QEMU(virt-manager) で動かしている仮想マシンと、外部ネットワーク間において、ポート転送ができず時間を溶かす

Mon, 24 Aug 2026 02:10:51 +0900

この記事を作った動機

　libvirt の仕様を理解していなかった結果、大量の時間を溶かすことがあったので記録したい。具体的には、仮想マシンに対してRDPのためにポート転送を設定しようとしたが、libvirtが作成する、defaultネットワークに属している、virbr0ブリッジはnftablesをいじっても言うことを聞かないほど、ガチガチに守られていて使うべきではないという結論に至った。

　今回はそこに至るまでの経緯と、実際に機能する事を確かめた対処方法について記録する。機能する対処方法の概要としては、libvirt以外に、手動でブリッジを専用に作成し、それに対してfirewalldでNATやDNATを構成し、仮想マシンにそのブリッジを使うように設定する事をする。

機能した対処方法

仮定

仮想マシンを動かしているホストマシンは、firewalldのpublicゾーンを使用している
ホストマシンは、ブリッジに対して192.168.150.1/24のIPを持つ
仮想マシンのIPは手動で192.168.150.25/24を割り当て、ゲートウェイにはホストマシンに向けて192.168.150.1と設定する
sysctl -w net.ipv4.ip_forward=1が設定されており、カーネルが異なるインタフェース間のパケットの行き来を許可していること

ブリッジを作成

sudo brctl addbr virt
sudo ip link set virt up
sudo ip addr add 192.168.150.1/24 dev virt

仮想マシンを作成したブリッジを使うように設定

firewalld でNATとDNATを構成する

# ゾーンとポリシー(NAT用)を作成
sudo firewall-cmd --new-zone=virt --permanent
sudo firewall-cmd --zone=virt --add-interface=virt --permanent
sudo firewall-cmd --zone=virt --new-policy=nat --permanent
sudo firewall-cmd --policy=nat --add-ingress-zone=virt --permanent
sudo firewall-cmd --policy=nat --add-egress-zone=public --permanent
sudo firewall-cmd --policy=nat --add-masquerade --permanent

# ポート転送設定(DNAT)
sudo firewall-cmd --zone=public --add-forward-port=port=33890:proto=tcp:toport=3389:toaddr=192.168.150.25 --permanent
sudo firewall-cmd --zone=public --add-forward-port=port=33890:proto=udp:toport=3389:toaddr=192.168.150.25 --permanent

# NATが機能するようにマスカレードと転送を設定
sudo firewall-cmd --zone=public --add-masquerade --permanent
sudo firewall-cmd --zone=virt --add-forward --permanent

sudo systemctl restart firewalld

問題至るまでの経緯

今までの構成を見直す

　今まで仮想マシンへのRDPアクセスは、無理やりVPN経路を通じて同じLAN内に仮想マシンを参加させることで動かしていた。接続が不安定であり定期的にVPNが接続できなくなったり、ネットワークトポロジ的にも循環経路を形成しかねないように見受けられた。VPNを介さずにホストマシンを直接介させることで、仮想マシンに対してRDPを行うために、今回は仮想マシンのRDPポートである、3389に対してポート転送を行う事を考えた。

Firewall-Cmd on Nyanmo main blog