Разобрался сам, накидал инструкцию, как для себя так и для других. Если где не прав, прокомментируйте, желательно подробно.
Датацентр => Брандмауэр => IPSet
создаем IPSet например под названием whiteip и добавляем в него все айпи, с которых у нас будет доступ к proxmox
Датацентр => Брандмауэр => Группа безопасности
создаем группу, пишем в нее пару правил, для портов 22 и 8006, пример для 8006:
Направление: in
Действие: ACCEPT
Включить: незабываем галочку
Протокол: tcp
Источник: выбираем IPset наш +whiteip
Порт источника: пусто
Получатель: пусто
Порт получателя: 8006
Датацентр => Node => Брандмауэр
Вставить: группу безопасности
Выбираем нашу группу, незабываем галочку "включить"
Датацентр => Брандмауэр => Параметры
Видим, что Брандмауэр пока что выключен
Видим правила для входящего трафика: DROP
Видим правила для исходящего трафика: ACCEPT
Это значит, что как только мы включим Брандмауэр, весь входящий трафик будет ЗАБЛОКИРОВАН, кроме тех правил, что мы установили для ноды
Чтобы не обосраться, перед тем как включить тут Брандмауэр, заходим по ssh на proxmox, это позволит откатить изменение в случае чего, откатываем изменения так:
nano /etc/pve/firewall/cluster.fw
меняем значение параметра enable: 1 на соответственно enable: 0
сохраняем, чуть подождем, и снова сможем зайти в proxmox и проверить, почему правила не сработали
Брандмауэр будет работать на уровне Датацентр и на уровне Node, для контейнеров и виртуальных машин я обычно его отключаю, так как их трафик контролирует микротик. Но сам proxmox пришлось повесить на выделенный айпи, от чего и потребовалось заюзать встроенный Брандмауэр