VM Firewall an/aus (ständig Änderungen notwendig)

[bforpc]

Hallo,

wir haben hier ein 7.1-10 Cluster aus 8 Hosts (alle Debian) mit vielen VMs. Seit dem Upgrade von der 6er Version gibt es folgendes seltsame verhalten.
Wenn auf einem PVE Host das Netzwerk mit "systemctl restart networking" restartet wird, haben alle VM's des Hostes keinen Zugriff auf kein Netzwerk. Schalte ich die Firewall der betreffenden Netzwerkkarte der VM "um" (egal in welchem Zustand sie vorher war), funktioniert alles wieder.
Das ist wiederholbar. Gleicher Host, 30min später: Gleiche VM - jetzt z.B. mit aktivierter Firewall: Verbindung weg, . Firewall aus: Verbindung wieder da.

Das ist ein untragbarer Zustnd :-(

Bfo

 

[dcsapak]

macht irgendwie sinn, da beim 'restart networking' alle verbindungen zwischen den vm nics und den vmbridges aufgelöst werden (ifupdown2 hat keine ahnung von den vm nics) und beim ändern der firewall settings wird das von pve wieder hinzugefügt.

die frage ist, warum rufst du 'systemctl restart networking' überhaupt auf? das sollte normalerweise nicht notwendig sein. wenn du neue netzwerk einstellungen übernehmen willst, solltest du eher 'ifreload -a' aufrufen (oder den 'apply' knopf im webinterface verwenden)

 

[bforpc]

Nunja, wir hatten diversen Rechnern neue Netzwerkkarten spendiert. Daher der Aufruf.
Im weiteren laufenden Betrieb sollte das nicht mehr nötig sein. Dennoch ist die Frage, warum es nötig ist. Anders gefragt:
Ist es also generell notwendig bei einem "networking restart" die Firewall ein und wieder aus zu schalten, damit das Funktioniert?

Bfo

 

[dcsapak]

ich glaube da wurde was falsch verstanden. 'systemctl restart networking' wird immer vm netzwerke kaputt machen wenn sie eingeschalten sind
dass das firewall ändern sie repariert ist mehr oder weniger 'zufall'. der richtige weg die netzwerk konfig zu aktualisieren ist mittels ifreload oder 'apply' knopf im webui
das tool behält sollte die verbindungen beibehalten (sofern nicht die ganze bridge gelöscht wird) und die vm netzwerke sollten weiterfunktionieren