Netze isolieren ?

[fpausp]

Hab vier Netzwerkkarten im Server...

Möchte gerne drei Subnetze einrichten und komplett isolieren/abschotten. Muss man dazu die Firewall aktivieren und für jede VM regeln definieren oder wie geht das ?

 

[wolfgang]

Wenn du meinst die subnetze gegeneinander abschotten und es unterschiedliche netze sind must du nichts tun.

 

[fpausp]

Danke Wolfgang...

 

[LnxBil]

Möchte gerne drei Subnetze einrichten und komplett isolieren/abschotten. Muss man dazu die Firewall aktivieren und für jede VM regeln definieren oder wie geht das ?

Isolieren von was (anderen auf dem Server laufenden VMs oder physikalischen Clients/Servern)? Ich nehme an, dass du hier auch VLAN verwenden willst.

 

[Sven Jörns]

Meine Frage geht in die selbe Richtung und es gibt bestimmt wieder mehrere Wege.
Ich möchte gerne eine Firewall-Appliance als Proxmox Gast installieren.
zum ausprobieren habe ich erst mal opnsense verwendet. Nun möchte ich aber das WAN nicht an dem Proxmox Host bekannt machen. Es soll also nicht mal eine theoretische Möglichkeit geben über den WAN-Anschluss auf den Proxmox-Host zu kommen.
Viele IPs stehen im Transfernetz bei Company-Connect auch nicht zur Verfügung.
Darum habe ich jetzt erst mal versucht mit einer OSV Bridge zu arbeiten. Also einem virtuellen Switch, an den ich dann die Firewall (und vielleicht in Zukunft andere Gäste) direkt an das WAN anzuschließen.

Erster Versuch ist schon mal misslungen, weil ich nicht mal das Gateway erreichen kann.
Wie wird so etwas am besten und richtig gemacht?

 

[HBO]

Die günstige und absolut sichere Variante wäre:
Gateway <> Hardware Router (zBsp PC Engines Board mit PfSense) <> Switch der VLANs kann <> Proxmox Host

Der VLAN Switch wäre dann aber hauptsächlich nur interessant sofern auf den VMs verschiedene Netze mit verschiedenen Zugriffen bestehen sollen. Diese managed man dann über PfSense. Oder alternativ man arbeitet sich in der PVE Firewall ein, machbar ist auch hier gleiches wie mit PfSense.

Verbindung auf Proxmox Host von Außen zBsp dann nur per VPN, IPSEC, ...

 

[Sven Jörns]

Auch im Netzwerkbereich ist der Trend der Virtualisierung nicht aufzuhalten. Ich bin mir sicher, dass Proxmox hier auch Schritt halten wird. Darum will ich gerade nicht mehr eine spezielle Hardware verwenden.
Der einzige Punkt der da mir noch fehlt, ist die Isolierung einer Netzwerkkarte zum Host, die man dann aber trotzdem für die virtualisierten Gäste verwenden kann. Bei VMware geht das z.B. . Es geht bestimmt auch mit Linux/Proxmox . Aber wie genau?

 

[HBO]

Du hast 2 Netzwerkkarte, Nummer 1 nutzt du für was auch immer und für Nummer 2 erstellst du die Bridge für die VMs, and so on...
Ich kenne aber auch zumindest keine Virtualisierung die von sich aus ein Routing bzw GW bereit stellt, das sind alles individuell gebastelte Lösungen (zBsp OpenVSwitch) etc pp
Ich bin dann doch eher dafür ein hardwarebasiertes Gateway zu haben, eine FritzBox ist dahingehend auch nicht wirklich was anderes. Nur ist eben die Konfigurierbarkeit eher mau (ist ja auch Hardware für den Privatgebrauch). Manche unserer Kunden setzen zBsp von Fortinet fertige Hardware ein, ich bleibe lieber OpenSource.

 

[LnxBil]

Ich hab ein ähnliches System einfach über VLANs realisiert:

Endpunkt vom Provider hat 2 Netzwerkanschlüße (wohl ein integrierter Switch), die an jeweils einem managed Switch bei uns hängen und in einem eigenen VLAN drin sind. Dieses VLAN ist auch in PVE konfiguriert und hängt an einer HA-Firewall-VM die 2 Netzwerkkarten hat. Eine für WAN und eine LAN. Klar kann man das bestimmt auch alles mit OpenVSwitch machen, aber das VLAN ist definitiv einfacher zu verstehen und zu managen.