kvm虚拟机网络过滤

情景:禁止虚拟机访问外网,但是对固定目标IP的包不限制,比如A虚拟机不可以访问外网但可以发送组播的包,适用于教学环境

网络过滤文件如下:

<rule action='accept' direction='out' priority='100'>
<ip protocol='udp' srcportstart='67' srcportend='68' dstportstart='67' dstportend='68'/>
</rule>
<rule action='accept' direction='in' priority='100'>
<ip protocol='udp' srcportstart='67' srcportend='68' dstportstart='67' dstportend='68'/>
</rule>
<rule action='accept' direction='out' priority='101'>
<ip dstipaddr='239.1.1.1'/>
</rule>
<rule action='drop' direction='out' priority='200'>
<ip match='no' dstipaddr='网关' dstipmask='子网掩码'/>
</rule>

 

加粗表示允许组播地址239.1.1.1的包出去

posted @ 2019-03-04 11:25  one_person  阅读(360)  评论(0编辑  收藏  举报