UFW阻止KVM虚拟机获取IP及访问网络的解决方案咨询

我来帮你搞定这个UFW和KVM桥接网络的问题——这种开机时防火墙先启动拦截了虚拟机DHCP请求的情况，确实是KVM+UFW组合里的常见坑。咱们一步步来解决：

一、先解决开机时虚拟机拿不到IP的核心问题 #

虚拟机开机后没法获取IP，本质是UFW拦截了它发往路由器的DHCP请求（UDP 67/68端口）。咱们需要在UFW的前置规则里放行这类流量，确保开机阶段就能通过：

1. 编辑UFW的前置规则文件：

   sudo nano /etc/ufw/before.rules
   

2. 在*filter段的最开头（任何其他规则之前）添加以下内容，放行网桥br0上的DHCP流量：

   # 允许KVM虚拟机通过网桥获取DHCP地址
   -A ufw-before-input -i br0 -p udp --dport 67:68 --sport 67:68 -j ACCEPT
   -A ufw-before-output -o br0 -p udp --dport 67:68 --sport 67:68 -j ACCEPT
   

3. 保存退出后，重载UFW让规则生效：

   sudo ufw reload
   

二、配置UFW转发规则，确保虚拟机能访问外部网络 #

解决了DHCP问题后，还要确保虚拟机的流量能通过主机转发到外部网络，同时外部网络能访问虚拟机：

1. 开启系统的IP转发功能：
   编辑/etc/sysctl.conf文件，找到net.ipv4.ip_forward这一行，修改为：

   net.ipv4.ip_forward=1
   

   执行命令让设置立即生效：

   sudo sysctl -p
   

2. 回到/etc/ufw/before.rules，在*filter段继续添加转发规则：

   # 允许网桥内部主机与虚拟机之间的流量转发
   -A ufw-before-forward -i br0 -o br0 -j ACCEPT
   # 允许虚拟机访问外部网络
   -A ufw-before-forward -i br0 -o enp1s0 -j ACCEPT
   # 允许外部网络回应虚拟机的请求（状态匹配）
   -A ufw-before-forward -i enp1s0 -o br0 -m state --state RELATED,ESTABLISHED -j ACCEPT
   

3. 如果你需要外部网络主动访问虚拟机的特定服务（比如SSH、HTTP），可以单独添加规则，比如允许SSH访问虚拟机：

   sudo ufw allow in on br0 to 192.168.1.11 port 22
   

三、关于网桥netfilter的安全性讨论 #

你提到有人建议关闭网桥的netfilter，这里得说清楚：

• 默认情况下，Linux会让网桥的流量经过主机的iptables/UFW规则，这就是为什么UFW会拦截虚拟机的DHCP请求。如果设置net.bridge.bridge-nf-call-iptables=0，相当于让网桥流量绕过主机防火墙，确实能解决问题，但会减少一层防护。
• 不过你的场景里，网桥br0是连接主机物理网卡和虚拟机的，且所有设备都在同一个内网（192.168.1.x），路由器已经做了外网隔离，风险其实很低。如果前面的规则已经能解决问题，就没必要关；如果还是不行，再考虑这个方案：
  1. 创建一个sysctl配置文件：

     sudo nano /etc/sysctl.d/99-bridge.conf
     

  2. 添加以下内容：

     net.bridge.bridge-nf-call-iptables = 0
     net.bridge.bridge-nf-call-ip6tables = 0
     

  3. 执行命令生效：

     sudo sysctl --system
     

四、验证效果 #

做完所有设置后，最好重启主机测试开机流程：

sudo reboot

开机后检查：

1. 虚拟机是否能正常获取IP（192.168.1.11）
2. 从内网其他设备能否ping通虚拟机
3. 虚拟机能否访问外网
4. 用sudo ufw status verbose确认所有规则都已生效

备注：内容来源于stack exchange，提问作者Cold-Lemonade