libvirt NAT型网络
Libvirt的NAT网络是针对只需要外出流量的IPv4网络的虚拟机，libvirt服务器作为一个路由器，所有VM流量对外显示成从这个服务器的IPv4地址发出。
默认的虚拟机网络就是一个NAT网络(具备 fragile hook system 来转发进入的连接)。但是，NAT网络引入了iptables规则，所以难以控制，除非你已经完全禁止默认网络。如果你需要完全控制并避免libvirt介入，则参考 libvirt 定制NAT型网络 。
Host主机配置
每个标准的libvirt安装会提供虚拟机连接外部的NAT虚拟网络，这个NAT虚拟网络也称为"default virtual network"，可以通过以下命令检查:
virsh net-list --all
输出可以看到:
Name State Autostart
-----------------------------------------
default active yes
如果libvirt安装时没有创建默认NAT虚拟网络，可以通过example的XML配置重新加载和激活:
virsh net-define /usr/share/libvirt/networks/default.xml
如果没有上述案例配置文件，可以从其他正确安装NAT虚拟网络的主机上使用命令 virsh net-edit default 查看标准的配置:
<network>
<name>default</name>
<bridge name="virbr0"/>
<forward mode="nat"/>
<ip address="192.168.122.1" netmask="255.255.255.0">
<dhcp>
<range start="192.168.122.2" end="192.168.122.254"/>
</dhcp>
</ip>
</network>
然后执行如下命令定义:
virsh net-define /tmp/default.xml
在Arch Linux实践KVM时候，检查发现默认default网络没有激活(最初安装libvirt时没有同时安装bridge-utils):
# virsh net-list --all
Name State Autostart Persistent
----------------------------------------------
default inactive no yes
启动default网络:
virsh net-start default
报错显示，NAT网络依赖防火墙后端:
error: Failed to start network default
error: internal error: Failed to initialize a valid firewall backend
参考 libvirt: “Failed to initialize a valid firewall backend” 上述报错是因为没有安装firewalld软件包，即使此时系统已经安装了 ebtables, dnsmasq libvirt iptables:
$ pacman -Q ebtables dnsmasq libvirt iptables
ebtables 2.0.10_4-7
dnsmasq 2.80-4
libvirt 5.5.0-1
iptables 1:1.8.3-1
修复方法如下:
sudo pacman -Syu ebtables dnsmasq firewalld
sudo systemctl start firewalld
sudo systemctl enable firewalld
sudo systemctl restart libvirtd
现在就可以启动default网络了:
virsh net-start default
然后设置default NAT虚拟网路默认启动:
virsh net-autostart default
当默认的NAT网络启动后，你会看到一个隔离的bridge设备，这个设备 没有 任何物理网络接口连接，所以它使用的是 NAT+forwarding 来连接外部网络。请不要添加任何网络接口!!!
检查:
brctl show
显示:
bridge name bridge id STP enabled interfaces
virbr0 8000.7a5026bf337c yes virbr0-nic
libvirt会添加iptables规则INPUT, FORWARD, OUTPUT 和 POSTROUTING 链路，允许附加到virtbr0设备的guest系统流量的进出。另外libvirt也会激活 ip_forward ，最佳的方式是添加以下配置到 /etc/sysctl.conf
net.ipv4.ip_forward = 1
这个值对应内核参数 /proc/sys/net/ipv4/ip_forward ，只要确保是 1 就可以转发虚拟机流量。
如果上述内核参数值不是1,则可以执行以下命令修订:
echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
echo "net.ipv4.conf.all.forwarding=1" >> /etc/sysctl.conf
echo "net.ipv6.conf.all.forwarding=1" >> /etc/sysctl.conf
sysctl -p
.. note::
创建虚拟机参考 :ref:`create_vm`
virbr0设备DOWN排查
发现一个比较奇怪的问题，之前工作正常的NAT libvirt网络，突然不能正常通讯，虚拟机无法ping网关192.168.122.1，但是实际上default的libvirt网络是激活状态的:
virsh net-list
显示正常:
Name State Autostart Persistent
--------------------------------------------
default active yes yes
brctl show 也正常显示了虚拟网卡设备 virbr0-nic:
bridge name bridge id STP enabled interfaces
br0 8000.7e33f1ea9ee3 no
virbr0 8000.7a5026bf337c yes virbr0-nic
但是，使用 ip addr 显示libvirt网络并未启动:
6: virbr0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN group default qlen 1000
link/ether 7a:50:26:bf:33:7c brd ff:ff:ff:ff:ff:ff
inet 192.168.122.1/24 brd 192.168.122.255 scope global virbr0
valid_lft forever preferred_lft forever
7: virbr0-nic: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc fq_codel master virbr0 state DOWN group default qlen 1000
link/ether 52:54:00:45:db:25 brd ff:ff:ff:ff:ff:ff
启动虚拟机之后检查，可以看到 virbr0 设备恢复了UP状态，但是绑定的``virbr0-nic``依然状态DOWN:
6: virbr0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
link/ether 7a:50:26:bf:33:7c brd ff:ff:ff:ff:ff:ff
inet 192.168.122.1/24 brd 192.168.122.255 scope global virbr0
valid_lft forever preferred_lft forever
7: virbr0-nic: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc fq_codel master virbr0 state DOWN group default qlen 1000
link/ether 52:54:00:45:db:25 brd ff:ff:ff:ff:ff:ff
10: vnet0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel master virbr0 state UNKNOWN group default qlen 1000
link/ether 6e:5e:da:70:92:0b brd ff:ff:ff:ff:ff:ff
inet6 fe80::fc54:ff:fe9f:98b9/64 scope link
valid_lft forever preferred_lft forever
这让我很疑惑，特别是虚拟机网开 vnet0 状态 UNKNOWN 并且 virbr0-nic 状态始终为DOWN。
检查 brctl show 显示:
bridge name bridge id STP enabled interfaces
br0 8000.7e33f1ea9ee3 no
virbr0 8000.7a5026bf337c yes virbr0-nic
vnet0
之前发现 virbr0 接口始终是DOWN状态，这可能是VM网络不通的原因。我关闭虚拟机，使用了 ip link set virtbr0 up 设置之后，再启动虚拟机，则这个接口会从DOWN自动转变成UP。则此时虚拟机能够通讯了。但是 virbr0-nic 始终是DOWN状态。
参考 How virbr0-nic is created? 解说，这个 virbr0-nic 是网络dummy设备。
使用以下命令可以检查虚拟机的虚拟网卡设备:
sudo virsh domiflist win10
输出显示:
Interface Type Source Model MAC
-----------------------------------------------------------
vnet0 bridge virbr0 virtio 52:54:00:9f:98:b9