Tôi có thiết lập mạng sau.
Tôi đang chạy một máy chủ với 2 vms. Mỗi vm đang chạy debian với cri-o, chạy một số vùng chứa. Mỗi vùng chứa có một địa chỉ IP trên mạng con 10.200.0.0/24. Một khách sử dụng ip trên mạng con 10.200.0.0.0/16 và khách khác sử dụng ip trên mạng con 10.200.1.0/16.
Máy chủ có giao diện cầu nối, anh trai. Máy chủ eth0 giao diện được gắn với anh trai và các vms NIC cũng là một phần của cây cầu đó, vì vậy chúng được gán ip trên mạng con lan của tôi (192.168.1.0/24).
Máy chủ có các giá trị sysctl sau, vì vậy iptables sẽ không ảnh hưởng đến lưu lượng cầu.
net.bridge.bridge-nf-call-ip6tables = 0
net.bridge.bridge-nf-call-iptables = 0
net.bridge.bridge-nf-call-arptables = 0
Tôi muốn các vùng chứa có thể kết nối với nhau (10.200.0.4 đến/từ 10.200.1.2).Điều này hoạt động nếu tôi thiết lập các tuyến tùy chỉnh trên mỗi khách:
# on khách 01
tuyến ip thêm 10.200.1.0/24 qua 192.168.1.243
# on khách 02
tuyến ip thêm 10.200.0.0/24 qua 192.168.1.242
Và sau đó tôi có thể ping các vùng chứa khác từ mỗi vùng chứa, nhưng tôi không muốn thiết lập các tuyến tĩnh trên mỗi khách, vì tôi sẽ phải làm điều đó cho từng khách mỗi khi có gì đó thay đổi.
Nếu tôi xóa các tuyến này và thêm một số tuyến tĩnh vào máy chủ của mình, tôi có thể ping tất cả các vùng chứa từ máy chủ đó:
tuyến ip thêm 10.200.0.0/24 qua 192.168.1.242
tuyến ip thêm 10.200.1.0/24 qua 192.168.1.243
# bảng định tuyến của khách vẫn như ban đầu với tuyến đường mặc định qua br0/eth0
# cho 192.168.1.243
mặc định qua 192.168.1.1 dev enp1s0
10.200.1.0/24 dev cni0 liên kết phạm vi kernel proto src 10.200.1.1
192.168.1.0/24 dev enp1s0 liên kết phạm vi kernel proto src 192.168.1.243
Nhưng điều quan trọng là các thùng chứa không thể chạm tới nhau. Tôi hy vọng lưu lượng truy cập sẽ đi từ vùng chứa, tới br0, tới eth0, sau đó sẽ chuyển tiếp lưu lượng truy cập đó trở lại br0, tới .242 hoặc .243 như được định cấu hình với thêm tuyến đường ip.
Tôi có thể thấy với tcpdump rằng lưu lượng truy cập đang đến br0 và eth0 trên Máy chủ, nhưng không được chuyển tiếp trở lại br0, mà chỉ quay lại bộ định tuyến của tôi không biết cách định tuyến 10.200.0.0/16. Nếu tôi thêm một tuyến đường tĩnh vào bộ định tuyến của mình, 10.200.0.0/16 qua 192.168.103, điều này thực sự hoạt động, vì máy chủ lưu trữ của tôi (.103) sau đó biết cách chuyển tiếp lưu lượng truy cập này tới br0 và .242 hoặc .243, theo thiết lập thủ công các tuyến tĩnh.
Vì vậy, có vẻ như lưu lượng truy cập được định tuyến chính xác khi đến từ bên ngoài eth0/br0 chứ không phải khi đến từ bên trong khách. Tôi hiểu rằng cầu nối hoạt động trên L2, do đó, lưu lượng truy cập cần được định tuyến trên L3 ở đâu đó, nhưng tại sao nó lại được chuyển tiếp đúng cách khi nó bắt nguồn từ bên ngoài khách chứ không phải khi nó bắt nguồn từ bên trong khách?
