Keine Verbindung zu KVM mit Spice möglich

[pedro]

Hallo,

leider komme ich mit Spice nicht auf eine Linux 20.04 VM. Weder mit einem Linux noch mit einem Windows Viewer

#pveversion -v
proxmox-ve: 6.2-1 (running kernel: 5.4.34-1-pve)
pve-manager: 6.2-10 (running version: 6.2-10/a20769ed)
pve-kernel-helper: 6.2-4
pve-kernel-5.4: 6.2-2
pve-kernel-5.4.41-1-pve: 5.4.41-1
pve-kernel-5.4.34-1-pve: 5.4.34-2
ceph-fuse: 12.2.11+dfsg1-2.1+b1
corosync: 3.0.4-pve1
criu: 3.11-3
glusterfs-client: 5.5-3
ifupdown: 0.8.35+pve1
ksm-control-daemon: 1.3-1
libjs-extjs: 6.0.1-10
libknet1: 1.16-pve1
libproxmox-acme-perl: 1.0.4
libpve-access-control: 6.1-2
libpve-apiclient-perl: 3.0-3
libpve-common-perl: 6.1-5
libpve-guest-common-perl: 3.1-2
libpve-http-server-perl: 3.0-6
libpve-storage-perl: 6.1-8
libqb0: 1.0.5-1
libspice-server1: 0.14.2-4~pve6+1
lvm2: 2.03.02-pve4
lxc-pve: 4.0.2-1
lxcfs: 4.0.3-pve3
novnc-pve: 1.1.0-1
proxmox-mini-journalreader: 1.1-1
proxmox-widget-toolkit: 2.2-9
pve-cluster: 6.1-8
pve-container: 3.1-12
pve-docs: 6.2-5
pve-edk2-firmware: 2.20200531-1
pve-firewall: 4.1-2
pve-firmware: 3.1-1
pve-ha-manager: 3.0-9
pve-i18n: 2.1-3
pve-qemu-kvm: 5.0.0-11
pve-xtermjs: 4.3.0-1
qemu-server: 6.2-11
smartmontools: 7.1-pve2
spiceterm: 3.1-1
vncterm: 1.6-1
zfsutils-linux: 0.8.4-pve1

# qm config 100
bootdisk: scsi0 und
cores: 4
memory: 16384
name: akkra.********.com
net0: virtio=C2:2C:55:AC:D2:3C,bridge=vmbr0
numa: 0
ostype: l26
scsi0: local-zfs:vm-100-disk-0,size=32G
scsihw: virtio-scsi-pci
smbios1: uuid=0474a9ee-4386-4c8f-abd8-ae81cb58dcdc
sockets: 2
vga: qxl
vmgenid: d7d5bb2f-cde7-4b9a-a5c3-212cfd97cf01

Ich verwende für den Host ein über letsencrypt erstelltes SSL-Zertifikat. Was kann ich tun?

 

[noPa$$word]

Von wo aus nicht erreichbar? Ist ein bisschen wenig Information.

 

[pakuzaz]

Von extern ? Ggf. Firewall

 

[pedro]

Na ja, erreichbar ist der Server schon. Auch die VM läuft .

Allerdings brechen die Viewer mit der Fehlermeldung ab: es konnte keine Verbindung zum Grafikserver hergestellt werden

Von extern ? Ggf. Firewall

Nein, Firewall hab ich schon deaktiviert.

noVNC funktioniert allerdings.

 

[noPa$$word]

Internes oder externes Netz? Hinter einem Modem (NAT)? Portforwarding?

Ich klinke mich da aus. Ohne Info kann ich nicht versuchen zu helfen.

 

[pakuzaz]

Jo Firewall ist nicht nur bei an oder aus wichtig machst du nat ??? Gib mal mehr Infos.

 

[pedro]

Jo Firewall ist nicht nur bei an oder aus wichtig machst du nat ??? Gib mal mehr Infos.

Der Server steht bei Hetzner. Die KVM hat eine eigene IP-Adresse, die der Host an die VM weiterleitet, ein simples routed networking, wie hier beschrieben: https://dominicpratt.de/hetzner-proxmox-network-configuration/

Welche Infos sind noch notwendig?

So sieht die VV-Datei aus, die der Server schickt:

[virt-viewer]
toggle-fullscreen=Shift+F11
host-subject=CN=host.example.com
secure-attention=Ctrl+Alt+Ins
release-cursor=Ctrl+Alt+R
type=spice
tls-port=61000
ca=-----BEGIN CERTIFICATE-----\n[cert value]\n-----END CERTIFICATE-----\n
title=VM 100 - host.example.com
host=pvespiceproxy:5f79a963:100:host::[some hash value]
password=[password value]
proxy=http://host.example.com:3128
delete-this-file=1

 

[noPa$$word]

Das --> https://www.hetzner.de/news/0619-port/ bereits beachtet?

Hier die von Proxmox verwendeten Ports --> https://pve.proxmox.com/pve-docs/pve-admin-guide.html#_ports_used_by_proxmox_ve

 

[pedro]

Das --> https://www.hetzner.de/news/0619-port/ bereits beachtet?

Es ist ein Dedicated Rootserver. Die werden nicht über konsole-h, sondern den Robot gemanaged. Auf dem Server läuft Proxmox nativ, d.h. der Zugang zu den Diensten wird über die Proxmox-Firewall geregelt. Der Port 3128, den Spice verwendet, ist freigegeben:

3128/tcp open     http           Proxmox Virtual Environment REST API 3.0

Wenn man den spiceproxy auf dem Hostsystem im Debug-Modus startet, bekommt man folgende Ausgabe:

5159: ACCEPT FH10 CONN1
5159: CONNECT 100, africa, 61000
5159: CONNECTed to 'localhost:61000'
close connection AnyEvent::Handle=HASH(0x5639807990a0)
5159: CLOSE FH10 CONN0

Und hier die Ausgabe bei der gleichen Aktion von Clientseite:

PS C:\Program Files\VirtViewer v9.0-256\bin> .\remote-viewer.exe D:\Downloads\download.vv --debug
PS C:\Program Files\VirtViewer v9.0-256\bin> (remote-viewer.exe:10140): virt-viewer-DEBUG: 21:56:47.702: Opening display to D:\Downloads\download.vv
(remote-viewer.exe:10140): virt-viewer-DEBUG: 21:56:47.702: Guest (NULL) has a spice display

(remote-viewer.exe:10140): GSpice-CRITICAL **: 21:56:47.710: _usbdk_hider_update: assertion 'priv->usbdk_api != NULL' failed
(remote-viewer.exe:10140): virt-viewer-DEBUG: 21:56:48.079: ignoring [ovirt] section content as URL, VM GUID are missing from the .vv file
(remote-viewer.exe:10140): virt-viewer-DEBUG: 21:56:48.079: After open connection callback fd=-1
(remote-viewer.exe:10140): virt-viewer-DEBUG: 21:56:48.080: Opening connection to display at D:\Downloads\download.vv
(remote-viewer.exe:10140): virt-viewer-DEBUG: 21:56:48.083: New spice channel 0000000004725120 SpiceMainChannel 0
(remote-viewer.exe:10140): virt-viewer-DEBUG: 21:56:48.083: notebook show status 000000000461B9B0
(remote-viewer.exe:10140): virt-viewer-DEBUG: 21:56:48.551: main channel: failed to connect Verbindung zum ?HTTP-Proxy ist fehlgeschlagen: 401
(remote-viewer.exe:10140): virt-viewer-DEBUG: 21:56:48.552: Destroy SPICE channel SpiceMainChannel 0
(remote-viewer.exe:10140): virt-viewer-DEBUG: 21:56:48.553: zap main channel