KVM virbr0 routing icm VLAN

[iGadget]

Om mijn netwerk veiliger en flexibeler te maken heb ik onlangs VLAN's en virtualisatie geïmplementeerd.
De (KVM) hypervisor hangt aan een tagged VLAN poort van de switch en de (gevirtualiseerde) router kan met de juiste VLAN tagging overal bij.

Dit werkt als een trein, op één probleem na - nieuwe virtuele machines hebben standaard geen VLAN capaciteiten aan boord waardoor ze tijdens en (vlak) na de installatie het netwerk niet op kunnen. Nou heb ik geprobeerd om hier omheen te werken door niet de bridged adapter (br0) te gebruiken voor nieuwe virtuele machines, maar de virtuele NAT adapter, virbr0.
Maar op de 1 of andere manier vindt er geen routering plaats vanaf de hypervisor naar de rest van het netwerk. De hypervisor zelf heeft wèl netwerktoegang, middels VLAN adapter br0.2.
Ik heb al geprobeerd om ipv br0, br0.2 als adapter te gebruiken voor de virtuele machines, maar dat werkt niet:

code:

Error starting domain: Unable to add bridge br0.2 port vnet3: Operation not supported

Dus vandaar dat ik de oplossing zoek in het gebruik van virbr0. Gebruik ik deze, dan kan ik vanaf de virtuele machine wel pingen naar het de IP's van br0 en br0.2, maar het IP van de router timed out.
Ik vermoed nu dat òfwel virbr0 naar de verkeerde adapter forward (br0 ipv br0.2) danwel dat de hypervisor de ge-NAT'te pakketten niet zijn eigen VLAN tag meegeeft, waardoor ze afketsen op de switch.

De vraag is nu - hoe kom ik hier achter en hoe los ik dit op? Of zoek ik wellicht helemaal in de verkeerde richting?

Wat ik verder nog geprobeerd heb:
- Aanmaken van virbr1 en deze instellen op de VM. Zelfde resultaat - ik kom niet verder dan de hypervisor.
- Routetabel op de hypervisor nagelopen, deze lijkt mij ok:

code:

igadget@hypervisor:~$ route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         172.16.2.2        0.0.0.0         UG    0      0        0 br0.2
172.16.2.0        0.0.0.0         255.255.255.0   U     0      0        0 br0.2
172.16.3.0        0.0.0.0         255.255.255.0   U     0      0        0 br0
192.168.100.0   0.0.0.0         255.255.255.0   U     0      0        0 virbr1
192.168.122.0   0.0.0.0         255.255.255.0   U     0      0        0 virbr0

Alle hulp welkom...

[CAPSLOCK2000]

Ik heb eigenlijk geen tijd dus vergeef me dat ik je post niet goed heb gelezen.

Maak voor ieder vlan een bridge aan, bv br1 br2 en br3
Stop daar de de vlan-interfaces in samen met de vms.

vlan1: br1 = eth0.1 + vm1 + vm2
vlan2: br2 = eth0.2 + vm3 + vm4
vlan3: br3 = eth0.3 + vm5 + vm6

[ Voor 3% gewijzigd door CAPSLOCK2000 op 23-12-2013 17:07 ]

[iGadget]

@CAPSLOCK2000 - dank, ik ben er inmiddels ook achter dat mijn setup niet de meest handige was; met de door mij gekozen oplossing werden alle VLAN's aangeboden aan elke VM, niet echt veilig dus. Heb de boel nu zo omgebouwd dat op de hypervisor bepaald wordt op welk VLAN elke bridge zit, waarna elke VM de juiste bridge toegewezen krijgt en zo 'VLAN unaware' gewoon toegang krijgt. Veiliger, beter te beheren en geen VLAN support op de VM's benodigd. Driedubbel winst :-)

Dank nogmaals!