openVZ mit nur einer IP am Server

[treki]

Hallo Gemeinde
Ich krieg's iwie nicht auf die Reihe.
Ich habe nur eine IP am Server zur Verfügung.
Darum möchte ich den Port 8006 für's Proxmox durchschleifen und für ssh den Port 1022 in 22 übersetzen (auch auf's Proxmox). Die restlichen Ports auf die openVZ Maschine (Debian 8.5.0).
Habe das früher mal mit VE3 geschafft. Nur bei 4.2 funzen die alten Tutorials auf dem Netz nicht mehr.
Hat mir wer einen Link mit einem aktuellen Howto oder kann mir sogar eine laufende Konfiguration geben?

Danke im Voraus.

 

[LnxBil]

Die Technik ist weiter die selbe mit iptables, daran hat sich nichts geändert - es sei denn man installiert openvswitch, dann sieht das alles ganz anders aus.

Kannst du mal beschreiben was du versucht hast und was nicht funktioniert?

 

[treki]

Puh, habe so viel versucht, dass ich den Überblick verloren habe
In manchen Tuts ist die rede von vmbr0, vmbr1 und sogar vmbr2.
Das ganze läuft momentan bei mir lokal auf einer Testkiste.
Möchte das getestet haben, wenn ich zBsp mal eine Proxmox Installation auf einer OVH Kimsufi Kiste mache (OVH bietet leider keine Proxmox Installation mehr auf denen an).
Bin nach https://pve.proxmox.com/wiki/Install_Proxmox_VE_on_Debian_Jessie gegangen und es läuft mit einer 2ten IP. Laut diesem Tut ist scheinbar kein openvswitch drauf.
Hast keine Conf, welche du mir zuspielen könntest?

 

[LnxBil]

Je nach dem wo du die eigentliche, öffentliche IP laufen lassen möchtest machst du entweder SNAT oder DNAT.

Ein einfaches Setup ist z.B. das hier:

https://raymii.org/s/tutorials/Proxmox_VE_One_Public_IP.html

 

[treki]

Ok danke.
Aber ich steh auf dem Schlauch.
Im Tut wird ein vmbr2 konfiguriert.
Von dem ist aber später nie mehr die Rede davon. Nur noch von vmbr0.
Wie ist das zu verstehen?

 

[LnxBil]

Da steht doch, dass alle VMs auf der neuen Bridge laufen. Macht ja auch Sinn, denn auf der anderen Bridge läuft ja die öffentliche IP.

Man kann das natürlich auch so umbauen, dass die vmbr0, die man nicht benutzt kein eth0 mehr hat und das Interface von Hand konfigurieren auf die öffentliche IP. Dann muss man halt die Regeln dementsprechend umbauen.

Im Prinzip is das total einfach:

• Maskieren des gesamten Verkehrs auf der privaten Bridge wenn der Traffic eth0 verlässt
• Eingehend DNAT machen für einzelne Ports

z.B.

auto eth0
iface eth0 inet static
        address 1.2.3.4
        netmask 255.255.255.0
        gateway 1.2.3.5
        post-up iptables -t nat -A PREROUTING -d 1.2.3.4 -p tcp --dport 80    -j DNAT --to 192.168.1.1:80
        post-up iptables -t nat -A PREROUTING -d 1.2.3.4 -p tcp --dport 443   -j DNAT --to 192.168.1.1:443

auto vmbr0
iface vmbr0 inet static
           address  192.168.1.1
           netmask  255.255.255.0
           bridge_ports none
           bridge_stp off
           bridge_fd 0

           post-up sysctl -w net.ipv4.ip_forward=1
           post-up iptables -t nat -A POSTROUTING -s 192.168.1.0/24 ! -d 192.168.1.0/24 -j MASQUERADE