Bonjour,
J'utilise ce type de config en prod sur mes deux dom0 :
eth0 : mon réseau local (IPs privées).
eth1 : ma DMZ (IPs publiques).
eth2 : accès à mon SAN pour pouvoir faire des migration live de mes
domU.
Les cartes réseaux sont toutes sur un VLAN différent et un firewall en
amont contrôle le trafic et les accès entre eth0 et eth1.
Afin de pouvoir assigner une IP (local ou dmz) à un domU et faire
transiter le trafic réseau sur la bonne interface, il faut modifier la
config du ou des dom0 :
1) Je reste en mode bridge: pour eth0 mon firewall fait déjà du NAT et
pour ma DMZ il fait du filtrage IP et du routage uniquement.
2) Pour ce faire, modifier le fichier /etc/xen/xend-config.sxp pour lui
indiquer d'utiliser un nouveau script réseau (en fait un wrapper):
# cp /etc/xen/xend-config.sxp /etc/xen/xend-config.sxp.ORG
Modifs :
# diff /etc/xen/xend-config.sxp.ORG /etc/xen/xend-config.sxp
.../...
89c93,94
< (network-script network-bridge)
---
> #(network-script network-bridge)
> (network-script network-bridge.NEW)
3) Créer un wrapper sur le script network-bridge :
# cat /etc/xen/scripts/network-bridge.NEW
#!/bin/sh
# Exit if anything goes wrong.
set -e
# First arg is the operation.
OP=$1
shift
script=/etc/xen/scripts/network-bridge
case ${OP} in
start)
$script start bridge=xen-br-loc netdev=eth0 vifnum=0
antispoof=no
$script start bridge=xen-br-dmz netdev=eth1 vifnum=1
antispoof=no
;;
stop)
$script stop bridge=xen-br-loc netdev=eth0 vifnum=0
$script stop bridge=xen-br-dmz netdev=eth1 vifnum=1
;;
*)
echo 'Unknown command: ' ${OP}
echo 'Valid commands are: start, stop'
exit 1
esac
4) J'ai donc maintenant deux interfaces de type bridge avec des noms
bien spécifiques et des interfaces dédiées :
xen-br-loc (mon réseau local) pour eth0
xen-br-dmz (ma dmz) pour eth1
5) Il reste juste à modifier le fichier de startup de mes domU pour
pouvoir en profiter :
.../...
# network
vif = [ 'bridge=xen-br-loc' ]
ip="192.168.0.103"
netmask="255.255.255.0"
gateway="192.168.0.1"
.../...
Ou pour un domU dans ma DMZ :
# network
vif = [ 'bridge=xen-br-dmz' ]
ip="214.*.*.*"
netmask="255.255.255.224"
gateway="214.*.*.*"
6) Faire un reboot pour tester car sinon le dom0 ne va pas trouver vos
interfaces.
Voila si ca peut t'aider et répondre à ta question.
Cordialement,
Yacine.
http://www.alyseo.com/
http://www.coraid.fr/
> ----------------------------------------------------------------------
> Message: 1
> Date: Tue, 29 May 2007 11:31:59 +0200
> From: "Le poulpe qui bloppe !" <monpoulpe@xxxxxxxxx>
> Subject: [Xen-fr] Problemes reseau
> To: xen-fr@xxxxxxxxxxxxxxxxxxx
> Message-ID:
> <ca8ba4880705290231m25ffd14fj308dd267b29eca5@xxxxxxxxxxxxxx>
> Content-Type: text/plain; charset="iso-8859-1"
>
> Bonjour,
> Je suis tout ouveau sur la liste, j'utilise xen de maniere tres simple
> depuis 1 mois, et j'ai besoin de passer dans une configuration un peu plus
> compliquee.
> Voila ce que je souhaite faire:
> Ma machine dom0 doit avoir 2 cartes reseau:
> - eth1 branchee sur le net avec mon ip publique.
> - eth0 branchee sur un switch vers mon reseau local en 192.168.13.254
> Jusqu'a present, mon xen etait en bridge avec mes domu dans le meme reseau
> que mon lan 192.168.13.xxx
> Et maintenant, j'ai besoin d'avoir mes domU dans un autre sous reseau pour
> ne pas etre pollue par mon lan, donc les mettre en 192.168.51.xxx
> Mon gros probleme, c'est que je ne comprends pas tout entre nat et bridge,
> et que le plus loin ou j'arrive a aller, c'est effectivement une domu en
> 51.x qui qrrive a pinguer ma dom0, mais pas le lan, et pas de net...
>
> J'ai beau googler, je trouve pas grand chose.
>
> Le principe ideal ou j'aimerais arriver, en pensant a une infrastructure
> physique, c'est un peu comme si ma dom0 avait 3 carte reso:
> - eth1 = internet
> - eth0 = mon lan en .13.xx
> - eth2 = branchee sur un switch qui part sur le 51.xxx
> De cette maniere, j'aurais vraiment des reseau separes et je pourrait mettre
> un iptables sur ma dom0 et regler qui a acces a quoi et comment.
>
> Donc si quelqu'un peu me donner une piste, ce serait vraiment sympa.
>
> Merci de votre attention.
>
>
> PS: dsl pour les accents, je suis en qwerty....
> -------------- section suivante --------------
> Une pièce jointe HTML a été enlevée...
> URL:
> http://lists.xensource.com/archives/html/xen-fr/attachments/20070529/e236d381/attachment.html
>
> ------------------------------
_______________________________________________
Xen-fr mailing list
Xen-fr@xxxxxxxxxxxxxxxxxxx
http://lists.xensource.com/xen-fr
|
Home