kvm虚拟机网络过滤
情景:禁止虚拟机访问外网,但是对固定目标IP的包不限制,比如A虚拟机不可以访问外网但可以发送组播的包,适用于教学环境
网络过滤文件如下:
<rule action='accept' direction='out' priority='100'>
<ip protocol='udp' srcportstart='67' srcportend='68' dstportstart='67' dstportend='68'/>
</rule>
<rule action='accept' direction='in' priority='100'>
<ip protocol='udp' srcportstart='67' srcportend='68' dstportstart='67' dstportend='68'/>
</rule>
<rule action='accept' direction='out' priority='101'>
<ip dstipaddr='239.1.1.1'/>
</rule>
<rule action='drop' direction='out' priority='200'>
<ip match='no' dstipaddr='网关' dstipmask='子网掩码'/>
</rule>
加粗表示允许组播地址239.1.1.1的包出去