为什么libvirt 不与fedora 32 上的iptables 合作

Question

我正在尝试在 Fedora 32 上使用几乎默认安装的 libvirt/kvm。

安装 libvirt 后，我​​正在尝试启动default网络：virsh net-start default.

但是由于某种原因，有许多链丢失了，所以它失败了。例如，libvirt 尝试加载的新规则开始于：

-A IN_libvirt_allow -p udp --dport 67 -m conntrack --ctstate NEW,UNTRACKED -j ACCEPT

但是没有IN_libvirt_allow（或IN_libvirt_post, FORWARD_OUT_ZONES, ...）。

我确实有一些与 libvirt 相关的链，例如LIBVIRT_INP/ LIBVIRT_OUT，但我不确定哪些属于 libvirt，哪些属于 firewalld 以及它们应该如何协同工作。

我缺少什么设置？

Answer 1

Fedora 32 是第一个切换到 nftables 的 Fedora 版本。Libvirtd 目前通过直接编写（遗留）iptables 规则并要求 firewalld 创建它需要的规则来创建防火墙规则的混合。您（当前）必须使用 firewalld 来使 libvirtd 在此发行版上正常工作。