OPNsense als VM - Zugriff auf PVE-Host

[ollibraun]

Hallo,

ich habe eine OPNsense als VM auf einem PVE-Host und kann mich vom Heimnetz per VPN dorthin verbinden. Kann man das so bauen, dass man durch die OPNsense auf die Proxmox-Oberfläche kommt? Der Server hat nur eine Netzwerkkarte, aber mehrere öffentliche IPs (von denen eine jetzt auf den Host zeigt und eine auf die virtualisierte OPNsense).

Ich grüble da gerade. Geht das überhaupt?

Viele Grüße
Oliver

 

[CoolTux]

Ja das geht. Ich habe dem pve-host eine IP Adresse aus meinem internen Netz gegeben und da Du ja per VPN eh im internen Netz bist kannst dann auch darauf zugreifen.

 

[ollibraun]

Wie hast Du das genau gemacht? Der PVE-Host hat ja eine öffentliche IP und soll die auch behalten. Also eine zweite NIC? Und muss dann nicht auch in der OPNsense noch ein Port eingerichtet werden für den Host? Ich steh gerade auf dem Schlauch.

 

[Falk R.]

Wie hast Du das genau gemacht? Der PVE-Host hat ja eine öffentliche IP und soll die auch behalten. Also eine zweite NIC? Und muss dann nicht auch in der OPNsense noch ein Port eingerichtet werden für den Host? Ich steh gerade auf dem Schlauch.

Du hast ja eine eigene interne Bridge für den internen VM Traffic, der Bridge gibst du einfach eine IP.

 

[ollibraun]

Irgendwie bin ich auf dem Schlauch stehengeblieben. Habe ein bißchen herumprobiert, aber ohne Erfolg. Vielleicht mehr Details:



Die OPNsense hat drei Netzwerkkarten, WAN an vmbr0 und zwei getrennte LANs an vmbr1 und vmbr2.

Ich hatte jetzt mal versucht, bei vmbr0 in obiger Abbildung die 192.168.10.5/32 einzutragen, aber damit hat es noch nicht funktioniert. Ist das denn überhaupt das, was Ihr meint?

Muss nicht auf der OPNsense auch etwas angepasst werden? Das klingt so einfach bei Euch... aber durch den Tunnel komme ich zwar auf die OPNsense, aber wieso sollte diese eine Verbindung auf zum Beispiel 192.168.10.5 auf ihren WAN-Port leiten?

Fehlt vielleicht eine weitere Bridge, die mit einer vierten Netzwerkkarte auf der OPNsense verbunden ist, und außerdem eine zweite IP - beispielsweise 192.168.99.5 - auf dem Debian-Host (PVE)? So ungefähr hatte ich mir das vorgestellt, aber wenn es einfacher geht...

 

[Falk R.]

Du hast deinen Bridges die Netz IP gegeben, da wirst nu nix erreichen können. Gib einfach der Bridge 192.168.10.x oder 20.x eine IP und auf der anderen Bridge die x.0 entfernen. Welche IPs du auf den Bridges nutzt, interessiert Proxmox nicht, außer du willst mit dem Host sprechen.

 

[CoolTux]

Ich habe für den pve-host eine eigene interne IP auf ein vmbr device gegeben. Die IP ist aus meinem Management Netzwerk. Bei Dir könnte das eine IP aus 192.168.20.0 sein oder so.

 

[Treptower]

in den Netzwerkeinstellungen vom Proxmox(Knoten) sollte es ungefähr so aussehen (siehe auch Kommentare in der letzten Spalte)
Diese "Brücken" sind dann in der FirewallVM entsprechend zuzuweisen und mit Aufgaben zu belegen, also WANa, WANb, LAN

Netzwerk im Proxmoxknoten


dann hier ein Beispiel der Zuordnung in der Firewall VM, welcher Typ auch immer:

 

[ollibraun]

Verstehe, so einigermaßen, auch wenn ich das für mich noch sortieren muss.

Ich habe jetzt mitbekommen, dass ich aus den Netzwerken auf dem PVE-Host auf dessen Oberfläche komme, wenn ich bei der jeweiligen Bridge eine passende IP eintrage. So ungefähr.

Es sieht nun so aus:

Virtuelle OPNsense, separate Schnittstelle für die Verbindung zum PVE-Host. Wireguard von meinem externen Heimnetz.



vmbr3 ist in der OPNsense die Schnittstelle ProxmoxVE.

https://192.168.70.1/ = OPNsense-Webinterface, da komme ich drauf
https://192.168.70.10:8006 = PVE, da kommt "Seite nicht erreichbar"

Im Firewall-Log der OPNsense sehe ich, dass Daten aus meinem externen lokalen Netzwerk kommen:


Von einem Client in einem lokalen Netz auf dem PVE-Host funktioniert es - der Client selbst ist in einem lokalen Netz 192.168.20.x. Und sowohl https://192.168.20.5:8006/ als auch https://192.168.70.10:8006/ sind erreichbar.

Warum es nicht durch den Tunnel geht, ist mir noch nicht klar, wegen des obigen Logs ist mein Gedankengang noch, dass das Problem der PVE-Host ist.