Proxmox / Sophos Firewall anfängerfrage

[Moonlight220]

Servus,

Ich habe hier einen Proxmox Server stehen der 2 Netzwerkkarten hat (Mit OnBoard LAN, 3)

Als VM hoste ich unteranderem Sophos XG Home als Firewall für mein Netzwerk, sprich im LAN der Sophos sind all meine Geräte
Jetzt möchte ich mein NAS als Backupserver für Proxmox nutzen um die VMs zu sichern, dazu wollte ich ein NFS Share nutzen aber da das NAS hinter der Firewall ist kann Proxmox es nicht pingen bzw. finden.

Proxmox: 192.168.178.101 (bekommt das Netz von der Fritzbox)
Sophos: 192.168.179.1 (Hat eigenen DHCP usw.)
Sprich sind 2 verschiedene netze.

Die frage ist bestimmt richtig einfach zu beantworten jedoch weiß ich einfach nicht wie.

Wie finde ich raus was, oder welcher Port ich in der Firewall freigeben muss damit Proxmox zum NAS kommunizieren kann und das Share findet?

MfG.

 

[Dunuin]

Naja, du könntest dem PVE Host z.B. eine zustzliche IP (ohne gateway) im 192.168.179.0/24 Subnetz verpassen. Dann wäre dein PVE Host auch im LAN und würde an das NAS kommen.

Oder alternativ entfernst du deine IP/Gateway von der WAN Seite (Fritzbox) und nutzt nur eine IP im 192.168.179.0/24 Subnetz und trägst dann eine Sophos als Gateway ein. Dann wäre dein SSH und WebUI auch nicht mehr auf der "unsicheren" WAN Seite. Nachteil wäre aber natürlich, das wenn da mal dein PVE Host mit neuen Treibern oder Updates ein Problem hat und die Sophos VM nicht mehr starten können sollte, dein PVe Host dann auch selbst nicht mehr online kommt und eventuelle Patches zu ziehen, die die Sophos VM wieder startbar machen könnten.

 

[Moonlight220]

Naja, du könntest dem PVE Host z.B. eine zustzliche IP (ohne gateway) im 192.168.179.0/24 Subnetz verpassen. Dann wäre dein PVE Host auch im LAN und würde an das NAS kommen.

Danke für die Antwort, das klingt eigentlich logisch, aber wie setzte ich das um?

 

[Dunuin]

Wie sieht denn deine Netzwerk-Konfig vom PVE Host genau aus? Output von cat /etc/network/interfaces wäre hilfreich.

Sofern du die beiden NICs nicht per PCI Passthrough durchgereicht hast müsstest du ja 3 Bridges haben. Vmbr0 vermutlich deine WAN bridge mit der IP und dem Gateway und dann zwei weitere Bridges die die physichen NICs mit den virtuellen NICs der Sophos VM verbinden. Da müsstest du dann nur der Bridge, die an der LAN-Seite der Sophos VM hängt, über das WebUI eine IP verpassen.

 

[Moonlight220]

Wie sieht denn deine Netzwerk-Konfig vom PVE Host genau aus? Output von cat /etc/network/interfaces wäre hilfreich.

Sofern du die beiden NICs nicht per PCI Passthrough durchgereicht hast müsstest du ja 3 Bridges haben. Vmbr0 vermutlich deine WAN bridge mit der IP und dem Gateway und dann zwei weitere Bridges die die physichen NICs mit den virtuellen NICs der Sophos VM verbinden. Da müsstest du dann nur der Bridge, die an der LAN-Seite der Sophos VM hängt, über das WebUI eine IP verpassen.

Habe ich gerade mal gemacht, aber unter dem Command zeigt es mir noch eine IP aus dem Subnet der Fritzbox komischerweise an, muss ich da den Server mal Neustarten?

 

[Dunuin]

Ja, da würde ich mal den Server neustarten. Oder wenigstens mit systemctl restart networking einmal den Netzwerk-Service neustarten.
Ein Host sollte übrigens nicht zwei IPs im selben Subnetz haben, weil es sonst mit dem Routing Probleme geben kann. Das hast du aber bei vmbr0 und vmbr1 gemacht.

 

[Moonlight220]

Ja, da würde ich mal den Server neustarten. Oder wenigstens mit systemctl restart networking einmal den Netzwerk-Service neustarten.
Ein Host sollte übrigens nicht zwei IPs im selben Subnetz haben, weil es sonst mit dem Routing Probleme geben kann. Das hast du aber bei vmbr0 und vmbr1 gemacht.

Sorry total verplant zu antworten, danke hat funktioniert.

MfG.