虚拟机下host-only等网络的方式会影响宿主机的iptables流程吗？

chong232

回复 20# platinum

我测试了桥接方式，宿主机的wireshark可以抓到guest的报文，但宿主机的iptables匹配不到guest的网络包
我想可能是由于wireshark工作在所有七层的协议，而iptables工作在七层协议的第二层及以上的缘故吧

为此，我在网上搜到了一个链接，上面是某个人以前的理解，http://www.web521.com/web/591268/T671107.shtml
它的一点我不敢确认：
      而对于工作在三层的设备来说，基本上是二层已经根据二层头作过相应处理提交上来的，但你不能说它没有二层头，这个信息肯定是保留的，只是对于三层设备来说只能拿到二层设备已经分拣过的数据。
   
     是这样的吧？

chong232

回复 21# chong232


    在icmp包里可以看到mac信息。

为什么删我号

回复  platinum


    有道理，这样我就放心了。我怕我说多了双惹版主发火，不让“言论自由”啊。
renxiao2003 发表于 2010-08-09 15:30

    你也太敏感了，随便说说就怕了

renxiao2003

回复 23# 为什么删我号


    言论自由，但是确实不好，以后注意发点有质量的。呵呵。和主题尽量符合。没办法啊。呵呵。

platinum

回复  platinum
我测试了桥接方式，宿主机的wireshark可以抓到guest的报文，但宿主机的iptables匹配不到guest的网络包
我想可能是由于wireshark工作在所有七层的协议，而iptables工作在七层协议的第二层及以上的缘故吧
chong232 发表于 2010-08-10 10:26

这是正常的，iptables 不能处理“旁接”数据，这些数据没有走标准的 netfilter 流程，需要改内核源代码才可以

julyclyde

桥接也会受iptables影响的。从某古代版本开始，Linux ethernet bridge也受netfilter管制。主要是FORWARD链

host-only如果只和host进行通信，则受到host的INPUT/OUTPUT管制；如果经过host上网，则host需要开SNAT/MASQUERADE等才可以

chong232

回复 26# julyclyde


    我觉得桥接不会的，之前测试过，好像没有匹配到guest的报文

julyclyde

这个不是觉得不觉得的问题，而是实际上就有的
http://ebtables.sourceforge.net/documentation/what.html