PVE Firewall: FORWARD zwischen Bridges filtern

[KB19]

Hi,

ich schaue mir gerade die in Proxmox VE integrierte Firewall genauer an. Diese hätte durchaus einige Vorteil ggü. einer manuellen Konfiguration außerhalb von PVE.

Was ich bisher verstanden habe: Wenn ich die Pakete in der FORWARD Chain ebenfalls filtern möchte, muss ich "nftables" in den Einstellungen aktivieren. Das funktioniert prinzipiell auch.

Was ich aber noch nicht geschafft habe: Wie ich den Traffic zwischen verschiedenen Bridges selektiv oder für einzelne VMs freigeben kann, wenn die Default Regel auf DROP geändert wird! Hierbei komme ich aktuell nicht weiter, es wird permanent alles blockiert. Hat dafür vielleicht irgendjemand Tipps oder ein funktionierendes Beispiel? Im Moment bin ich soweit, dass ich auf die PVE-Firewall verzichte und das notgedrungen manuell mit iptables-persistent/netfilter-persistent löse…

Ausgangslage für mein Test-Setup:

• vmbr0: NAT zum bzw. vom WAN.
• vmbr1: Bridge für einige VMs, die keine Einschränkungen haben.
• vmbr2: Bridge für VMs, deren Traffic größtenteils gefiltert werden soll.
• vmbr3: Bridge für VMs, die nur intern erreichbar sein sollen.

Mit welchen Firewallregeln kann ich das in PVE umsetzen?

 

[shanreich]

Wie wird denn der Traffic zwischen den verschiedenen VMs gehandled? Ist der Host da der Gateway, der zwischen den verschiedenen bridges routed? Weil dann kann man auf Host-Ebene FORWARD regeln erstellen, die dann genau diesen Traffic betreffen. Regeln auf VNet-Ebene betreffen ausschließlich traffic, der innerhalb der Bridge geforwarded wird.

 

[KB19]

Sorry für die späte Antwort, ich hatte auf diesen Thread ganz vergessen. (Und zwischenzeitlich sowieso keine Zeit für Experimente.)

Wie wird denn der Traffic zwischen den verschiedenen VMs gehandled? Ist der Host da der Gateway, der zwischen den verschiedenen bridges routed?

Ja, das wäre meine Planung. Ich könnte natürlich auch eine VM zum virtuellen Router machen, aber das wollte ich mir ersparen.

Weil dann kann man auf Host-Ebene FORWARD regeln erstellen, die dann genau diesen Traffic betreffen. Regeln auf VNet-Ebene betreffen ausschließlich traffic, der innerhalb der Bridge geforwarded wird.

Ich glaube Du hast meinen Knoten im Hirn soeben gelöst! Dass die Host-Ebene in PVE anders ist als die VNet-Ebene, habe ich damals nicht überblickt. Die habe ich glaube ich völlig übersehen, dass die überhaupt existiert.

Ich teste das in den nächsten Tagen einmal in meiner Testumgebung aus, aber das dürfte tatsächlich die Ursache für meine ganze Verwirrung gewesen sein.

DANKE!