Нет подключения к интернету в виртуальной машине с NAT на Libvirt

Привет, супер-пользователи,

Я пытаюсь настроить интернет-соединение в своей виртуальной машине KVM/QEMU через NAT по умолчанию от Libvirt.

К сожалению, гостевая ОС (Windows 10) видит виртуальный адаптер как “Неопознанная сеть” и показывает, что “Нет Интернета”. Это и вывод “ipconfig” (ниже) показывают, что DHCP в виртуальной машине не работает должным образом. Маска подсети (изначально 255.255.255.0) и авто-адрес IPv4 (который должен быть в диапазоне 192.168.122.2 и 192.168.122.254) также настроены неправильно:

Ethernet adapter Ethernet 2:
   Connection-specific DNS Suffix  . :
   Autoconfiguration IPv4 Address. . : 169.254.81.241
   Subnet Mask . . . . . . . . . . . : 255.255.0.0
   Default Gateway . . . . . . . . . :

Вывод “ip a” на хосте во время работы виртуальной машины:

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host
       valid_lft forever preferred_lft forever
2: enp3s0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN group default qlen 1000
    link/ether f0:2f:74:1b:5b:aa brd ff:ff:ff:ff:ff:ff
3: virbr0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
    link/ether 52:54:00:5b:92:9a brd ff:ff:ff:ff:ff:ff
    inet 192.168.122.1/24 brd 192.168.122.255 scope global virbr0
       valid_lft forever preferred_lft forever
4: wlan0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
    link/ether d0:37:45:d8:fb:9a brd ff:ff:ff:ff:ff:ff
    inet 192.168.0.127/24 metric 20 brd 192.168.0.255 scope global dynamic wlan0
       valid_lft 603733sec preferred_lft 603733sec
    inet6 fe80::d237:45ff:fed8:fb9a/64 scope link
       valid_lft forever preferred_lft forever
6: vnet0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master virbr0 state UNKNOWN group default qlen 1000
    link/ether fe:54:00:d4:cd:4e brd ff:ff:ff:ff:ff:ff
    inet6 fe80::fc54:ff:fed4:cd4e/64 scope link
       valid_lft forever preferred_lft forever

Вывод “ip r” на хосте:

default via 192.168.0.1 dev wlan0 proto dhcp src 192.168.0.127 metric 20
192.168.0.0/24 dev wlan0 proto kernel scope link src 192.168.0.127 metric 20
192.168.0.1 dev wlan0 proto dhcp scope link src 192.168.0.127 metric 20
192.168.0.56 dev wlan0 proto dhcp scope link src 192.168.0.127 metric 20
192.168.122.0/24 dev virbr0 proto kernel scope link src 192.168.122.1

Это странно, потому что мост (virbr0) работает, и виртуальный интерфейс (vnet0) подключен к нему. Чтобы исправить неправильную конфигурацию, я настроил параметры LAN статически, что сработало, но теперь я могу пинговать только мой хост (192.168.0.127) и мост (192.168.122.1), при этом пинги к серверам WAN, таким как “google.com” или даже “8.8.8.8”, истекают по времени.
Разве это не означает, что virbr0 работает и перенаправляет пакеты как ожидалось, однако брандмауэр не позволяет виртуальному мосту отправлять пакеты к шлюзу по умолчанию?

• Правила nftables (# nft list ruleset): http://0x0.st/Ho6G.txt
• Конфигурация virbr0 (/etc/libvirt/qemu/networks/default.xml): http://0x0.st/Ho6h.txt
• Журнал Libvirt (/var/log/libvirt/libvirtd.log): http://0x0.st/Ho6n.txt
• Конфигурация vnet0 во время работы ВМ (/etc/libvirt/qemu/win10.xml): http://0x0.st/HoIs.txt

Вот что я уже пробовал:

• Установка и включение dnsmasq (ошибки dnsmasq теперь исчезли)
• sysctl -w net.ipv4.ip_forward=1 >> /etc/sysctl.conf

Спасибо заранее за ваше время и помощь!

limefrog :)))

libvirt не работает хорошо с nftables пока

• установите пакет совместимости iptables для nftables (iptables-nft)
• отредактируйте /etc/libvirt/network.conf и установите бэкенд на iptables

firewall_backend = "iptables"

из консоли virsh:

net-destroy default
net-start default

• libvirt тогда создаст правила брандмауэра для работы nat:

[root@endeavour ~]# iptables -t nat -L
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
LIBVIRT_PRT  all  --  anywhere             anywhere            

Chain LIBVIRT_PRT (1 references)
target     prot opt source               destination         
RETURN     all  --  192.168.122.0/24     base-address.mcast.net/24 
RETURN     all  --  192.168.122.0/24     255.255.255.255     
MASQUERADE  tcp  --  192.168.122.0/24    !192.168.122.0/24     masq ports: 1024-65535
MASQUERADE  udp  --  192.168.122.0/24    !192.168.122.0/24     masq ports: 1024-65535
MASQUERADE  all  --  192.168.122.0/24    !192.168.122.0/24