Ubuntu 16.04 Desktop + KVM + сеть = проблема

[blwind]

Здравствуйте!
Моя проблема выглядит следующим образом:
Ubuntu 16.04 Desktop - хост;
два виндовых гостя;
сеть организована при помощи моста

(Нажмите, чтобы показать/скрыть)

~$ ip l
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master br1 state UP mode DEFAULT group default qlen 1000
    link/ether f4:6d:04:77:7a:17 brd ff:ff:ff:ff:ff:ff
3: br1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000
    link/ether f4:6d:04:77:7a:17 brd ff:ff:ff:ff:ff:ff
4: vnet0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master br1 state UNKNOWN mode DEFAULT group default qlen 1000
    link/ether fe:54:00:e6:67:54 brd ff:ff:ff:ff:ff:ff
5: vnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master br1 state UNKNOWN mode DEFAULT group default qlen 1000
    link/ether fe:54:00:f1:36:04 brd ff:ff:ff:ff:ff:ff

network-manager - остановлен;
apparmor - остановлен;
дефолтная виртуальная сеть убита;
Гости получают адреса от общего DHCP. С гостей пингуется вся сеть и интернет, а вот из сети и между собой и есть суть проблемы. Справедливости ради, надо отметить, что такая же конфигурация, но с большим количеством гостевых виртуалок, абсолютно без проблем работает на Ubuntu 14.04 Server. Пинги идут во все стороны. Прогуглено, прочитано и опробовано много чего, но безрезультатно. Подробных инструкций не прошу. Просто нужны мысли в какую сторону рыть.
Заранее спасибо за любую помощь!

[alexxnight]

Покажите
с хоста:
ip a
ip r
cat /etc/network/interfaces
iptables-save
cat /etc/resolv.conf

с гостей:
ipconfig /all
route print

[blwind]

Ну, вот как-то так...
с хоста:
ip a

(Нажмите, чтобы показать/скрыть)

~$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master br1 state UP group default qlen 1000
    link/ether f4:6d:04:77:7a:17 brd ff:ff:ff:ff:ff:ff
    inet6 fe80::f66d:4ff:fe77:7a17/64 scope link
       valid_lft forever preferred_lft forever
3: br1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
    link/ether f4:6d:04:77:7a:17 brd ff:ff:ff:ff:ff:ff
    inet 192.168.1.31/16 brd 192.168.255.255 scope global br1
       valid_lft forever preferred_lft forever
    inet6 fe80::f66d:4ff:fe77:7a17/64 scope link
       valid_lft forever preferred_lft forever
6: vnet0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master br1 state UNKNOWN group default qlen 1000
    link/ether fe:54:00:e6:67:54 brd ff:ff:ff:ff:ff:ff
    inet6 fe80::fc54:ff:fee6:6754/64 scope link
       valid_lft forever preferred_lft forever
7: vnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master br1 state UNKNOWN group default qlen 1000
    link/ether fe:54:00:f1:36:04 brd ff:ff:ff:ff:ff:ff
    inet6 fe80::fc54:ff:fef1:3604/64 scope link
       valid_lft forever preferred_lft forever

ip r

(Нажмите, чтобы показать/скрыть)

~$ ip r
default via 192.168.1.1 dev br1
169.254.0.0/16 dev br1  scope link  metric 1000
192.168.0.0/16 dev br1  proto kernel  scope link  src 192.168.1.31

cat /etc/network/interfaces

(Нажмите, чтобы показать/скрыть)

~$ cat /etc/network/interfaces

auto lo
iface lo inet loopback

# auto eth0
# iface eth0 inet dhcp

auto br1
iface br1 inet dhcp
# address 192.168.1.31
# network 192.168.1.0
# netmask 255.255.255.0
# broadcast 192.168.0.255
# gateway 192.168.1.1
bridge_ports eth0
# bridge_fd 9
# bridge_hello 2
# bridge_maxage 12
bridge_stp off
bridge_maxwait 0

iptables-save

(Нажмите, чтобы показать/скрыть)

~$ iptables-save

# Generated by iptables-save v1.6.0 on Thu Nov 17 17:40:17 2016
*nat
:PREROUTING ACCEPT [10161:1661838]
:INPUT ACCEPT [5943:1383050]
:OUTPUT ACCEPT [11224:1155373]
:POSTROUTING ACCEPT [11224:1155373]
:OUTPUT_direct - [0:0]
:POSTROUTING_ZONES - [0:0]
:POSTROUTING_ZONES_SOURCE - [0:0]
:POSTROUTING_direct - [0:0]
:POST_public - [0:0]
:POST_public_allow - [0:0]
:POST_public_deny - [0:0]
:POST_public_log - [0:0]
:PREROUTING_ZONES - [0:0]
:PREROUTING_ZONES_SOURCE - [0:0]
:PREROUTING_direct - [0:0]
:PRE_public - [0:0]
:PRE_public_allow - [0:0]
:PRE_public_deny - [0:0]
:PRE_public_log - [0:0]
-A PREROUTING -j PREROUTING_direct
-A PREROUTING -j PREROUTING_ZONES_SOURCE
-A PREROUTING -j PREROUTING_ZONES
-A OUTPUT -j OUTPUT_direct
-A POSTROUTING -j POSTROUTING_direct
-A POSTROUTING -j POSTROUTING_ZONES_SOURCE
-A POSTROUTING -j POSTROUTING_ZONES
-A POSTROUTING_ZONES -g POST_public
-A POST_public -j POST_public_log
-A POST_public -j POST_public_deny
-A POST_public -j POST_public_allow
-A PREROUTING_ZONES -g PRE_public
-A PRE_public -j PRE_public_log
-A PRE_public -j PRE_public_deny
-A PRE_public -j PRE_public_allow
COMMIT
# Completed on Thu Nov 17 17:40:17 2016
# Generated by iptables-save v1.6.0 on Thu Nov 17 17:40:17 2016
*raw
:PREROUTING ACCEPT [496974:43507752]
:OUTPUT ACCEPT [727792:95264743]
:OUTPUT_direct - [0:0]
:PREROUTING_direct - [0:0]
-A PREROUTING -j PREROUTING_direct
-A OUTPUT -j OUTPUT_direct
COMMIT
# Completed on Thu Nov 17 17:40:17 2016
# Generated by iptables-save v1.6.0 on Thu Nov 17 17:40:17 2016
*security
:INPUT ACCEPT [492699:43222730]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [727792:95264743]
:FORWARD_direct - [0:0]
:INPUT_direct - [0:0]
:OUTPUT_direct - [0:0]
-A INPUT -j INPUT_direct
-A FORWARD -j FORWARD_direct
-A OUTPUT -j OUTPUT_direct
COMMIT
# Completed on Thu Nov 17 17:40:17 2016
# Generated by iptables-save v1.6.0 on Thu Nov 17 17:40:17 2016
*mangle
:PREROUTING ACCEPT [496971:43507566]
:INPUT ACCEPT [493626:43299906]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [727787:95265600]
:POSTROUTING ACCEPT [728073:95329459]
:FORWARD_direct - [0:0]
:INPUT_direct - [0:0]
:OUTPUT_direct - [0:0]
:POSTROUTING_direct - [0:0]
:PREROUTING_ZONES - [0:0]
:PREROUTING_ZONES_SOURCE - [0:0]
:PREROUTING_direct - [0:0]
:PRE_public - [0:0]
:PRE_public_allow - [0:0]
:PRE_public_deny - [0:0]
:PRE_public_log - [0:0]
-A PREROUTING -j PREROUTING_direct
-A PREROUTING -j PREROUTING_ZONES_SOURCE
-A PREROUTING -j PREROUTING_ZONES
-A INPUT -j INPUT_direct
-A FORWARD -j FORWARD_direct
-A OUTPUT -j OUTPUT_direct
-A POSTROUTING -j POSTROUTING_direct
-A PREROUTING_ZONES -g PRE_public
-A PRE_public -j PRE_public_log
-A PRE_public -j PRE_public_deny
-A PRE_public -j PRE_public_allow
COMMIT
# Completed on Thu Nov 17 17:40:17 2016
# Generated by iptables-save v1.6.0 on Thu Nov 17 17:40:17 2016
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [717284:94370433]
:FORWARD_IN_ZONES - [0:0]
:FORWARD_IN_ZONES_SOURCE - [0:0]
:FORWARD_OUT_ZONES - [0:0]
:FORWARD_OUT_ZONES_SOURCE - [0:0]
:FORWARD_direct - [0:0]
:FWDI_public - [0:0]
:FWDI_public_allow - [0:0]
:FWDI_public_deny - [0:0]
:FWDI_public_log - [0:0]
:FWDO_public - [0:0]
:FWDO_public_allow - [0:0]
:FWDO_public_deny - [0:0]
:FWDO_public_log - [0:0]
:INPUT_ZONES - [0:0]
:INPUT_ZONES_SOURCE - [0:0]
:INPUT_direct - [0:0]
:IN_public - [0:0]
:IN_public_allow - [0:0]
:IN_public_deny - [0:0]
:IN_public_log - [0:0]
:OUTPUT_direct - [0:0]
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -j INPUT_direct
-A INPUT -j INPUT_ZONES_SOURCE
-A INPUT -j INPUT_ZONES
-A INPUT -p icmp -j ACCEPT
-A INPUT -m conntrack --ctstate INVALID -j DROP
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i lo -j ACCEPT
-A FORWARD -j FORWARD_direct
-A FORWARD -j FORWARD_IN_ZONES_SOURCE
-A FORWARD -j FORWARD_IN_ZONES
-A FORWARD -j FORWARD_OUT_ZONES_SOURCE
-A FORWARD -j FORWARD_OUT_ZONES
-A FORWARD -p icmp -j ACCEPT
-A FORWARD -m conntrack --ctstate INVALID -j DROP
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
-A OUTPUT -j OUTPUT_direct
-A FORWARD_IN_ZONES -g FWDI_public
-A FORWARD_OUT_ZONES -g FWDO_public
-A FWDI_public -j FWDI_public_log
-A FWDI_public -j FWDI_public_deny
-A FWDI_public -j FWDI_public_allow
-A FWDO_public -j FWDO_public_log
-A FWDO_public -j FWDO_public_deny
-A FWDO_public -j FWDO_public_allow
-A INPUT_ZONES -g IN_public
-A IN_public -j IN_public_log
-A IN_public -j IN_public_deny
-A IN_public -j IN_public_allow
-A IN_public_allow -p tcp -m tcp --dport 22 -m conntrack --ctstate NEW -j ACCEPT
-A IN_public_allow -p tcp -m tcp --dport 16509 -m conntrack --ctstate NEW -j ACCEPT
-A IN_public_allow -p tcp -m tcp --dport 16514 -m conntrack --ctstate NEW -j ACCEPT
-A IN_public_allow -p tcp -m conntrack --ctstate NEW -j ACCEPT
-A IN_public_allow -p udp -m conntrack --ctstate NEW -j ACCEPT
-A IN_public_allow -p tcp -m tcp --dport 5900:5903 -m conntrack --ctstate NEW -j ACCEPT
COMMIT
# Completed on Thu Nov 17 17:40:17 2016

cat /etc/resolv.conf[/size]

(Нажмите, чтобы показать/скрыть)

~$ cat /etc/resolv.conf
# Dynamic resolv.conf(5) file for glibc resolver(3) generated by resolvconf(
#     DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN
nameserver 192.168.1.1
nameserver 85.175.46.122
nameserver 85.175.46.130

с гостей:
ipconfig /all

(Нажмите, чтобы показать/скрыть)

Настройка протокола IP для Windows

        Имя компьютера  . . . . . . . . . : optimus-07e42e4
        Основной DNS-суффикс  . . . . . . :
        Тип узла. . . . . . . . . . . . . : неизвестный
        IP-маршрутизация включена . . . . : нет
        WINS-прокси включен . . . . . . . : нет

Подключение по локальной сети - Ethernet адаптер:

        DNS-суффикс этого подключения . . :
        Описание  . . . . . . . . . . . . : Realtek RTL8139 Family PCI Fast Ethernet NIC
        Физический адрес. . . . . . . . . : 52-54-00-F1-36-04
        Dhcp включен. . . . . . . . . . . : да
        Автонастройка включена  . . . . . : да
        IP-адрес  . . . . . . . . . . . . : 192.168.1.109
        Маска подсети . . . . . . . . . . : 255.255.0.0
        Основной шлюз . . . . . . . . . . : 192.168.1.1
        DHCP-сервер . . . . . . . . . . . : 192.168.1.1
        DNS-серверы . . . . . . . . . . . : 192.168.1.1
                                            85.175.46.122
                                            85.175.46.130
        Аренда получена . . . . . . . . . : 17 ноября 2016 г. 16:04:44
        Аренда истекает . . . . . . . . . : 17 ноября 2016 г. 16:14:44

route -n

(Нажмите, чтобы показать/скрыть)

===========================================================================
Список интерфейсов
0x1 ........................... MS TCP Loopback interface
0x2 ...52 54 00 f1 36 04 ...... Realtek RTL8139 Family PCI Fast Ethernet NIC
===========================================================================
===========================================================================
Активные маршруты:
Сетевой адрес           Маска сети      Адрес шлюза        Интерфейс  Метрика
          0.0.0.0          0.0.0.0      192.168.1.1   192.168.1.109     20
        127.0.0.0        255.0.0.0        127.0.0.1       127.0.0.1     1
      192.168.0.0      255.255.0.0    192.168.1.109   192.168.1.109     20
    192.168.1.109  255.255.255.255        127.0.0.1       127.0.0.1     20
    192.168.1.255  255.255.255.255    192.168.1.109   192.168.1.109     20
        224.0.0.0        240.0.0.0    192.168.1.109   192.168.1.109     20
  255.255.255.255  255.255.255.255    192.168.1.109   192.168.1.109     1
Основной шлюз:         192.168.1.1
===========================================================================
Постоянные маршруты:
  Отсутствуют

[alexxnight]

На первый взгляд все у Вас верно. Только можно было покороче сделать настройки iptables на хосте: там много пустых цепочек...

Правильно ли я понимаю, что
с гостя и хоста - ping 8.8.8.8 проходит
с гостя и хоста - ping 192.168.1.1 проходит
с хоста - ping 192.168.1.109 не идет
с гостя - ping 192.168.1.31 не идет

И чем обусловлена такая маска \16?
И на всякий случай:
cat /proc/sys/net/ipv4/ip_forward
показывает что?

[blwind]

с гостя и хоста - ping 8.8.8.8 проходит - да проходит
с гостя и хоста - ping 192.168.1.1 проходит - да проходит
с хоста - ping 192.168.1.109 не идет - нет не проходит
с гостя - ping 192.168.1.31 не идет - пинг проходит
гости между собой 192.168.1.108 и 192.168.1.109 - не проходит
Для решения моей задачи достаточно бы было доступности виртуалок друг к другу...

И чем обусловлена такая маска \16? - я ожидал этого вопроса - это явление временное...

И на всякий случай:
cat /proc/sys/net/ipv4/ip_forward
показывает что? - 0

[alexxnight]

сделайте из под root
echo "1" > /proc/sys/net/ipv4/ip_forward

[blwind]

сделайте из под root
echo "1" > /proc/sys/net/ipv4/ip_forward

Все осталось по-прежнему...

[alexxnight]

Да, маловероятно, что это бы помогло...
У меня осталось одно решение: отказаться от моста на хосте. Виртуалки тогда будут в своей подсети сидеть за NAT. Хост также будет их видеть.

[blwind]

Да, маловероятно, что это бы помогло...
У меня осталось одно решение: отказаться от моста на хосте. Виртуалки тогда будут в своей подсети сидеть за NAT. Хост также будет их видеть.

Проблема решена!..
Только умоляю не смейтесь! Много знать, оказывается, не всегда хорошо. Чем больше знаний тем сложнее создаешь у себя в голове проблему и начинаешь искать черную кошку в темной комнате...
А все оказалось до банального просто. На гостях у меня установлен Win XP, а там по умолчанию включен файервол и стоило его выключить как все заработало как и должно было работать.

alexxnight спасибо огромное за участие и помощь!
Всем успехов!

P.S. Заработало и с виртуальной сетью и в режиме моста...