OpenStack：我的私有网络中的 VM 无法 ping 我的公共网络中的 VM，但我的公共网络中的 VM 可以 ping 我的私有网络中的 VM答案

【问题标题】：OpenStack: VMs inside my private networks cannot ping VMs in my public network, but VMs in my public network can ping VMs in my private networkOpenStack：我的私有网络中的 VM 无法 ping 我的公共网络中的 VM，但我的公共网络中的 VM 可以 ping 我的私有网络中的 VM
【发布时间】：2021-03-12 17:01:33
【问题描述】：

我正在学习 OpenStack，我正在尝试创建以下架构：

两个专用网络：A 和 B（网络类型：vxlan）
每个私网内一个子网：SUB_A(192.168.1.0/24)、SUB_B(10.0.0.0/24)

一个公共网络：public（网络类型：flat，物理网络：public）
我的公共网络中的一个子网：SUB_PUBLIC(172.24.4.0/24)

一个路由器将它们连接在一起，R。

一个虚拟机连接到每个子网
VM1 -> SUB_A
VM2 -> SUB_B
VM3 -> SUB_PUBLIC

这些是我用来创建架构的步骤：

-创建网络及其子网，并激活DHCP。
-创建路由器R，将其设置为网络public的external gateway并启用SNAT
-附加SUB_A到R
-附加SUB_B到R
-创建VM1连接到网络A
-创建VM2连接到网络B
-创建VM3 连接到网络public
-从public池中分配并关联两个浮动IP地址，一个用于VM1，一个用于VM2

结果：

我可以使用它们各自的浮动 IP 地址 ping VM1/VM2 来自 VM3。
我可以 ping VM1/VM2 与他们的私人 IP 来自 VM1/VM2

我无法 ping VM3 来自 VM1/VM2
我无法使用他们的浮动 IP 地址 ping VM1/VM2 来自 VM1/VM2。

在这一点上，我不确定我错过了什么。我想了解发生了什么。

【问题讨论】：

好像没有启用 SNAT。能复查吗？如果是集中式路由器（默认），请转到控制器，在路由器的网络命名空间中创建一个 shell，并在问题中添加 ip a、ip r 和 iptables-save。另外，云是如何创建的，以及（假设 ML2）配置了哪些机制和类型驱动程序？

标签： openstack openstack-neutron

【解决方案1】：

安全组最终成为罪魁祸首。虚拟机使用的默认安全组必须具有允许 ICMP 流量通过的出口和入口规则！我已经验证过了，但我没有足够注意它的配置。尤其是源流量必须正确！我将其设置为错误的来源，这解释了为什么流量永远不会通过。

【讨论】：