UGREEN NAS: Netzwerk-Brücke für virtuelle Maschinen

Eine VM auf der UGREEN NAS soll meist wie ein eigenes Gerät im Heimnetz erreichbar sein: ein Linux-Server mit eigener Adresse, ein Windows für den Fernzugriff, ein Testsystem für Kunden. Dafür gibt es in UGOS Pro Netzwerk-Brücken. Wer die falsche Art wählt, wundert sich später, warum die VM zwar ins Internet kommt, aber keine Freigabe auf derselben NAS erreicht. Diese Anleitung erklärt die vier Netzwerkmodi, zeigt, was UGOS dafür im Hintergrund anlegt, und wann Sie welchen Modus nehmen.

Die Screenshots und Ausgaben stammen von einer UGREEN DXP4800 Pro mit zwei Netzwerkanschlüssen und UGOS Pro 1.21.0.0190, ausgelesen mit virsh. Der Name der VM ist ersetzt.

Voraussetzungen

• Eine UGREEN NAS mit der App Virtuelle Maschine, siehe Teil 87
• Grundwissen zu den Netzwerkanschlüssen der NAS, siehe Teil 43
• Für die Befehle SSH, siehe Teil 52
• Etwa 20 Minuten

Schritt 1: Die vorhandenen Netze ansehen

Öffnen Sie die App Virtuelle Maschine und wechseln Sie zu Netzwerk.

Bei unserer NAS mit zwei Anschlüssen gibt es fünf Netze: je Anschluss eine Brücke und ein NAT-Netz, dazu ein Netz Nur Host. Die Spalte NIC nennt den Anschluss, die Spalte VM, welche VM daran hängt. Per SSH sehen Sie dieselben Netze in libvirt:

sudo virsh net-list --all

 Name           State    Autostart   Persistent
-------------------------------------------------
 vnet-bridge0   active   yes         yes
 vnet-bridge1   active   yes         yes
 vnet-host      active   yes         yes
 vnet-nat0      active   yes         yes
 vnet-nat1      active   yes         yes

Verifizieren: Für jeden angeschlossenen Netzwerkanschluss gibt es eine Brücke und ein NAT-Netz.

Schritt 2: Die vier Modi verstehen

Das Info-Symbol neben Modus erklärt die Unterschiede.

Zusammengefasst:

• MacVTap-Brückenmodus: Die VM hängt direkt am Anschluss, bekommt ihre Adresse vom Router und ist ein eigenes Gerät im Heimnetz. Laut UGOS mit höherer Übertragungsleistung, aber ohne Verbindung zwischen VM und NAS.
• Linux-Bridge-Brückenmodus: ebenfalls ein eigenes Gerät im Heimnetz, aber VM und NAS können miteinander sprechen.
• NAT: Die VM sitzt in einem eigenen Netz hinter der NAS, kommt über die NAS ins Internet und kann mit der NAS sprechen. Andere Geräte erreichen sie nicht direkt.
• Nur Host: ein abgeschottetes Netz für Tests ohne Verbindung zum Heimnetz und zum Internet. UGOS beschreibt es auch als getrennt von der NAS, die NAS hat in diesem Netz allerdings selbst die Adresse 192.100.2.1.

Verifizieren: Sie wissen für jede VM, ob sie im Heimnetz sichtbar sein und ob sie die NAS erreichen muss.

Schritt 3: Was MacVTap technisch bedeutet

Per SSH zeigt die Definition einer Brücke, wie UGOS sie anlegt, hier gekürzt um uuid und den UGREEN-Block metadata:

sudo virsh net-dumpxml vnet-bridge0

<network>
  <name>vnet-bridge0</name>
  <forward dev='eth0' mode='bridge'>
    <interface dev='eth0'/>
  </forward>
</network>

Eine Weiterleitung mit mode='bridge' direkt auf eth0, ohne eigene Linux-Brücke, ist in libvirt eine MacVTap-Verbindung. Die VM bekommt dabei eine eigene MAC-Adresse auf dem Anschluss. Pakete der VM an die NAS selbst gehen über den Anschluss hinaus zum Switch. Der Switch schickt sie nicht auf denselben Anschluss zurück, deshalb kommen sie bei der NAS nicht an. VMs an derselben Brücke erreichen sich dagegen untereinander. libvirt nennt als Ausweg einen Switch, der den Verkehr zurückspiegelt, oder eine zweite Netzwerkkarte in der VM an einem NAT-Netz. Der einfachste Weg in UGOS ist die Umstellung auf Linux-Bridge in Schritt 4. Die Beispiel-VM hängt an vnet-bridge1 am zweiten Anschluss.

Verifizieren: net-dumpxml zeigt für Ihre Brücke mode='bridge' mit einem Anschluss, also MacVTap, oder eine eigene Linux-Brücke.

Schritt 4: Eine Brücke auf Linux-Bridge umstellen

Soll eine VM per SMB auf Freigaben der NAS zugreifen oder Container der NAS erreichen, stellen Sie die Brücke um. In der Spalte Modus öffnen Sie dafür das Auswahlfeld der Brücke.

Es bietet MacVTap-Brückenmodus und Linux-Bridge-Brückenmodus. Fahren Sie vor dem Umstellen alle VMs herunter, die an dieser Brücke hängen, und wählen Sie Linux-Bridge. Planen Sie das außerhalb der Arbeitszeit. Sind Sie über diesen Anschluss mit der Weboberfläche verbunden, laden Sie die Seite danach neu und prüfen Sie, ob die NAS ihre gewohnte Adresse behalten hat. Starten Sie die VMs danach wieder und prüfen Sie im Gast, ob die NAS erreichbar ist:

ping -c 3 ADRESSE-DER-NAS

Antwortet die NAS, ist die Verbindung zwischen VM und NAS hergestellt. Freigaben binden Sie dann wie in Teil 35 oder Teil 33 beschrieben ein.

Verifizieren: In der Spalte Modus steht Linux-Bridge-Brückenmodus, und der Ping aus der VM zur NAS kommt zurück.

Schritt 5: NAT-Netze und ihre Adressen

Öffnen Sie bei einem NAT-Netz über den Stift die Einstellungen. Ändern Sie hier nichts, wenn Sie den Dialog nur ansehen, und schließen Sie ihn mit Abbrechen.

Das NAT-Netz hängt an einem Anschluss, über den die VMs ins Internet gehen. Wechseln Sie den Anschluss, wirkt das laut Hinweis erst nach einem Neustart der VM. Bei Auto. Zuweisung vergibt UGOS Subnetz, Gateway und DHCP selbst. Bei uns ist das für vnet-nat0 192.100.0.0/24 mit der NAS als 192.100.0.1, für vnet-nat1 192.100.1.0/24. Das Netz Nur Host nutzt 192.100.2.0/24. UGOS zeigt das Subnetz als 192.100.0.1/24, gemeint ist das Netz 192.100.0.0/24 mit der NAS als .1.

Wichtig: 192.100.0.0/24 ist kein privater Adressbereich wie 192.168.x.x oder 10.x.x.x. Die Adressen gehören zum öffentlichen Adressraum und können im Internet vergeben sein. Weder Ihre VMs noch die NAS selbst erreichen echte Server in diesen Bereichen. Im Alltag fällt das selten auf. Auch die IPv6-Adressen der NAT-Netze aus 2222:db8:85a3:: stammen aus keinem privaten Bereich. Wer sicher gehen will, legt ein eigenes NAT-Netz mit einem privaten Bereich an, etwa 10.20.30.0/24.

Verifizieren: Sie kennen das Subnetz Ihres NAT-Netzes und wissen, ob es mit einem anderen Netz kollidieren kann.

Schritt 6: Ein eigenes Netz anlegen

Mit Netzwerk hinzufügen legen Sie weitere Netze an.

Zur Wahl stehen nur NAT und Nur Host, Brücken legt UGOS je Anschluss selbst an. Schalten Sie Auto. Zuweisung aus, tragen Sie Subnetz, Gateway und den DHCP-Bereich selbst ein, zum Beispiel 10.20.30.0/24 mit Gateway 10.20.30.1 und DHCP von 10.20.30.100 bis 10.20.30.200. Ein eigenes Netz Nur Host eignet sich für Testumgebungen, in denen mehrere VMs miteinander, aber nicht mit dem Heimnetz sprechen sollen.

Verifizieren: Das neue Netz erscheint in der Liste, und eine VM daran bekommt eine Adresse aus dem eingetragenen Bereich.

Schritt 7: Prüfen, an welchem Netz eine VM hängt

In der App sehen Sie die Zuordnung in der Spalte VM der Netzliste und in den Einstellungen der VM unter Netzwerk. Per SSH liefert virsh dieselbe Information, auch für eine ausgeschaltete VM. Die Kennung finden Sie zuerst mit:

sudo virsh list --all --title

In der Spalte Name steht die Kennung, unter Title der Name aus UGOS. Dann:

sudo virsh domiflist KENNUNG-DER-VM

Bei unserer Beispiel-VM:

 Interface   Type      Source         Model    MAC
------------------------------------------------------------------
 -           network   vnet-bridge1   virtio   52:54:00:xx:xx:xx

Source nennt das Netz, Model den Typ der virtuellen Netzwerkkarte. virtio ist die schnellste der angebotenen Varianten und wird von Linux direkt erkannt, Windows braucht dafür die virtio-Treiber. Die MAC-Adresse beginnt mit 52:54:00, dem Präfix, das libvirt für QEMU-VMs vergibt. Hängt die VM an einer Brücke, finden Sie sie unter dieser Adresse in der Geräteliste des Routers. Legen Sie dort per DHCP-Reservierung eine feste Adresse für die VM fest. Bei einer laufenden VM steht unter Interface statt des Strichs der Name der virtuellen Schnittstelle auf der NAS. Das Netz einer VM wechseln Sie in der App unter Bearbeiten, Netzwerk, siehe Teil 87.

Notieren Sie für jede VM Netz, Adresse und Zweck. Bei mehreren VMs und zwei Anschlüssen verliert man sonst schnell den Überblick, welche VM die NAS erreichen kann und welche nicht.

Verifizieren: Für jede VM wissen Sie, an welchem Netz sie hängt und unter welcher Adresse sie im Heimnetz erscheint.

Welcher Modus wofür?

• Server im Heimnetz ohne Zugriff auf die NAS: MacVTap, etwa ein Webserver oder ein Router-Ersatz.
• Server, der Freigaben oder Container der NAS braucht: Linux-Bridge.
• VM, die nur ins Internet muss: NAT, etwa ein Desktop für Tests.
• Abgeschottetes Labor: Nur Host.

Muss die VM die NAS erreichen, nehmen Sie Linux-Bridge.

Typische Fehler

• VM erreicht die NAS nicht: Sie hängt an einer MacVTap-Brücke. Auf Linux-Bridge umstellen oder NAT nehmen.
• VM bekommt keine Adresse: Bei Brücken vergibt der Router die Adresse. DHCP am Router prüfen.
• VM von anderen Geräten nicht erreichbar: Sie hängt an einem NAT-Netz. Für Erreichbarkeit im Heimnetz eine Brücke nehmen.
• Änderung am Netz wirkt nicht: Die VM wurde danach nicht neu gestartet.
• Zwei Netze mit demselben Bereich: Ein eigenes Netz überschneidet sich mit dem Heimnetz. Einen freien privaten Bereich wählen.

Häufige Fragen

Ist MacVTap wirklich schneller?

UGOS nennt eine höhere Übertragungsleistung. Im Heimnetz mit 1 Gbit/s merken Sie den Unterschied selten, die Erreichbarkeit der NAS ist meist wichtiger.

Wo finde ich die Adresse einer VM im Brückenmodus?

In der Geräteliste Ihres Routers, dort erscheint die VM mit eigener MAC-Adresse. Im Gast zeigt ip addr die Adresse.

Was passiert mit den Netzen, wenn ich die Anschlüsse bündle?

Fahren Sie die VMs vor dem Einrichten einer Bündelung wie in Teil 43 herunter. Prüfen Sie danach in der Netzliste in der Spalte NIC, welchem Anschluss die Brücken und NAT-Netze zugeordnet sind, bevor Sie die VMs wieder starten.

Kann eine VM an zwei Netzen hängen?

Ja. In den Einstellungen der VM fügen Sie unter Netzwerk eine zweite Netzwerkkarte hinzu, etwa eine an der Brücke für das Heimnetz und eine an einem Netz Nur Host für ein Labor.

Fazit

UGOS Pro legt die Netze für VMs selbst an, die Wahl des Modus bleibt Ihnen. MacVTap ist der Standard und macht die VM zum eigenen Gerät im Heimnetz, trennt sie aber von der NAS. Linux-Bridge verbindet beides, NAT und Nur Host schirmen ab. Ein Blick in virsh net-dumpxml und virsh domiflist zeigt, was wirklich eingestellt ist. Prüfen Sie außerdem das Subnetz der NAT-Netze, denn UGOS nutzt dafür keinen privaten Adressbereich. Wer diese Punkte kennt, plant die Netze seiner VMs einmal sauber und spart sich später die Fehlersuche.

Weiterführende Anleitungen und Quellen

• Teil 87: Die App Virtuelle Maschine
• Teil 90: VM-Autostart
• Teil 43: LAN-Anschlüsse
• libvirt: Netzwerkformat
• libvirt: Netz mit MacVTap