0

Никак не могу найти примеры, как на деле люди используют firewall в proxmox VE.

У меня по сути задача простая, мне нужно разрешить на порт 22 и 8006 только определенные айпи адреса, и все. Но судя по инструкции, если я включу фаервол, то все заблокируется, кроме внесенных правил. Вот я бы и хотел просто посмотреть готовые примеры, как люди делают

В целом я создал IPset, создал группу безопасности, в которой разрешил порты 8006 и 22 для IPset созданного, и добавил это правило в ноду проксмокса, но у меня возникает вопрос... а как собственно все остальное разрешить тогда?

В общем помогите кто может, задача простая вроде бы, но у меня затуп с ней...

1 ответ 1

0

Разобрался сам, накидал инструкцию, как для себя так и для других. Если где не прав, прокомментируйте, желательно подробно.

Датацентр => Брандмауэр => IPSet
    создаем IPSet например под названием whiteip и добавляем в него все айпи, с которых у нас будет доступ к proxmox
Датацентр => Брандмауэр => Группа безопасности
    создаем группу, пишем в нее пару правил, для портов 22 и 8006, пример для 8006:
        Направление: in
        Действие: ACCEPT
        Включить: незабываем галочку
        Протокол: tcp
        Источник: выбираем IPset наш +whiteip
        Порт источника: пусто
        Получатель: пусто
        Порт получателя: 8006
Датацентр => Node => Брандмауэр
    Вставить: группу безопасности
    Выбираем нашу группу, незабываем галочку "включить"
Датацентр => Брандмауэр => Параметры
    Видим, что Брандмауэр пока что выключен
    Видим правила для входящего трафика: DROP
    Видим правила для исходящего трафика: ACCEPT
    Это значит, что как только мы включим Брандмауэр, весь входящий трафик будет ЗАБЛОКИРОВАН, кроме тех правил, что мы установили для ноды
    Чтобы не обосраться, перед тем как включить тут Брандмауэр, заходим по ssh на proxmox, это позволит откатить изменение в случае чего, откатываем изменения так:
        nano /etc/pve/firewall/cluster.fw
        меняем значение параметра enable: 1 на соответственно enable: 0
        сохраняем, чуть подождем, и снова сможем зайти в proxmox и проверить, почему правила не сработали
Брандмауэр будет работать на уровне Датацентр и на уровне Node, для контейнеров и виртуальных машин я обычно его отключаю, так как их трафик контролирует микротик. Но сам proxmox пришлось повесить на выделенный айпи, от чего и потребовалось заюзать встроенный Брандмауэр

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.