我希望在我的 Xen Project 机器上安装一个运行 Zentyal 防火墙的虚拟机。我的机器有三张网卡：一张是集成的，两张是独立的，类似的网卡（它们具有相同的 Realtek 芯片，但来自不同的制造商）。为了让防火墙以最佳方式工作，我要做的是将两个独立的 NIC 分配并专用于我的防火墙 VM，并将集成卡用于 Dom0 和其他 VM。过去，我可以用其他虚拟化软件做类似的事情，但无法找到用 Xen Project 做的方法。
This page 提供了许多有用的配置，但我认为它们中的任何一个都不符合我想要做的。这完全有可能吗，还是我必须放弃虚拟化我的防火墙计算机的希望？
【问题讨论】：
标签： networking firewall virtualization assign xen
我认为解决此问题的最佳方法是在 Xen 中使用 PCI passthrough。这意味着您可以将 1 个 NIC 连接到 dom0（然后可以将其桥接以允许其他 VM 通过同一接口进行连接 - 请查看 Xen articles on network configuration 之一以获取有关如何设置的一些示例起来，就像你只有一个网卡一样）并允许防火墙虚拟机完全控制其他两个网卡。
此过程有些复杂，并且可能因发行版而异，因此我建议您查看我链接的第一篇文章，但我将描述基本过程。
使用lspci检查你想通过的两张网卡的PCI地址。您的卡片的输出行如下所示（尽管细节会非常不同，但结构会相同）：
00:19.0 Ethernet controller: Intel Corporation 82579LM Gigabit Network Connection (rev 04)
00:19.1 Ethernet controller: Intel Corporation 82579LM Gigabit Network Connection (rev 04)
记下第一列（本例中为00:19.0 和00:19.1）。按以下格式将其添加到防火墙 VM 的配置中：
pci=['00:19.0','00:19.1']
这将导致虚拟机无法启动，因为它无法通过设备。为了让设备通过，它们需要绑定到 dom0 上的 pciback 驱动程序，命令如下：
xl pci-assignable-add 00:19.0
xl pci-assignable-add 00:19.1
这可能并非在所有情况下都是可能的，但如果不是，还有其他方法。我强烈建议您阅读我之前提到的the article，以充分了解对您而言最好的方法。
【讨论】：