LXC/Incus项目：网络连接与安全配置详解

LXC/Incus项目：网络连接与安全配置详解

incus Powerful system container and virtual machine manager 项目地址: https://gitcode.com/gh_mirrors/inc/incus

前言

在LXC/Incus容器管理系统中，网络连接与安全配置是确保容器网络功能正常工作的关键环节。本文将深入探讨如何正确配置安全策略以确保Incus管理的网络连接正常工作，并解决可能出现的网络连接问题。

基础概念

netfilter与安全策略

Linux系统的安全策略基于netfilter内核子系统实现。Incus同样使用这一子系统来管理容器网络，这可能导致与其他安全系统的冲突。当系统安全策略与Incus同时运行时，可能会影响网络功能（如DHCP、DNS和外部网络访问）。

xtables与nftables

Linux系统提供了两种用户空间工具来管理netfilter规则：

1. xtables：包括iptables（IPv4）和ip6tables（IPv6），使用有序规则列表
2. nftables：新一代安全框架，支持规则命名空间

nftables的主要优势在于可以将规则划分到不同的命名空间，有助于隔离不同应用的规则。Incus会自动检测系统是否支持nftables，并在支持时切换到nftables模式，使用自己的命名空间管理规则。

Incus安全策略管理

默认行为

默认情况下，Incus管理的网络连接会自动添加必要的安全规则以确保完整功能。如果系统没有运行其他安全策略，可以保留这一默认配置。

配置选项

可以通过以下命令控制Incus的安全策略行为：

incus network set <网络连接> ipv4.security <true|false>
incus network set <网络连接> ipv6.security <true|false>

与其他安全策略共存

当系统运行其他安全策略（如firewalld或UFW）时，需要特别注意配置以避免冲突。

禁用Incus安全策略

建议在使用其他安全策略时禁用Incus的安全策略功能：

incus network set <网络连接> ipv6.security false
incus network set <网络连接> ipv4.security false

firewalld配置

对于使用firewalld的系统，需要将Incus连接接口添加到"trusted"区域：

sudo firewall-cmd --zone=trusted --change-interface=<网络连接> --permanent
sudo firewall-cmd --reload

安全警告：此配置简化了安全设置，实际生产环境中可能需要更精细的规则控制。

UFW配置

对于UFW安全策略，需要添加以下规则允许连接流量：

sudo ufw allow in on <网络连接>
sudo ufw route allow in on <网络连接>
sudo ufw route allow out on <网络连接>

更精细的控制规则示例：

# 允许DHCP
sudo ufw allow in on incusbr0 to any port 67 proto udp
sudo ufw allow in on incusbr0 to any port 547 proto udp

# 允许DNS
sudo ufw allow in on incusbr0 to any port 53

# 允许出站连接
CIDR4="$(incus network get incusbr0 ipv4.address | sed 's|\.[0-9]\+/|.0/|')"
CIDR6="$(incus network get incusbr0 ipv6.address | sed 's|:[0-9]\+/|:/|')"
sudo ufw route allow in on incusbr0 from "${CIDR4}"
sudo ufw route allow in on incusbr0 from "${CIDR6}"

与Docker共存问题

在同一主机上同时运行Incus和Docker可能导致网络连接问题，主要原因是Docker会将全局FORWARD策略设置为drop。

解决方案

1. 卸载Docker：最简单的解决方案，可以在Incus容器内运行Docker

2. 启用IPv4转发：确保在Docker服务启动前启用IPv4转发

   echo "net.ipv4.conf.all.forwarding=1" > /etc/sysctl.d/99-forwarding.conf
   systemctl restart systemd-sysctl
   

   注意：这可能导致Docker容器端口在本地网络中可访问

3. 允许特定流量：添加精确的iptables规则

   iptables -I DOCKER-USER -i incusbr0 -j ACCEPT
   iptables -I DOCKER-USER -o incusbr0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
   

   需要确保这些规则在重启后仍然有效

总结

正确配置安全策略是确保Incus容器网络功能正常的关键。根据系统使用的安全工具不同，需要采取不同的配置策略。特别是在与其他网络密集型应用（如Docker）共存时，需要特别注意规则冲突问题。通过本文提供的配置指南，可以确保Incus容器获得稳定可靠的网络连接。

incus Powerful system container and virtual machine manager 项目地址: https://gitcode.com/gh_mirrors/inc/incus