Firewall Aufbaulogik

[moustache]

Hallo zusammen

Ich verstehe die Wirkungsweise der Firewall in Proxmox noch nicht ganz, wie diese aufgebaut ist und wird. Dies hier habe ich gelesen http://pve.proxmox.com/wiki/Firewall, doch fehlt mir ein Schema respektive kann ich es mir noch nicht vorstellen. Es geht nicht um Konfig, sondern um Aufbaulogik.

Beispiel: Einzelserver bei einem Hoster, beispielsweise IP-Adressen /28 oder /27 Netz, /56 IPv6 Netz. Der Server hat keine Firewall vorgeschalten, alles soll via PX laufen. Angeschlossen an einer ETH Schnittstelle. IP via Aliases.

a. Wie verläuft der Netztraffic?

welt ->proxmo host-> guest
welt ->guest

oder beides?
Was ist wann gescheit?

b. Ich habe guest vm mit 1-3 offiziellen ips, 1-3 ipv6 pro host. Wie ist ein empfohlener Aufbau??
also via Proxmox host?
direkt?

Danke vielmals, Oliver

 

[moustache]

habe bücher gelesen. Mir war nicht klar, dass px auch als virtueller switch dient und sich damit neue möglichkeiten und hürden auftun.

für einen single proxmox host der auf einem dedizierten server im netz steht, was ist ein gescheite config, wenn keine separate firewall zur verfügung steht, auch kein dedizierter eth port?

 

[udo]

habe bücher gelesen. Mir war nicht klar, dass px auch als virtueller switch dient und sich damit neue möglichkeiten und hürden auftun.

Hi,
mit px meinst Du den proxmox-host? Wenn ja, hat sich hier pve als abkürzung etabliert

für einen single proxmox host der auf einem dedizierten server im netz steht, was ist ein gescheite config, wenn keine separate firewall zur verfügung steht, auch kein dedizierter eth port?

Ich selber benutze die pve-Firewall bis jetzt nicht, aber eine sinnvolle Config wäre, nur die Ports, die benötigt werden, zur IP vom pve-server zu erlauben.
Das gleiche für die VMs (wenn man das definieren kann - sollte aber gehen).

Wegen Ports siehe hier: http://pve.proxmox.com/wiki/Ports - wobei für ein single host brauchst Du keine Ports für die Cluster-Kommunikation.

Udo

 

[moustache]

Danke vielmals für deine Ausführungen, ja ich meinte selbstverständlich pve;-)
Portsperre erschient mir in jedem Falle ein Muss. Und die pve-firewall bietet hier viel soweit ich das erkennen kann.