Tak se teda pleteš. Tímto zablokuješ KVM host/server, ale VMs komunikují se sítí nadále a naprosto v pohodě...
Si myslím že tohle nejde protože na bridgi se používají ebtables, ne? (předpokládám že používáš bridge. Pokud používáš natovanou síť v userspace, tak bych spustil virtuál pod jiným uživatelem a omezení mu nastavil pomocí iptables match UID. Můžeš používat natovanou síť? Asi jo, ne, když je LAN stejně za NATem, tak to už ničemu neublíží. Ale nezkoušel jsem to, je možné, že user network jde „někudy jinudy“ a tohle fungovat nebude. Je to jenom nástřel.)
Ahoj Jendo, děkuji za odpověď.
Ano, jak jsem psal výše: Když na VM přidám pravidlo: iptables -A OUTPUT -d 192.168.0.200 -j DROP zablokuju tím přístup VM na 192.168.0.200. Ale potřebovat bych tohle pravidlo udělat na KVM HOSTu, abych to nemusel na každý VM definovat zvlášť.
Takže, jo, dokážu zablokovat provoz přímo na VM (ať už konkrétní adresu nebo celou síť 192.168.0.0/24), ale nedokážu toho samého dosáhnout na KVM host, abych to nemusel pro každou VM definovat zvlášť. A je jedno jestli VM jede v řežimu NAT nebo bridge (macvtap).