | ||
| + | uuid_element=" | ||
| + | fi | ||
| + | cat >" | ||
| + | < | ||
| + | < | ||
| + | $uuid_element | ||
| + | <forward mode=' | ||
| + | <nat ipv6=' | ||
| + | </ | ||
| + | <bridge name=' | ||
| + | <ip address=' | ||
| + | < | ||
| + | <range start=' | ||
| + | </ | ||
| + | </ip> | ||
| + | <ip family=' | ||
| + | </ | ||
| + | EOF | ||
| - | ===== KVM na Debian 8 ===== | + | if virsh --connect " |
| + | | grep -Fx " | ||
| + | printf '%s is active. Shut down its attached domains, run ' " | ||
| + | printf 'virsh net-destroy %s, then rerun this script.\n' | ||
| + | exit 1 | ||
| + | fi | ||
| - | Tento návod je prováděn na Debianu 8. Měl by být plně funkční také na CentOS (s jinými příkazy viz. výše). Pokoušel jsem se KVM rozchodit i na Ubuntu 14.04, ale tam bohužel marně. | + | install -d -m 0755 / |
| + | install -d -m 0755 / | ||
| + | cat >" | ||
| + | # | ||
| + | set -euo pipefail | ||
| - | Pokud používáte Windows, je potřeba nainstalovat a zapnout XMing (pokud budete chtít minimálně virtuál nainstalovat a nastavit skrz grafické rozhraní jako já). Poté zapneme putty (nezapomeňte si zapnout XMing a zaškrtnout „Enable X11 forwarding“) a můžeme kouzlit. Stačí také přes "apt install xrdp" na server nainstalovat podporu remote desktop a od té doby už se z Windows připojovat nativním klientem Remote desktop (mstsc). | + | PATH=/ |
| + | network=${1-} | ||
| + | action=${2-} | ||
| + | config=/ | ||
| + | nat_chain=VPSFREE_KVM_DNAT | ||
| + | filter_chain=VPSFREE_KVM_FWD | ||
| - | Začneme klasikou: | + | [[ $network == dualstack-nat ]] || exit 0 |
| + | exec 9>/ | ||
| + | flock 9 | ||
| - | <code shell> | + | delete_jumps() { |
| - | apt-get update | + | local tool |
| - | apt-get upgrade | + | for tool in iptables ip6tables; do |
| - | </code> | + | while " |
| + | " | ||
| + | | ||
| + | while " | ||
| + | " | ||
| + | done | ||
| + | done | ||
| + | } | ||
| - | Poté nainstalujeme libvirt knihovnu: | + | delete_chains() { |
| - | <code shell> | + | local tool |
| - | apt-get install qemu-kvm libvirt-bin | + | for tool in iptables ip6tables; do |
| - | apt-get install virt-manager | + | if " |
| - | </code> | + | " |
| - | Celkově mají tyto dva balíčky asi 320 MB. Dále je potřeba si někam na disk stáhnout image distribuce, kterou chcete do virtuálu nainstalovat. Já jsem instaloval Ubuntu server 14.04. Vyberte si adresář, do kterého chcete image stáhnout, a pomocí '' | + | |
| - | <code shell> | + | fi |
| - | cd /home | + | if "$tool" -w -t filter -S " |
| - | wget http:// | + | " |
| - | </code> | + | " |
| - | Zapněte virt-managera. | + | fi |
| - | <code shell> | + | |
| - | virt-manager | + | } |
| - | </ | + | |
| - | Díky XMingu můžete teď na dálku z Windows nastavit a spustit instalaci virtuálního serveru uvnitř své VPS. Upozorňuji, | + | |
| - | <code> | + | |
| - | virsh -c qemu:///system net-start default | + | |
| - | virsh -c qemu:/// | + | |
| - | virsh -c qemu:/// | + | |
| - | virsh -c qemu:/// | + | |
| - | </ | + | |
| - | Pokud nechcete pokaždé zadávat přepínač -c pro příkazy virsh a používáte pouze lokální hypervisor, je potřeba v tomto souboru / | + | cleanup() { |
| - | <code shell> | + | |
| - | uri_default = " | + | |
| - | </ | + | } |
| - | Poté příkazy virsh dále používáme již bez přepínače -c tedy následně: | + | valid_ip_address() { |
| - | <code shell> | + | local family=$1 address=$2 |
| - | virsh net-start default | + | |
| - | virsh net-autostart default | + | |
| - | virsh net-list --all | + | |
| - | virsh list | + | |
| - | </ | + | |
| - | ==== Konfigurace sítě KVM na Debian 8 ==== | + | perl -MSocket=AF_INET, |
| - | === * Routování veřejné IPv4 přes lokální rozsah do KVM virtuálu, lokální IPv4 u VPS === | + | my ($family, $address) |
| + | my $af = $family eq " | ||
| + | | ||
| + | ' " | ||
| + | } | ||
| - | Tento návod byl otestován na VPS Debian 8 OpenVZ kontejneru, jako KVM virtuál byl použit systém Ubuntu 16.04.1 LTS x86_64. | + | if [[ $action == stopped ]]; then |
| + | cleanup | ||
| + | exit 0 | ||
| + | fi | ||
| + | [[ $action == started || $action == reconnect ]] || exit 0 | ||
| - | Máme pouze jednu veřejnou IPv4 adresu | + | entries=() |
| + | while read -r family protocol public_ip public_port guest_ip guest_port extra \ | ||
| + | || [[ -n ${family:-} ]]; do | ||
| + | [[ -n ${family:-} && $family != \#* ]] || continue | ||
| + | [[ $family == ipv4 || $family == ipv6 ]] || { | ||
| + | printf | ||
| + | exit 1 | ||
| + | } | ||
| + | [[ $protocol == tcp || $protocol == udp ]] || { | ||
| + | printf | ||
| + | exit 1 | ||
| + | } | ||
| + | for address in " | ||
| + | valid_ip_address " | ||
| + | printf | ||
| + | " | ||
| + | exit 1 | ||
| + | } | ||
| + | done | ||
| + | [[ $public_port =~ ^[0-9]{1,5}$ && $guest_port =~ ^[0-9]{1,5}$ ]] || { | ||
| + | printf | ||
| + | exit 1 | ||
| + | } | ||
| + | public_port=$((10# | ||
| + | guest_port=$((10# | ||
| + | ((public_port >= 1 && public_port <= 65535)) || exit 1 | ||
| + | ((guest_port >= 1 && guest_port <= 65535)) || exit 1 | ||
| + | [[ -z ${extra:-} ]] || { | ||
| + | printf | ||
| + | exit 1 | ||
| + | } | ||
| + | entries+=(" | ||
| + | done <" | ||
| - | VPS má pouze privátní / lokální IPv4 adresu | + | cleanup |
| + | for tool in iptables ip6tables; do | ||
| + | " | ||
| + | " | ||
| + | done | ||
| + | for entry in " | ||
| + | IFS='|' | ||
| + | <<<" | ||
| + | tool=iptables | ||
| + | destination=" | ||
| + | if [[ $family == ipv6 ]]; then | ||
| + | tool=ip6tables | ||
| + | destination=" | ||
| + | fi | ||
| + | " | ||
| + | --dport " | ||
| + | " | ||
| + | --dport " | ||
| + | done | ||
| + | for tool in iptables ip6tables; | ||
| + | " | ||
| + | " | ||
| + | done | ||
| + | HOOK | ||
| + | chmod 0755 " | ||
| - | Nejprve je potřeba ve vpsAdminu, v detailu vaší VPS, ke vlastnostem Bridge, iptables a KVM také zapnout vlastnost: | + | cat >" |
| + | # RODINA PROTOKOL VEŘEJNÁ_IP VEŘEJNÝ_PORT IP_DOMÉNY PORT_DOMÉNY | ||
| + | ipv4 tcp $PUBLIC_IPV4 80 $guest_ipv4 80 | ||
| + | ipv4 tcp $PUBLIC_IPV4 2222 $guest_ipv4 22 | ||
| + | ipv6 tcp $PUBLIC_IPV6 80 $guest_ipv6 80 | ||
| + | ipv6 tcp $PUBLIC_IPV6 2222 $guest_ipv6 22 | ||
| + | EOF | ||
| - | * TUN/ | + | virsh --connect " |
| - | + | virsh --connect " | |
| - | Dále nakonfigurujte bridge '' | + | systemctl restart libvirtd.service |
| - | + | if ! virsh --connect " | |
| - | Vytvořte tedy soubor ''/ | + | | grep -Fx "$network" >/dev/null; then |
| - | <code shell> | + | virsh --connect " |
| - | auto br0 | + | fi |
| - | iface br0 inet static | + | " |
| - | address 172.16.20.12 | + | virsh --connect " |
| - | netmask 255.255.255.255 | + | |
| - | bridge_ports venet0:0 | + | |
| - | bridge_stp on | + | |
| - | bridge_fd 0.0 | + | |
| - | dad-attempts 0 | + | |
| - | accept_ra 0 | + | |
| </ | </ | ||
| - | Vzhledem k tomu že OpenVZ již po této úpravě automaticky nevloží do ''/ | + | Další port přidáš |
| - | <code shell> | + | '' |
| - | auto venet0:0 | + | HTTPS dostupné |
| - | iface venet0:0 inet static | + | |
| - | address 185.8.164.43 | + | |
| - | netmask 255.255.255.255 | + | |
| - | </ | + | |
| - | Soubor ''/ | + | < |
| - | + | ipv4 tcp VPS_IPV4 8443 192.168.124.10 443 | |
| - | Například pomocí '' | + | ipv6 tcp VPS_IPV6 8443 fd5f:6d2e: |
| - | < | + | |
| - | IP adresa: 172.16.20.13 | + | |
| - | Maska sítě: 255.255.255.0 | + | |
| - | Brána: 172.16.20.12 | + | |
| - | DNS servery: 37.205.9.100, | + | |
| </ | </ | ||
| - | A k danému rozhraní ještě přidáme veřejnou IPv4 adresu: | + | Podporované protokoly jsou '' |
| - | <code shell> | + | odmítne dříve, než se změní aktivní pravidla. Po změně souboru pravidla načti: |
| - | IP adresa: 185.8.164.43 (zvolíte správnou z aktuální konfigurace ve vpsAdminu) | + | |
| - | Maska sítě: 255.255.255.0 (masku zvolíme stejnou jako pro privátní / lokální IPv4 adresu) | + | |
| - | </ | + | |
| - | Vrátíme se ke konfiguraci souboru '' | + | <code bash> |
| - | <code shell> | + | /etc/ |
| - | auto venet0:0 | + | |
| - | iface venet0:0 inet static | + | |
| - | address 185.8.164.43 | + | |
| - | netmask 255.255.255.255 | + | |
| </ | </ | ||
| - | Místo toho do souboru ''/ | + | Port 2222 byl zvolen proto, aby SSH domény nekolidovalo s SSH samotné VPS. |
| + | Pravidla firewallu VPS dále omez podle toho, kdo má mít ke službám | ||
| - | Správný tvar pro privátní rozsah IPv4 nalezneme ve vpsAdminu [[https:// | + | ==== Privátní IPv4 na VPS a veřejné adresy |
| - | <code shell> | + | |
| - | up ip route add 172.16.20.0/ | + | |
| - | down ip route del 172.16.20.0/ | + | |
| - | </ | + | |
| - | Přidáme routování pro privátní | + | V tomto zapojení má VPS privátní IPv4 '' |
| - | <code shell> | + | '' |
| - | up ip route add 172.16.20.13 dev br0 | + | '' |
| - | down ip route del 172.16.20.13 dev br0 | + | VPS funguje |
| - | up ip route add 185.8.164.43 dev br0 | + | routerech; veřejné adresy domény se v libvirt nepřekládají. |
| - | down ip route del 185.8.164.43 dev br0 | + | |
| - | </ | + | |
| - | Povolíme | + | Pro IPv4 nejprve požádej podporu o přidělení privátní |
| - | <code shell> | + | |
| - | post-up echo 1 > / | + | |
| - | post-up echo 1 > / | + | |
| - | dns-nameservers | + | |
| - | </ | + | |
| - | Nastavíme směrování portu 1022 pro SSH VPS (nezapomeňte nastavit také port 1022 u samotné služby SSH na VPS), abychom neztratili přístup k SSH u VPS, vhledem k tomu že síťový provoz bude zcela směrován jen na veřejnou | + | < |
| - | <code shell> | + | V části **Síť → Routované adresy** pak vyber veřejnou ''/ |
| - | up iptables -t nat -A PREROUTING -p tcp --dport 1022 -d 185.8.164.43 -j DNAT --to 172.16.20.12 | + | **Adresa**, privátní adresu VPS v poli **Přes** a cílové rozhraní VPS. Veřejná |
| - | up iptables -t nat -A POSTROUTING -p tcp --sport 1022 -d 172.16.20.12 -j SNAT --to 185.8.164.43 | + | adresa se tím nenastaví na žádném rozhraní uvnitř VPS; vpsAdminOS ji k VPS |
| - | down iptables -t nat -D PREROUTING -p tcp --dport 1022 -d 185.8.164.43 -j DNAT --to 172.16.20.12 | + | směruje |
| - | down iptables -t nat -D POSTROUTING -p tcp --sport 1022 -d 172.16.20.12 -j SNAT --to 185.8.164.43 | + | </vpsadmin-nav> |
| - | </code> | + | |
| - | Soubor | + | < |
| + | Pro IPv6 použij další | ||
| + | k dispozici, a nastav její směrování přes adresu z běžné '' | ||
| + | máš směrovanou | ||
| + | samostatnou ''/ | ||
| + | bridge libvirt; například pro '' | ||
| + | '' | ||
| + | </ | ||
| - | === * Lokální | + | Tok IPv4 paketů používá malou tranzitní síť pouze mezi VPS a doménou: |
| - | Tento návod byl otestován na VPS Debian 8 OpenVZ kontejneru, jako KVM virtuál byl použit systém Ubuntu 16.04.1 LTS x86_64. | + | < |
| - | + | internet → veřejná /32 → VPS → 192.168.123.1/30 | |
| - | Máme lokální IPv4 adresu '' | + | ↓ |
| - | + | | |
| - | VPS má vlastní veřejnou IPv4 adresu '' | + | </code> |
| - | + | ||
| - | Nejprve je potřeba ve vpsAdminu, v detailu vaší VPS, ke vlastnostem Bridge, iptables a KVM také zapnout vlastnost: | + | |
| - | + | ||
| - | * TUN/TAP - povolí možnost vytvoření virtuálního síťového rozhraní TUN/TAP. | + | |
| - | Dále nakonfigurujte bridge '' | + | V XML libvirt je veřejná IPv4 samostatná trasa přes tranzitní adresu domény. |
| + | Směrovaná IPv6 ''/ | ||
| - | Vytvořte tedy soubor ''/ | + | <code xml> |
| - | <code shell> | + | <network> |
| - | auto br0 | + | < |
| - | iface br0 inet static | + | <forward mode='open'/> |
| - | address 192.168.122.1 | + | <bridge name='virbr-public'/> |
| - | netmask 255.255.255.255 | + | <ip address=' |
| - | bridge_ports venet0:0 | + | <ip family=' |
| - | bridge_stp on | + | < |
| - | bridge_fd 0.0 | + | |
| + | </ | ||
| </ | </ | ||
| - | Do souboru ''/ | + | Na VPS musí být povolené směrování obou protokolů: |
| - | <code shell> | + | |
| - | up ip route add 192.168.122.0/ | + | |
| - | down ip route del 192.168.122.0/ | + | |
| - | </ | + | |
| - | Povolíme předávání datagramů z jednoho síťového rozhraní na druhé (ip_forward) a nastavíme NAT a IP maškarádu mezi bridge '' | + | < |
| - | < | + | sysctl |
| - | post-up echo 1 > /proc/sys/net/ipv4/ip_forward | + | sysctl |
| - | up iptables | + | |
| - | up iptables --append FORWARD --in-interface br0 -j ACCEPT | + | |
| </ | </ | ||
| - | Vzhledem k tomu že OpenVZ již po této úpravě automaticky nevloží do ''/ | + | Následující skript vytvoří tuto síť a uloží forwarding |
| - | <code shell> | + | ''/ |
| - | auto venet0:0 | + | ''/ |
| - | iface venet0:0 inet static | + | adresou routované IPv6 ''/ |
| - | address 185.8.164.43 | + | |
| - | netmask 255.255.255.255 | + | |
| - | dns-nameservers | + | |
| - | </ | + | |
| - | + | < | |
| - | Soubor ''/ | + | PUBLIC_IPV4=PUBLIC_IPV4 \ |
| - | + | IPV6_GATEWAY=ROUTED_IPV6_PREFIX::1 \ | |
| - | Například pomocí '' | + | |
| - | < | + | |
| - | IP adresa: | + | |
| - | Maska sítě: 255.255.255.0 | + | |
| - | Brána: 192.168.122.1 | + | |
| - | DNS servery: | + | |
| </ | </ | ||
| + | Stejně jako u NAT se skript spouští při vytvoření sítě nebo změně adres. | ||
| + | Autostart sítě a nastavení v ''/ | ||
| - | Nyní je čas na nastavení směrování portů (port forwarding) pro dané služby na KVM virtuálu, které boudou na daných portech dostupné na veřejné IPv4 adrese VPS. Toto nastavení provedeme pomocí skriptu (tento skript je převzat a upraven dle oficiálního návodu k libvirt, zdroj [[https://wiki.libvirt.org/page/ | + | <code bash> |
| + | #!/usr/bin/env bash | ||
| + | set -euo pipefail | ||
| - | Vytvoříme tedy soubor ''/ | + | : " |
| - | <code shell> | + | : " |
| - | # | + | |
| - | # used some from advanced script | + | |
| - | # Update the following variables to fit your setup | + | host_transit_ipv4=${HOST_TRANSIT_IPV4: |
| - | Guest_name='kvm-virtual' | + | guest_transit_ipv4=${GUEST_TRANSIT_IPV4: |
| - | Guest_ipaddr='192.168.122.2' | + | connection=qemu:/// |
| - | Guest_port=( ' | + | network=public-routed |
| - | Host_ipaddr='185.8.164.43' | + | forwarding_config=/ |
| - | Host_port=( '80' | + | xml=$(mktemp) |
| + | trap 'rm -f " | ||
| - | length=$(( ${# | + | export LC_ALL=C |
| - | if [ "${1}" | + | network_uuid=$(virsh --connect |
| - | if [ "${2}" = " | + | uuid_element= |
| - | for i in `seq 0 $length`; do | + | if [[ -n $network_uuid |
| - | | + | |
| - | iptables -D FORWARD -d ${Guest_ipaddr}/ | + | |
| - | iptables -t nat -D PREROUTING -d ${Host_ipaddr} -p udp --dport ${Host_port[$i]} -j DNAT --to ${Guest_ipaddr}: | + | |
| - | | + | |
| - | | + | |
| - | fi | + | |
| - | if [ " | + | |
| - | for i in `seq 0 $length`; do | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | fi | + | |
| fi | fi | ||
| - | </code> | + | cat >" |
| + | < | ||
| + | < | ||
| + | $uuid_element | ||
| + | <forward mode=' | ||
| + | <bridge name=' | ||
| + | <ip address=' | ||
| + | <ip family=' | ||
| + | <route family=' | ||
| + | | ||
| + | </network> | ||
| + | EOF | ||
| - | V souboru ještě před uložením skriptu '' | + | if virsh --connect " |
| - | <code shell> | + | | grep -Fx " |
| - | Guest_name='kvm-virtual' | + | printf |
| - | Guest_ipaddr='192.168.122.2' (je IPv4 lokální adresa již samotného KVM virtuálu) | + | |
| - | Guest_port=( ' | + | |
| - | Host_ipaddr=' | + | fi |
| - | Host_port=( | + | |
| - | </ | + | |
| - | V příkladu výše, se směruje port 80 a 443 pro webserver na KVM virtuálu, z veřejné IPv4 adresy VPS (port 80 a 443) na lokální IPv4 adresu (port 80 a 443) KVM virtuálu. Pokud chceme mít také přístup na SSH u KVM virtuálu, je třeba doplnit také dané porty pro SSH na KVM virtuálu (pozor na to , aby port pro SSH nebyl stejný jako je aktuálně SSH u VPS). Vstupní a výstupní port samozřejmě nemusí být stejný. | + | install -d -m 0755 "$(dirname " |
| + | cat >" | ||
| + | net.ipv4.ip_forward = 1 | ||
| + | net.ipv6.conf.all.forwarding = 1 | ||
| + | EOF | ||
| + | sysctl --quiet --load " | ||
| - | Soubor ''/ | + | virsh --connect " |
| - | <code shell> | + | virsh --connect " |
| - | chmod +x / | + | virsh --connect " |
| + | virsh --connect " | ||
| </ | </ | ||
| - | V tuto chvíli | + | Pokud je síť již aktivní, skript ji nezmění. Vypni připojené domény, zastav |
| + | síť příkazem '' | ||
| + | opět zapni. Skript zachová UUID existující sítě. | ||
| - | === * Routování veřejné IPv4 do KVM virtuálu, veřejná IPv4 u VPS === | + | Doménu připoj k '' |
| + | následující konfiguraci | ||
| + | '' | ||
| + | skutečnými hodnotami: | ||
| - | Tento návod byl otestován na VPS Debian 8 OpenVZ kontejneru, jako KVM virtuál byl použit systém Ubuntu 16.04.1 LTS x86_64. | + | <code conf> |
| + | auto ens3 | ||
| + | iface ens3 inet static | ||
| + | address 192.168.123.2/30 | ||
| + | up ip address add PUBLIC_IPV4/ | ||
| + | up ip route replace default via 192.168.123.1 src PUBLIC_IPV4 | ||
| + | down ip address del PUBLIC_IPV4/ | ||
| - | Máme veřejnou IPv4 adresu '' | + | iface ens3 inet6 static |
| - | + | address | |
| - | VPS má vlastní veřejnou IPv4 adresu '' | + | |
| - | + | ||
| - | Nejprve je potřeba ve vpsAdminu, v detailu vaší VPS, ke vlastnostem Bridge, iptables a KVM také zapnout vlastnost: | + | |
| - | + | ||
| - | * TUN/TAP - povolí možnost vytvoření virtuálního síťového rozhraní TUN/TAP. | + | |
| - | + | ||
| - | Dále nakonfigurujte bridge '' | + | |
| - | + | ||
| - | Vytvořte tedy soubor ''/ | + | |
| - | <code shell> | + | |
| - | auto br0 | + | |
| - | iface br0 inet static | + | |
| - | address | + | |
| - | netmask 255.255.255.255 | + | |
| - | bridge_ports venet0:0 | + | |
| - | bridge_stp on | + | |
| - | bridge_fd 0.0 | + | |
| - | dad-attempts 0 | + | |
| - | accept_ra 0 | + | |
| </ | </ | ||
| - | Do souboru | + | '' |
| + | VPS. Povol jen provoz, který má být doméně dostupný, a nezapomeň na pravidla | ||
| + | pro IPv4 i IPv6. Veřejná IPv4 je nakonfigurovaná pouze v doméně. IPv6 brána a | ||
| + | adresy domén jsou z druhé, směrované ''/ | ||
| + | jen adresa z její běžné | ||
| + | NAT. | ||
| - | Správný tvar pro veřejný rozsah k dané veřejné IPv4 adrese nalezneme ve vpsAdminu [[https:// | + | ===== Instalační ISO na NFS ===== |
| - | <code shell> | + | |
| - | up ip route add 185.8.164.0/ | + | |
| - | down ip route del 185.8.164.0/ | + | |
| - | </ | + | |
| - | Přidáme routování pro veřejnou IPv4 adresu KVM virtuálu | + | Instalační ISO je bezpečnější nejprve zkopírovat na lokální dataset. U staršího |
| - | <code shell> | + | NFSv3 exportu bez funkčního síťového zamykání může QEMU při čekání |
| - | up ip route add 185.8.164.43 dev br0 | + | uvíznout nebo skončit chybou jako '' |
| - | down ip route del 185.8.164.43 dev br0 | + | '' |
| - | </ | + | |
| - | Povolíme | + | Pouze pro jednoho klienta a pouze pro instalační ISO připojené pro čtení lze |
| - | <code shell> | + | použít |
| - | post-up echo 1 > / | + | |
| - | post-up echo 1 > / | + | |
| - | dns-nameservers | + | |
| - | </ | + | |
| - | Soubor '' | + | <code bash> |
| + | #!/usr/bin/env bash | ||
| + | set -euo pipefail | ||
| - | V systému KVM virtuálu nakonfigurujeme jeho síť dle vzoru se správnými parametry (veřejnou IPv4 adresu pro KVM virtuál jsme si již vybrali v předchozím kroku, zadáme stejnou a brána je IPv4 adresa VPS již zvolená pro bridge '' | + | : " |
| - | <code shell> | + | : " |
| - | IP adresa: 185.8.164.43 | + | |
| - | Maska sítě: 255.255.255.255 | + | |
| - | Brána: 185.8.164.36 | + | |
| - | DNS servery: | + | |
| - | </ | + | |
| - | A je hotovo. | + | mountpoint=${ISO_MOUNTPOINT:-/mnt/installer-iso} |
| - | + | install | |
| - | === * Routování veřejné IPv6 do KVM virtuálu, veřejná IPv6 u VPS === | + | mount -t nfs -o ro,vers=3,nolock \ |
| - | + | " | |
| - | Tento návod byl otestován na VPS Debian 8 OpenVZ kontejneru, jako KVM virtuál byl použit systém Ubuntu 16.04.1 LTS x86_64. | + | |
| - | + | ||
| - | Máme veřejnou IPv6 adresu '' | + | |
| - | + | ||
| - | VPS má vlastní veřejnou IPv6 adresu '' | + | |
| - | <note warning> | + | |
| - | Následující návod předpokládá již provedení kroků konfigurace IPv4 pomocí jednoho z následujících postup v těchto odstavcích: | + | |
| - | + | ||
| - | * „Routování veřejné IPv4 přes lokální rozsah do KVM virtuálu, lokální IPv4 u VPS“, | + | |
| - | + | ||
| - | * „Lokální IPv4 adresa KVM virtuálu za NATem, veřejná IPv4 u VPS“ či | + | |
| - | + | ||
| - | * „Routování veřejné IPv4 do KVM virtuálu, veřejná IPv4 u VPS“ | + | |
| - | + | ||
| - | tohoto návodu výše. | + | |
| - | + | ||
| - | Bez těchto předchozích kroků nelze následující návod pro IPv6 použít v této formě! | + | |
| - | </ | + | |
| - | + | ||
| - | Do existujícího souboru ''/ | + | |
| - | <code shell> | + | |
| - | iface br0 inet6 static | + | |
| - | address 2a03: | + | |
| - | netmask 128 | + | |
| - | autoconf 0 | + | |
| - | dad-attempts 0 | + | |
| - | accept_ra 0 | + | |
| - | </code> | + | |
| - | + | ||
| - | Do souboru '' | + | |
| - | + | ||
| - | Správný tvar pro rozsah IPv6 nalezneme ve vpsAdminu [[https:// | + | |
| - | + | ||
| - | Do souboru ''/ | + | |
| - | <code shell> | + | |
| - | up route -A inet6 add 2a03: | + | |
| - | down route -A inet6 del 2a03: | + | |
| - | up route -A inet6 add 2a03: | + | |
| - | down route -A inet6 del 2a03:3b40:3::52 dev br0 | + | |
| - | </ | + | |
| - | + | ||
| - | Povolíme předávání datagramů z jednoho síťového rozhraní na druhé (forwarding) a nastavíme DNS servery IPv6 sítě vpsfree.cz. Do souboru ''/ | + | |
| - | <code shell> | + | |
| - | post-up echo 1 > / | + | |
| - | dns-nameservers 2a01: | + | |
| - | </ | + | |
| - | V systému KVM virtuálu nakonfigurujeme jeho síť dle vzoru se správnými parametry (veřejnou IPv6 adresu pro KVM virtuál jsme si již vybrali v předchozím kroku, zadáme stejnou a brána je IPv6 adresa již zvolená pro bridge '' | + | findmnt --noheadings --output FSTYPE,OPTIONS --target " |
| - | <code shell> | + | |
| - | IP adresa: | + | |
| - | Maska sítě: | + | |
| - | Brána: | + | |
| - | DNS servery: | + | |
| </ | </ | ||
| - | Soubor | + | '' |
| - | ===== Kontakty ===== | + | zámky. Nikdy jej nepoužívej pro zapisovatelný nebo sdílený disk virtuálního |
| + | stroje. U NFSv4 je zamykání součástí protokolu a tato volba není řešením. Viz | ||
| + | [[https:// | ||
| - | < | ||
| - | pavlix (CentOS, Debian) | ||
| - | jirutka (Alpine Linux) | ||
| - | </ | ||
navody/vps/kvm.1488964979.txt.gz · Poslední úprava: autor: ernierasta
Nástroje pro stránku
Kromě míst, kde je explicitně uvedeno jinak, je obsah této wiki licencován pod následující licencí: CC Attribution-Share Alike 4.0 International
