Proxmox Routed/Bridged Problem 3.4 -> 4.2

[tomic]

Hallo Zusammen,

bisher habe ich Proxmox 3.4 Routed genutzt und habe nun Testweise ein neues Proxmox 4.2 aufgsetzt und stoße beim Thema Netzwerk an einige Ecken. Um internen und externen Traffic besser auseinander zu halten, wurde ein virtuelles Netz erstellt... 10.11.0.0 / 255.255.0.0

Verkabelung und Zielsetzung:
Aktuell steckt in eth0 der Uplink zum Switch. Ich will also mit nur einem Kabel sowohl das öffentlich als auch private Netz bedienen können, was mittels Routed-Konfiguration auch funktioniert hatte.

Bisherige Netzwerkkonfiguration Host1

Spoiler: Host1 Aktuell

auto eth0
iface eth0 inet static
address 94.XXX.XXX.151
netmask 255.255.255.224
pointopoint 94.XXX.XXX.XXX
gateway 94.XXX.XXX.XXX

auto eth0:1
iface eth0:1 inet static
address 10.11.0.11
netmask 255.255.0.0

Bisherige Netzwerkkonfiguration Host2

Spoiler: Host2 Aktuell

auto eth0
iface eth0 inet static
address 94.XXX.XXX.152
netmask 255.255.255.224
pointopoint 94.XXX.XXX.XXX
gateway 94.XXX.XXX.XXX

auto eth0:1
iface eth0:1 inet static
address 10.11.0.12
netmask 255.255.0.0

Bisherige Netzwerkeinstellung CT1

Spoiler: CT1 Aktuell

auto venet0
iface venet0 inet manual
up ifconfig venet0 up
up ifconfig venet0 127.0.0.2
up route add default dev venet0
down route del default dev venet0
down ifconfig venet0 down

iface venet0 inet6 manual
up route -A inet6 add default dev venet0
down route -A inet6 del default dev venet0

auto venet0:0
iface venet0:0 inet static
address 94.xxx.xxx.141
netmask 255.255.255.255

auto venet0:1
iface venet0:1 inet static
address 10.11.0.101
netmask 255.255.255.255

Bisherige Netzwerkeinstellung CT2

Spoiler: CT2 Aktuell

auto venet0
iface venet0 inet manual
up ifconfig venet0 up
up ifconfig venet0 127.0.0.2
up route add default dev venet0
down route del default dev venet0
down ifconfig venet0 down

iface venet0 inet6 manual
up route -A inet6 add default dev venet0
down route -A inet6 del default dev venet0

auto venet0:0
iface venet0:0 inet static
address 94.xxx.xxx.142
netmask 255.255.255.255

auto venet0:1
iface venet0:1 inet static
address 10.11.0.102
netmask 255.255.255.255

Nun möchte ich zwecks Proxmox 4.2 auf Bridged umstellen... Im Anhang findet ihr den groben und vereinfachten Aufbau in einer Skizze.

Meine bisherigen Gehversuche

Spoiler: Host1 Bridge Test

auto vmbr0
iface vmbr0 inet static
address 94.xxx.xxx.151
netmask 255.255.255.224
gateway 94.xxx.xxx.129
bridge_ports eth0
bridge_stp off
bridge_fd 0

auto vmbr0:1
iface vmbr0:1 inet static
address 10.11.0.10
netmask 255.255.0.0

Spoiler: Host2 Bridge Test

auto vmbr0
iface vmbr0 inet static
address 94.xxx.xxx.152
netmask 255.255.255.224
gateway 94.xxx.xxx.129
bridge_ports eth0
bridge_stp off
bridge_fd 0

auto vmbr0:1
iface vmbr0:1 inet static
address 10.11.0.11
netmask 255.255.0.0

Damit kann ich von Host zu Host sowohl mit dem 10er Netz als auch mit dem öffentlichen Netz untereinander sprechen. Jedoch gelingt mir dies einfach nicht mit den Containern... Hatte bisher alles über venet und das scheint ja nun unter proxmox 4.2 nicht mehr zu funktioniere.

Daher meine Frage: Wie bekomme ich es hin, dass die Container ebenfalls mit beiden Netzen untereinander und mit den Hosts kommunizieren können?

 

[dietmar]

Wie sind die Container konfiguriert?

 

[tomic]

Hallo Dietmar,

vielen Dank für die schnelle Reaktion..

Mittlerweile bin ich auf dem Stand, dass die Container mit der folgenden Config miteinander sprechen in beiden Netzen sprechen können.
Jedoch sehe ich im tcpdump auf dem Interface in der CT jeglichen Traffic.... kann man das unterbinden aus Sicherheitsgründen?

Spoiler: CT interfaces

auto eth0
iface eth0 inet static
address 94.XXX.XXX.141
netmask 255.255.255.224
# --- BEGIN PVE ---
post-up ip route add 94.XXX.XXX.129 dev eth0
post-up ip route add default via 94.XXX.XXX.129 dev eth0
pre-down ip route del default via 94.XXX.XXX.129 dev eth0
pre-down ip route del 94.XXX.XXX.129 dev eth0
# --- END PVE ---

auto eth0:1
iface eth0:1 inet static
address 10.11.0.101
netmask 255.255.0.0

 

[dietmar]

Jedoch sehe ich im tcpdump auf dem Interface in der CT jeglichen Traffic.... kann man das unterbinden aus Sicherheitsgründen?

z,.B mit vlans

 

[tomic]

Dann würde ich, wenn ich es richtig verstehe, immer noch den ganzen Traffic von den VLAN-Teilnehmern sehen, oder?
Mein Ziel ist es, dass jede CT mit jeder anderen CT über beide Netze sprechen kann, aber nicht an jeder CT sämtlicher Traffic auslesbar ist, der garnicht für diese CT gedacht ist.