Zweites tun Interface im Proxmox Host

[jawr]

Hallo,

ich habe mir nach dieser Anleitung

https://pve.proxmox.com/wiki/OpenVPN_in_LXC

einen OpenVPN Server eingerichtet, dabei wird das tun interface des Host genutzt. Jetzt würde ich gerne einen zweiten Container einrichten, der sich selbst zu einem VPN Anbieter verbindet und für andere Clients in meinem Netz als Gateway dient, so dass bestimmte Clients immer über eine VPN Verbindung gehen.

Wie kann ich ein weiteres tun interface im Proxmox-Host anlegen und wie muss die Container Konfiguration aussehen, damit der neue Container nicht das gleiche tun interface nimmt wie der o.g. OpenVPN Server?

Danke und Gruß,

jawr

 

[Alwin]

einen OpenVPN Server eingerichtet, dabei wird das tun interface des Host genutzt. Jetzt würde ich gerne einen zweiten Container einrichten, der sich selbst zu einem VPN Anbieter verbindet und für andere Clients in meinem Netz als Gateway dient, so dass bestimmte Clients immer über eine VPN Verbindung gehen.

Diese ganze Thematik lässt sich viel leichter am Host abbilden. Dort wird bereits routing betrieben und die Firewall verwendet. Zusätzlich baust du damit einen weiteren Layer an Komplexität, der im Fehlerfall bedacht werden muss.

Wie kann ich ein weiteres tun interface im Proxmox-Host anlegen und wie muss die Container Konfiguration aussehen, damit der neue Container nicht das gleiche tun interface nimmt wie der o.g. OpenVPN Server?

The issue might be the permission of the tun device. Stéphane Graber uses an empty network stack, but that is a rather hacked solution. As said above, better do this on the host directly or run a VM (better encapsulation).
https://stgraber.org/2014/09/26/vpn-in-containers/

 

[jawr]

Diese ganze Thematik lässt sich viel leichter am Host abbilden. Dort wird bereits routing betrieben und die Firewall verwendet. Zusätzlich baust du damit einen weiteren Layer an Komplexität, der im Fehlerfall bedacht werden muss.

Was meinst du mit diese Thematik? Nur den beschriebenen Gateway oder auch den Server? Wenn ja, verstehe ich nicht warum es eine Anleitung dazu gibt, wie man den Server im Container einrichtet.

Ich würde ehrlich gesagt ungern am Host "rumfummeln", weil ich selber noch nicht genau weiß wie das mit dem Gateway umzusetzen ist, da "spiele" ich lieber in einem Container rum.

Gibt es keine Möglichkeit einfach ein zweites tun interface auf dem Host zu erzeugen und dieses dann im Container für den Gateway zu nutzen? Und das Problem mit den Berechtigungen ist doch in der o.g. Anleitung auch aufgezeugt, also wie man die richtigen Permissions setzt für das tun Interface.

Gruß,

jawr

 

[Alwin]

Was meinst du mit diese Thematik? Nur den beschriebenen Gateway oder auch den Server? Wenn ja, verstehe ich nicht warum es eine Anleitung dazu gibt, wie man den Server im Container einrichtet.

Warum sich das User wünschen ist mir auch ein Rätsel. Aber es ist machbar und @oguz hat eine Anleitung dafür geschrieben.

Ich würde ehrlich gesagt ungern am Host "rumfummeln", weil ich selber noch nicht genau weiß wie das mit dem Gateway umzusetzen ist, da "spiele" ich lieber in einem Container rum.

In meinen Augen macht das nicht viel unterschied, CT vs Host. In beiden Fällen muss der Host Kernel arbeiten. Und ob das Interface direkt oder im CT ist, macht für das Routing nicht viel her. Man spart sich die ganze Komplexität, die ohnehin schon hoch ist.

Gibt es keine Möglichkeit einfach ein zweites tun interface auf dem Host zu erzeugen und dieses dann im Container für den Gateway zu nutzen? Und das Problem mit den Berechtigungen ist doch in der o.g. Anleitung auch aufgezeugt, also wie man die richtigen Permissions setzt für das tun Interface.

Wie gesagt /dev/net/tun wird gebraucht und da könnte es zu Problemen kommen. Aber einfach mal ausprobieren.

 

[jawr]

Ok, verstehe was du meinst. Aber selbst wenn ich es auf dem Host machen würde, also den Server und den Gateway würde ich doch 2 tun interfaces benötigen, oder verstehe ich hier was falsch.

Der Server braucht doch ein tun interface und das Gateway auch, oder greifen die beide auf dasselbe interface /dev/net/tun zu?

Gruß,

jawr

 

[Alwin]

Ok, verstehe was du meinst. Aber selbst wenn ich es auf dem Host machen würde, also den Server und den Gateway würde ich doch 2 tun interfaces benötigen, oder verstehe ich hier was falsch.

Der Server braucht doch ein tun interface und das Gateway auch, oder greifen die beide auf dasselbe interface /dev/net/tun zu?

Es werden mehrere TUN devices (zB. tun0, tun1, ...) erstellt. Openvpn macht das automatisch. Du kannst das ganze Setup einfach in einer VM ausprobieren, Proxmox VE läuft auch Nested.