настройка xen и iptables в centos5.5

А подробнее можно ?

Включить аппаратную виртуализацию в BIOS... Или разгрузить соседей и посмотреть. xen-config кто крутил пусть тот снова и крутит. ИМХО.

подробней. копьютер выполняет сейчас функции шлюза.

планируется что на нем в виртуальной машине федора11 будет работать определенная система

из виртуальной машины (полная виртуализация) ping в инет и локальную сеть проходит. на виртуальную машину нет.

есть подозрения что все тормоза из-за настроек iptables и bridge на centos.

надо все это проверить поправить и добиться того, чтобы установка виртуальных машин не была по 5 часов

p.s. соседей нет. это сервер в офисе

О как. Ну я могу предложить для начала показать правила iptables... Если на машину не приходит ping - первый вариант, который мне пришео на ум: NAT. Вторым вариантом думается попытка настроить шейпинг средствами iptables. Просто из первого поста не ясно, проблемы это с сетью или с самой виртуализацией. В конфиге ксена чрезвычайно сложно что-то сделать, чтобы все работало плохо, обычно не работает совсем. Раз у меня нет стоящего VPN, да ставить его (честно говоря лень) нет возможности, давайте попробую вам помочь так (если кто не предложит свои услуги). Если компьютер выполняет функции шлюза (что не правильно), тогда требуется уточнить, что за софт у вас там стоит (squid?) и вообще шлюз бы правильнее спрятать в виртуалку, а нода должна быть нодой и ничем больше.

я не администратор, а так начальный юзер линукса. админ когда стал разбираться упростил правила iptables до безобразия

поэтому пишу простым языком:

никакого сквида, нет. прозрачный прокси.

т.к. между сервером и интернетом есть роутер с линуксом, планировалось закрыть все входящие соединения на нем (он сейчас поднимает wimax соединение с интернетом).

схема локальная сеть -> 192.168.0.10 сервер 192.168.1.10-> роутер(192.168.1.1) -> интернет.

[root@server ~]# iptables-save

# Generated by iptables-save v1.3.5 on Wed Mar 2 17:14:01 2011

*filter

:INPUT ACCEPT [592762:161678700]

:FORWARD ACCEPT [634820:443236457]

:OUTPUT ACCEPT [776736:759001783]

-A INPUT -i virbr0 -p udp -m udp --dport 53 -j ACCEPT

-A INPUT -i virbr0 -p tcp -m tcp --dport 53 -j ACCEPT

-A INPUT -i virbr0 -p udp -m udp --dport 67 -j ACCEPT

-A INPUT -i virbr0 -p tcp -m tcp --dport 67 -j ACCEPT

-A FORWARD -d 192.168.122.0/255.255.255.0 -o virbr0 -m state --state RELATED,ESTABLISHED -j ACCEPT

-A FORWARD -s 192.168.122.0/255.255.255.0 -i virbr0 -j ACCEPT

-A FORWARD -i virbr0 -o virbr0 -j ACCEPT

-A FORWARD -o virbr0 -j REJECT --reject-with icmp-port-unreachable

-A FORWARD -i virbr0 -j REJECT --reject-with icmp-port-unreachable

-A FORWARD -m physdev --physdev-in vif9.0 -j ACCEPT

COMMIT

# Completed on Wed Mar 2 17:14:01 2011

# Generated by iptables-save v1.3.5 on Wed Mar 2 17:14:01 2011

*nat

:PREROUTING ACCEPT [102977:29697804]

:POSTROUTING ACCEPT [4588:380531]

:OUTPUT ACCEPT [4938:443712]

-A POSTROUTING -s 192.168.122.0/255.255.255.0 -d ! 192.168.122.0/255.255.255.0 -p tcp -j MASQUERADE --to-ports 1024-65535

-A POSTROUTING -s 192.168.122.0/255.255.255.0 -d ! 192.168.122.0/255.255.255.0 -p udp -j MASQUERADE --to-ports 1024-65535

-A POSTROUTING -s 192.168.122.0/255.255.255.0 -d ! 192.168.122.0/255.255.255.0 -j MASQUERADE

-A POSTROUTING -s 192.168.0.0/255.255.255.0 -o eth0 -j MASQUERADE

-A POSTROUTING -s 192.168.0.0/255.255.255.0 -o eth1 -j MASQUERADE

-A POSTROUTING -s 192.168.0.0/255.255.255.0 -o eth1 -j MASQUERADE

-A POSTROUTING -s 192.168.0.0/255.255.255.0 -o eth1 -j MASQUERADE

-A POSTROUTING -s 192.168.0.0/255.255.255.0 -o eth1 -j MASQUERADE

COMMIT

# Completed on Wed Mar 2 17:14:01 2011

# Generated by iptables-save v1.3.5 on Wed Mar 2 17:14:01 2011

*mangle

:PREROUTING ACCEPT [3492547:2497130371]

:INPUT ACCEPT [594795:161851436]

:FORWARD ACCEPT [2823717:2308143873]

:OUTPUT ACCEPT [776750:759017507]

:POSTROUTING ACCEPT [3602919:3067619063]

COMMIT

# Completed on Wed Mar 2 17:14:01 2011

[root@server ~]# brctl show

bridge name bridge id STP enabled interfaces

virbr0 8000.26d812378293 yes vif9.0

tap0

xenbr1 8000.feffffffffff no peth1

vif0.1

[root@server ~]# xm list

Name ID Mem(MiB) VCPUs State Time(s)

Domain-0 0 2714 4 r----- 10503.7

atlas-virt 9 775 4 -b---- 1913.4

root@server ~]# ifconfig

eth0 Link encap:Ethernet HWaddr 48:5B:39:48:C2:21

inet addr:192.168.0.10 Bcast:192.168.0.255 Mask:255.255.255.0

inet6 addr: fe80::4a5b:39ff:fe48:c221/64 Scope:Link

UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1

RX packets:750568 errors:0 dropped:0 overruns:0 frame:0

TX packets:1012376 errors:0 dropped:0 overruns:0 carrier:0

collisions:0 txqueuelen:100

RX bytes:98432804 (93.8 MiB) TX bytes:1057983377 (1008.9 MiB)

Memory:fbce0000-fbd00000

eth1 Link encap:Ethernet HWaddr 48:5B:39:48:C3:4E

inet addr:192.168.1.10 Bcast:192.168.1.255 Mask:255.255.255.0

inet6 addr: fe80::4a5b:39ff:fe48:c34e/64 Scope:Link

UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1

RX packets:1765709 errors:0 dropped:0 overruns:0 frame:0

TX packets:1110785 errors:0 dropped:0 overruns:0 carrier:0

collisions:0 txqueuelen:0

RX bytes:2260532400 (2.1 GiB) TX bytes:102701689 (97.9 MiB)

lo Link encap:Local Loopback

inet addr:127.0.0.1 Mask:255.0.0.0

inet6 addr: ::1/128 Scope:Host

UP LOOPBACK RUNNING MTU:16436 Metric:1

RX packets:120207 errors:0 dropped:0 overruns:0 frame:0

TX packets:120207 errors:0 dropped:0 overruns:0 carrier:0

collisions:0 txqueuelen:0

RX bytes:117089047 (111.6 MiB) TX bytes:117089047 (111.6 MiB)

peth1 Link encap:Ethernet HWaddr FE:FF:FF:FF:FF:FF

inet6 addr: fe80::fcff:ffff:feff:ffff/64 Scope:Link

UP BROADCAST RUNNING NOARP MTU:1500 Metric:1

RX packets:1766472 errors:0 dropped:0 overruns:0 frame:0

TX packets:1111567 errors:0 dropped:0 overruns:0 carrier:0

collisions:0 txqueuelen:100

RX bytes:2260973324 (2.1 GiB) TX bytes:102902934 (98.1 MiB)

Memory:fbde0000-fbe00000

tap0 Link encap:Ethernet HWaddr 26:D8:12:37:82:93

inet6 addr: fe80::24d8:12ff:fe37:8293/64 Scope:Link

UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1

RX packets:15947 errors:0 dropped:0 overruns:0 frame:0

TX packets:34146 errors:0 dropped:0 overruns:0 carrier:0

collisions:0 txqueuelen:500

RX bytes:1585224 (1.5 MiB) TX bytes:27652284 (26.3 MiB)

vif0.1 Link encap:Ethernet HWaddr FE:FF:FF:FF:FF:FF

inet6 addr: fe80::fcff:ffff:feff:ffff/64 Scope:Link

UP BROADCAST RUNNING NOARP MTU:1500 Metric:1

RX packets:1110785 errors:0 dropped:0 overruns:0 frame:0

TX packets:1765709 errors:0 dropped:0 overruns:0 carrier:0

collisions:0 txqueuelen:0

RX bytes:102701689 (97.9 MiB) TX bytes:2260532400 (2.1 GiB)

vif9.0 Link encap:Ethernet HWaddr FE:FF:FF:FF:FF:FF

UP BROADCAST NOARP MTU:1500 Metric:1

RX packets:0 errors:0 dropped:0 overruns:0 frame:0

TX packets:0 errors:0 dropped:0 overruns:0 carrier:0

collisions:0 txqueuelen:32

RX bytes:0 (0.0 b) TX bytes:0 (0.0 b)

virbr0 Link encap:Ethernet HWaddr 26:D8:12:37:82:93

inet addr:192.168.122.1 Bcast:192.168.122.255 Mask:255.255.255.0

inet6 addr: fe80::200:ff:fe00:0/64 Scope:Link

UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1

RX packets:840276 errors:0 dropped:0 overruns:0 frame:0

TX packets:1364905 errors:0 dropped:0 overruns:0 carrier:0

collisions:0 txqueuelen:0

RX bytes:46054960 (43.9 MiB) TX bytes:1839537362 (1.7 GiB)

xenbr1 Link encap:Ethernet HWaddr FE:FF:FF:FF:FF:FF

UP BROADCAST RUNNING NOARP MTU:1500 Metric:1

RX packets:38504 errors:0 dropped:0 overruns:0 frame:0

TX packets:0 errors:0 dropped:0 overruns:0 carrier:0

collisions:0 txqueuelen:0

RX bytes:13861498 (13.2 MiB) TX bytes:0 (0.0 b)

Вопрос: а что, ваш роутер, который поднимает WiMax не умеет NAT?

там сложная конфигурация сети. роутер перепрошитый специально под ваймакс. ему можно доверить только обрезание всех входящих соединений в целях безопасности.

в принципе сейчас правило добавили (полностью открыл свою сеть и 122) пинги все проходят, но честно говоря все тормозит.

может дело в жестком диске и настройке raid (толи 1 толи 0)? обратил внимание, что когда создаешь вирт. машину и делаешь выделить под нее 16 гиг все начинает тормозить и перестает после того как диск создаться

SmallBoy, У вас SATA-винт? Должен быть RAID1 в идеале. Сделайте cat /proc/mdstat и покажите, поглядим что у вас с рейдом.

Да, видимо, у вас именно роутер и iptables как раз тупят. Вам бы сделать поздругому... ВОзьмите, к примеру, ipfire (ipfire.org) или zentyal (zentyal.org) и поставьте на виртуалку под XEN и сделайте эту виртуалку прокладкой между вашей сетью, нодой и роутером. на ней же поднимите NAT,если у вас роутер с кастомной прошивкой. Проблемы с сетью будут решены, что касается тормозов, то они у вас вряд ли из-за сети. На ноде сколько памяти свободной оставили? Должно быть не менее 500 мегабайт, это если она ничем не занимается, в вашем случае лучше оставить мегабайт 700 (по моим ощущениям). SWAP можно на отдельный раздел в RAID0 положить было... все быстрее.

два винта SATA 2 в аппаратном рэйде 1. поэтому mdstat ничего не показывает

[root@server ~]# cat /proc/mdstat

Personalities :

unused devices: <none>

[root@server ~]#

Естественно. Тогда остается вопрос по памяти: под ноду оставляете не меньше 500 мегабайт? Ну и второй вопрос в таком случае - вам надобно бы перенастроить сеть. Попробуйте выполнить hdparm -tT и показать ее вывод, мы увидим примерную скорость ваших винтов.