<div dir="ltr"><div><br></div><div>I found an explanation here:<br></div><div><a href="https://www.redhat.com/archives/libvir-list/2010-June/msg00762.html">https://www.redhat.com/archives/libvir-list/2010-June/msg00762.html</a></div><div><br></div><div><pre style="color:rgb(0,0,0)">&quot;If <b>no &lt;ip address&gt; </b>is included, the network filter driver will
activate its &#39;<b>learning mode</b>&#39;. This uses libpcap to snoop on
network traffic the guest sends and attempts to identify the
first IP address it uses. It then locks traffic to this address.
<b>Obviously this isn&#39;t entirely secure</b>, but it does offer some
protection against the guest being trojaned once up &amp; running.&quot;</pre><pre style="color:rgb(0,0,0)"><br></pre><pre><font color="#000000">According to he says, is created with ebtables rules
As I was doing directly with ebtables<br></font></pre></div><div class="gmail_extra"><br></div><div class="gmail_extra">but</div><div class="gmail_extra"><br></div><div class="gmail_extra"><pre style="color:rgb(0,0,0)"><span style="font-family:arial,sans-serif">&quot;All active guests </span><b style="font-family:arial,sans-serif">immediately</b><span style="font-family:arial,sans-serif"> have their iptables/ebtables rules</span><br></pre></div><div class="gmail_extra"><pre style="color:rgb(0,0,0)">rebuilt.&quot;</pre></div><div class="gmail_extra"><br></div><div class="gmail_extra">I applied the filter and checked on the host, but nothing appears<br></div><div class="gmail_extra"><br></div><div class="gmail_extra"><div class="gmail_extra"><i>[root@host02 ~]# ebtables -L</i></div><div class="gmail_extra"><i>Bridge table: filter</i></div><div class="gmail_extra"><i><br></i></div><div class="gmail_extra"><i>Bridge chain: INPUT, entries: 0, policy: ACCEPT</i></div><div class="gmail_extra"><i><br></i></div><div class="gmail_extra"><i>Bridge chain: FORWARD, entries: 0, policy: ACCEPT</i></div><div class="gmail_extra"><i><br></i></div><div class="gmail_extra"><i>Bridge chain: OUTPUT, entries: 0, policy: ACCEPT</i></div><div class="gmail_extra"><br></div></div><div class="gmail_extra"><br></div><div class="gmail_extra"><br></div><div class="gmail_extra"><div class="gmail_extra"><div class="gmail_extra">this post is old (2010), I do not know if there was any change.</div><div class="gmail_extra"><br></div><div class="gmail_extra">But I&#39;ll do some tests and see if it works</div><div class="gmail_extra"><br></div><div class="gmail_extra">thank</div></div></div><div class="gmail_extra"><br></div><div class="gmail_extra"><br></div><div class="gmail_extra"><br><div class="gmail_quote">2016-09-15 18:17 GMT-03:00 Edward Haas <span dir="ltr">&lt;<a href="mailto:ehaas@redhat.com" target="_blank">ehaas@redhat.com</a>&gt;</span>:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div dir="ltr"><br><div class="gmail_extra"><br><div class="gmail_quote"><div><div class="gmail-h5">On Thu, Sep 15, 2016 at 8:49 PM, Marcin Mirecki <span dir="ltr">&lt;<a href="mailto:mmirecki@redhat.com" target="_blank">mmirecki@redhat.com</a>&gt;</span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">Andre,<br>
<br>
The clean-traffic is meant to prevent mac/IP/ARP spoofing.<br>
I am afraid this is the best we can offer out of the box at the moment.<br>
<br>
If you are willing to give some additional effort you can try and look at the OVS based<br>
networking (added recently). You could use the vdsm hooks to create some additional<br>
openflow rules on the ovs-switch that would put some constraints on where the traffic is going.<br>
<br>
One more item which is still in a very early development stage is an OVN-provider (<a href="http://openvswitch.org/support/dist-docs/ovn-architecture.7.html" rel="noreferrer" target="_blank">http://openvswitch.org/suppor<wbr>t/dist-docs/ovn-architecture.<wbr>7.html</a>).<br>
OVN itself is also still not a ripe project, but is actively being developed.<br>
If you are interested I could update you once we have something working.<br>
<span><br>
Thanks,<br>
Marcin<br>
<br>
<br>
----- Original Message -----<br>
&gt; From: &quot;André Gustavo&quot; &lt;<a href="mailto:andre@andregustavo.org" target="_blank">andre@andregustavo.org</a>&gt;<br>
</span><span>&gt; To: &quot;Marcin Mirecki&quot; &lt;<a href="mailto:mmirecki@redhat.com" target="_blank">mmirecki@redhat.com</a>&gt;<br>
&gt; Cc: <a href="mailto:Users@ovirt.org" target="_blank">Users@ovirt.org</a><br>
</span><div><div>&gt; Sent: Tuesday, September 13, 2016 11:53:30 PM<br>
&gt; Subject: Re: [ovirt-users] Associate IP addresses to MAC addresses (anti-spoofing rules)<br>
&gt;<br>
&gt; I forgot to comment<br>
&gt;<br>
&gt; It is a public network (Public IP)<br>
&gt;<br>
&gt; I have 2 servers and 1 router<br>
&gt; I hired a &quot;IP block&quot; that can be accessed through the router<br>
&gt;<br>
&gt; For example:<br>
&gt;<br>
&gt; Network: <a href="http://165.112.12.112/28" rel="noreferrer" target="_blank">165.112.12.112/28</a><br>
&gt; IPs: 165.112.12.113 - 167.114.12.125<br>
&gt; Gateway: 165.112.12.126 (router)<br>
&gt;<br>
&gt; I provide to my client a public IP directly in VM<br>
&gt;<br>
&gt; I want to prevent a customer responds by another customer<br>
&gt; or take another ip available for himself<br>
&gt;<br>
&gt; ----<br>
&gt;<br>
&gt; Since that my client has access to the &quot;User Portal&quot;<br>
&gt; The &quot;clean-traffic&quot; filter will prevent it change the ip when it shut down<br>
&gt; and restart the VM?<br></div></div></blockquote></div></div><div>This is a security mechanism provided by libvirt to restrict the VM from communicating<br>with more than one mac, one IP (and some more restrictions).<br></div><div>If I&#39;m not mistaken, the heuristic (when not set manually in the domxml), is to lock on the first<br></div><div>source address it detects.<br><br></div><div><div class="gmail-h5"><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div><div>
&gt;<br>
&gt; Thanks,<br>
&gt; André<br>
&gt;<br>
&gt; 2016-09-13 5:57 GMT-03:00 Marcin Mirecki &lt;<a href="mailto:mmirecki@redhat.com" target="_blank">mmirecki@redhat.com</a>&gt;:<br>
&gt;<br>
&gt; &gt; Hi André,<br>
&gt; &gt;<br>
&gt; &gt; The best separation would be providing a separate network for each<br>
&gt; &gt; customer.<br>
&gt; &gt; This way you could protect them from other malicious users on your<br>
&gt; &gt; internal networks.<br>
&gt; &gt; Please describe your env in some more detail.<br>
&gt; &gt;<br>
&gt; &gt; Thanks,<br>
&gt; &gt; Marcin<br>
&gt; &gt;<br>
&gt; &gt;<br>
&gt; &gt;<br>
&gt; &gt; ----- Original Message -----<br>
&gt; &gt; &gt; From: &quot;André Gustavo&quot; &lt;<a href="mailto:andre@andregustavo.org" target="_blank">andre@andregustavo.org</a>&gt;<br>
&gt; &gt; &gt; To: <a href="mailto:Users@ovirt.org" target="_blank">Users@ovirt.org</a><br>
&gt; &gt; &gt; Sent: Monday, September 12, 2016 8:33:40 PM<br>
&gt; &gt; &gt; Subject: [ovirt-users] Associate IP addresses to MAC addresses<br>
&gt; &gt; (anti-spoofing rules)<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; Aloha,<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; I&#39;m using oVirt 4 in my hosting.<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; However, easily a customer can change the IP to another client (IP<br>
&gt; &gt; spoofing)<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; In vNIC profiles, altered Network Filter<br>
&gt; &gt; &gt; from &quot;VDSM-on-mac-spoofing&quot; to &quot;no-ip-spoofing&quot;<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; It worked partially, but if the client power off &#39;vm&#39; and turn on the<br>
&gt; &gt; &#39;vm&#39;,<br>
&gt; &gt; &gt; he can perform the change in IP<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; I tried to use eptables, but also had problems<br>
&gt; &gt; &gt; <a href="http://ebtables.netfilter.org/examples/basic.html#ex_anti-spoof" rel="noreferrer" target="_blank">http://ebtables.netfilter.org/<wbr>examples/basic.html#ex_anti-sp<wbr>oof</a><br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; What is the best option?<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; --<br>
&gt; &gt; &gt; ---<br>
&gt; &gt; &gt; André Gustavo Timermann<br>
&gt; &gt; &gt; Curitiba/PR - Brasil<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; ______________________________<wbr>_________________<br>
&gt; &gt; &gt; Users mailing list<br>
&gt; &gt; &gt; <a href="mailto:Users@ovirt.org" target="_blank">Users@ovirt.org</a><br>
&gt; &gt; &gt; <a href="http://lists.ovirt.org/mailman/listinfo/users" rel="noreferrer" target="_blank">http://lists.ovirt.org/mailman<wbr>/listinfo/users</a><br>
&gt; &gt; &gt;<br>
&gt; &gt;<br>
&gt;<br>
&gt;<br>
&gt;<br>
&gt; --<br>
&gt; ---<br>
&gt; André Gustavo Timermann<br>
&gt;<br>
______________________________<wbr>_________________<br>
Users mailing list<br>
<a href="mailto:Users@ovirt.org" target="_blank">Users@ovirt.org</a><br>
<a href="http://lists.ovirt.org/mailman/listinfo/users" rel="noreferrer" target="_blank">http://lists.ovirt.org/mailman<wbr>/listinfo/users</a><br>
</div></div></blockquote></div></div></div><br></div></div>
</blockquote></div><br><br clear="all"><div><br></div>-- <br><div class="gmail_signature"><div>---</div>André Gustavo Timermann</div>
</div></div>