Виртуальные сетевые интерфейсы Linux: виды, назначение и практическая настройка
Linux располагает мощным набором инструментов для виртуализации сетевой инфраструктуры. На их основе работают виртуальные машины, контейнеры, сетевые пространства имён и облачные платформы. Понимание того, как устроены виртуальные сетевые интерфейсы Linux, необходимо не только сетевым инженерам, но и администраторам серверов, DevOps-специалистам и разработчикам инфраструктуры.
В этом материале разберём основные типы интерфейсов, их назначение и типовые сценарии применения. Акцент сделан на практике: глубокое изучение исходного кода ядра не требуется, достаточно базовых знаний TCP/IP и Linux. Дополнительные примеры настройки виртуальной сети Linux помогают сопоставить теорию с реальными командами.
Чтобы вывести список доступных устройств, выполните:
```bash
ip link
```
Большинство команд ниже предполагает права `root`. Наиболее часто используемые технологии - bridge, bonding, VLAN, VXLAN, VETH, MACVLAN, IPVLAN, MACsec, IFB и ряд специализированных интерфейсов.
Bridge: программный сетевой коммутатор
Bridge, или мост, работает в Linux примерно так же, как обычный Ethernet-коммутатор. Он пересылает кадры между подключёнными портами и позволяет объединять физические устройства, виртуальные машины, контейнеры и сетевые пространства имён в единую логическую сеть.
Такой интерфейс применяют на шлюзах, гипервизорах и хостах контейнеризации. Например, виртуальная машина может выглядеть для внешней сети так, будто подключена к отдельному порту физического коммутатора.
Создать мост можно командой:
```bash
ip link add name br0 type bridge
ip link set br0 up
```
Добавление порта выполняется так:
```bash
ip link set eth0 master br0
```
Перед переносом физического интерфейса в bridge его IP-адрес обычно удаляют, а адрес назначают самому мосту.
Linux bridge поддерживает STP - Spanning Tree Protocol. Он предотвращает сетевые петли, которые могут привести к широковещательным штормам. В зависимости от конфигурации доступны также RSTP и MSTP. Для включения STP используется команда:
```bash
ip link set br0 type bridge stp_state 1
```
Мост умеет обрабатывать multicast-трафик: IGMP для IPv4 и MLD для IPv6. Механизм multicast snooping позволяет пересылать многоадресные пакеты только тем портам, где действительно есть подписчики.
Кроме того, bridge поддерживает фильтрацию VLAN. Портам можно назначать VLAN ID, использовать режимы tagged и untagged, а также задавать PVID для нетегированного входящего трафика. Эти функции превращают программный мост в достаточно гибкий аналог управляемого коммутатора. Более подробные параметры доступны через `ip link help bridge`, `bridge help` и соответствующие man-страницы.
Bonding: объединение физических каналов
Bonded-интерфейс объединяет несколько сетевых карт в одно логическое устройство. Это позволяет повысить отказоустойчивость или распределить нагрузку между каналами. Конкретное поведение зависит от режима bonding: active-backup обеспечивает резервирование, а некоторые другие режимы позволяют балансировать трафик.
Пример создания интерфейса:
```bash
ip link add bond1 type bond mode active-backup
ip link set eth0 master bond1
ip link set eth1 master bond1
ip link set bond1 up
```
Bonding применяют на серверах с несколькими сетевыми картами, в системах хранения и виртуализационных кластерах. Однако режимы балансировки требуют соответствующей настройки физического коммутатора.
Для виртуализированных сред существует механизм `net_failover`. Он связывает основное устройство, например SR-IOV VF или passthrough-интерфейс, с резервным паравиртуальным устройством. При отказе основного канала трафик автоматически переключается на резервный.
VLAN: логическое разделение сети
VLAN разбивает единую физическую инфраструктуру на несколько изолированных широковещательных доменов. Пакеты маркируются тегом IEEE 802.1Q, благодаря чему разные подсети могут передаваться через один физический канал.
Создать VLAN-интерфейс можно так:
```bash
ip link add link eth0 name eth0.10 type vlan id 10
ip addr add 192.168.10.2/24 dev eth0.10
ip link set eth0.10 up
```
VLAN особенно полезен при настройке виртуальной сети Linux для контейнеров и виртуальных машин: отдельные группы сервисов получают собственные подсети, сохраняя общую физическую инфраструктуру.
VXLAN: виртуальные сети поверх IP
VXLAN инкапсулирует Ethernet-кадры в UDP-пакеты. Благодаря этому L2-сегменты можно растягивать между серверами, дата-центрами и облачными площадками через обычную IP-сеть.
Технология активно применяется в SDN, Kubernetes и современных системах виртуализации. VXLAN использует 24-битный идентификатор VNI, поэтому способен поддерживать значительно больше изолированных сетей, чем традиционные VLAN.
VETH: соединение сетевых пространств имён
VETH представляет собой виртуальный кабель с двумя концами. Всё, что поступает на один конец, появляется на другом. Чаще всего одна сторона помещается в контейнер, а вторая остаётся в основном пространстве имён хоста.
```bash
ip link add veth-host type veth peer name veth-container
ip link set veth-container netns
```
Именно VETH чаще всего лежит в основе сетевого подключения контейнеров. Поэтому виртуальные сетевые интерфейсы Linux для контейнеров обычно включают пару VETH, bridge и правила маршрутизации или NAT.
MACVLAN и IPVLAN
MACVLAN создаёт несколько виртуальных интерфейсов с отдельными MAC-адресами поверх одной физической карты. Каждый такой интерфейс может получить собственный IP-адрес и выглядеть в сети как самостоятельное устройство.
IPVLAN работает иначе: виртуальные интерфейсы используют общий MAC-адрес родительского устройства, а разделение выполняется на уровне IP. Это снижает нагрузку на физическую сеть и может быть удобнее в инфраструктурах с ограничениями по количеству MAC-адресов.
MACVTAP и IPVTAP объединяют соответствующие механизмы с устройством, доступным через `/dev/tap`, что удобно для подключения виртуальных машин.
MACsec и защищённые соединения
MACsec шифрует Ethernet-трафик на канальном уровне. В отличие от VPN, технология не требует построения отдельного IP-туннеля и защищает кадры непосредственно между соседними сетевыми устройствами.
Её используют для защиты соединений между серверами, коммутаторами и маршрутизаторами, особенно когда физическая инфраструктура не считается полностью доверенной.
Специализированные интерфейсы
Linux поддерживает и менее распространённые типы виртуальных устройств:
- VCAN - виртуальный CAN-интерфейс;
- VXCAN - соединение двух CAN-пространств через виртуальный туннель;
- IPoIB - передача IP через InfiniBand;
- NLMON - мониторинг сообщений Netlink;
- IFB - обработка входящего трафика с помощью `tc`, включая ограничение скорости;
- dummy - виртуальное устройство без физического канала, полезное для маршрутизации и служебных адресов;
- netdevsim - симуляция сетевых устройств для тестирования драйверов и сетевых сценариев;
- blackhole - интерфейс или маршрут для намеренного отбрасывания пакетов;
- netconsole - передача сообщений ядра по сети.
При работе с виртуальными машинами также встречаются сетевые интерфейсы, подключаемые через TAP/TUN, эмуляцию устройств и аппаратную виртуализацию. На практике сетевые интерфейсы Linux для виртуальных машин часто комбинируют с bridge, VLAN, bonding и механизмами виртуального коммутатора.
Выбор технологии зависит от задачи. Bridge нужен для объединения устройств на канальном уровне, VLAN - для логической сегментации, VXLAN - для передачи изолированных L2-сетей через IP, bonding - для резервирования, а VETH - для связи между сетевыми пространствами имён. Правильная настройка сетевых интерфейсов Linux начинается с определения требуемой модели: нужен ли общий широковещательный домен, изоляция, маршрутизация, шифрование или отказоустойчивость.
Перед внедрением конфигурацию желательно проверить в отдельном network namespace или тестовой виртуальной машине. Это позволяет безопасно отладить маршруты, VLAN-теги, правила фильтрации и взаимодействие с физическим коммутатором. При автоматизации стоит использовать NetworkManager, systemd-networkd или инструменты оркестратора, чтобы настройки сохранялись после перезагрузки.
Таким образом, виртуальные интерфейсы Linux образуют модульный конструктор: из отдельных компонентов можно собрать сеть для контейнеров, виртуальных машин, высоконагруженных сервисов и распределённых облачных систем. Подробные практические сценарии и дополнительные команды собраны в материале о виртуальных сетевых интерфейсах Linux.
