Привет, не за что. Меня немного сбивало с толку внутреннее фаерволирование в Proxmox, и несколько раз я случайно себя вырубил. Дело было в том, что я настроил сброс соединений без явного разрешения трафика к адресу управления на tcp/22 или tcp/8006. Если случится так, что заблокируешь себя, загрузись через rescue-интерфейс Hetzner, смонтируй раздел с /etc и добавь в rc.local строку "pve-firewall stop", затем перезагрузи сервер "обычным" способом. Когда он загрузится обратно в Proxmox, фаервол фактически остановится, и ты сможешь переподключиться и изменить настройки. Обязательно удали эту строку, как только закончишь! Сейчас я экспериментирую с правилами shaping трафика на своих виртуальных IP. Ещё кое-что, что я заметил — иногда срабатывает, иногда нет: если используешь pfsense-файрволы с Proxmox на железе Hetzner, возможно, придётся отключить аппаратное checksum offloading для виртуальных сетевых интерфейсов. Признаки этого — интерфейсы поднимаются, но трафик не идёт, ICMP работает, а вот TCP — нет. Мне очень нравится сервис Hetzner, только вот хотелось бы, чтобы они разрешали ставить больше памяти в машину для всяких замороченных виртуализационных задач. С Новым годом, Monk!

Привет, asmar! Ты назначил отдельный MAC-адрес через Hetzner robot для IP KVM? Моя настройка (без подсети) выглядит так (требуется отдельный MAC для LXC и для KVM):

Код:  
auto lo  
iface lo inet loopback  

auto eth0  
iface eth0 inet manual  

auto vmbr0  
iface vmbr0 inet static  
 address 'MAIN IP'  
 broadcast 'BROADCAST'  
 netmask 'NETMASK'  
 gateway 'GATEWAY IP'  
 bridge_ports eth0  
 bridge_stp off  
 bridge_fd 0  
 # маршрут по умолчанию для доступа к подсети  
 up route add -net X.X.X.X netmask 'NETMASK' gw 'GATEWAY' vmbr0  

iface vmbr0 inet6 static  
 address x.x.x.x.x.x  
 netmask 64  
 gateway fe80::1  
 up sysctl -p  

Ты обязательно должен использовать отдельный MAC, который выдали в Hetzner robot, в конфигурации сетевого устройства Proxmox (LXC или KVM).

Шаблоны LXC не имеют отдельного MAC-адреса, и с ними всё отлично, никаких проблем с сетью нет. Думаю, если я запрошу отдельный MAC, мне придётся обновить сетевые настройки на виртуальной машине? Что касается KVM, я пробовал с MAC, но безуспешно. Пробовал и с реальными настройками IP, и с теми, что рекомендуют на wiki Hetzner — тоже не получилось. Позже попробую ещё раз и оставлю здесь свои сетевые данные, на случай, если что-то упускаю. Большое спасибо за ответы.

Дальнейшее обновление: я запросил новые MAC-адреса для всех виртуальных машин, обновил их сетевые MAC-адреса через интерфейс Proxmox, добавил bridge_ports eth0 вместо bridge_ports none, и после перезагрузки сервер вообще не загружается. Нужно ли мне создать новый мостовой интерфейс и там изменить bridge_ports на eth0?

Привет, Monkfish! Очень полезный пост, спасибо, но у меня сейчас небольшая проблема... У меня есть подсеть /28 у Hetzner, и я настроил интерфейсы примерно как у тебя, единственная разница — vmbr1 у меня последний IP из диапазона подсети, а vmbr100 — внутренний LAN-интерфейс:

Код:
auto lo  
iface lo inet loopback  

iface eth0 inet manual  

auto vmbr0  
iface vmbr0 inet static  
       address  1.2.3.4  
       netmask  255.255.255.224  
       gateway  1.2.3.10  
       bridge_ports eth0  
       bridge_stp off  
       bridge_fd 0  

auto vmbr1  
iface vmbr1 inet static  
       address 1.2.10.22  
       netmask 255.255.255.240  
       bridge_ports none  
       bridge_stp off  
       bridge_fd 0  

auto vmbr100  
iface vmbr100 inet static  
       bridge_ports none  
       bridge_stp off  
       bridge_fd 0  

У меня уже запущено несколько виртуалок, и с ними всё нормально, но я пытаюсь пропустить весь трафик через pfSense, и тут возникла небольшая проблема. Я настроил WAN-интерфейс pfSense так:

IPv4 Address:        1.2.10.9  
Subnet mask IPv4:    255.255.255.240  
Gateway IPv4:        1.2.10.22  

Пинг с интернета до pfSense проходит без проблем, но маршрутизация трафика через него (например, TCP) не работает и просто тайм-аутится. На хосте Proxmox включён ipv4 forwarding:

# sysctl net.ipv4.ip_forward  
net.ipv4.ip_forward = 1  

Ты упоминал про странности с маршрутизацией у Hetzner и необходимость использовать один из IP подсети в качестве маршрута в/из интернета. Я читал несколько других постов и блогов, и на одном сайте () говорится, что нужно попросить Hetzner перенаправить трафик с изначального единственного IP (в моём примере 1.2.3.4) на один из IP подсети.  

Стоит ли просить перенаправить трафик именно на адрес .22, который я указал на Proxmox? Это единственный момент, в котором я не уверен.  

Спасибо!