+7 (495) 320-70-49
- Назад
- Телефоны
- +7 (495) 320-70-49
- Заказать звонок
info@proxmox.su
Москва, Бакунинская улица, 69с1
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

PfSense + Proxmox 5 на одной сетевой карте (NIC), Proxmox Виртуальная Среда

Gundam

Guest

18.02.2018 20:28:00

Привет, опишу свою ситуацию: у меня есть выделенный сервер с одним сетевым интерфейсом (88.23.12.120 (нереальный IP)). Я хочу настроить pfsense как файрвол для своих виртуальных машин. Для этого я купил второй публичный IP, чтобы добавить его на тот же интерфейс (88.23.12.122), но физическую сетевую карту мне не дают. Хочу использовать первый IP для управления proxmox, а второй — для моих виртуалок. Как можно настроить сеть, чтобы это работало?

backkherozzo1985

Guest

30.04.2018 21:42:00

У меня тоже есть выделенный сервер Hetzner, на котором я установил Proxmox. Сейчас мне нужно установить виртуальную машину с pfsense, где я настрою VPN-подключение и другие сетевые параметры. У меня есть 2 IP: первый настроен на физический интерфейс Proxmox, и через него я захожу в GUI Proxmox, но мне нужно настроить другой публичный IP для публичного интерфейса pfsense. Я пытался настроить Linux bridge с физическим интерфейсом Proxmox, но могу получить доступ только к Proxmox GUI, а публичный интерфейс pfsense недоступен. Есть идеи, как решить эту проблему?

bkraegelin

Guest

02.05.2018 09:38:00

Вы можете прочитать документацию Hetzner DokuWiki про дополнительные IP-адреса по ссылке https://wiki.hetzner.de/index.php/Zusaetzliche_IP-Adressen/en. Хотя существуют разные варианты настройки, лично мне нравится следующий подход:

- добавить вторичный IP-адрес как алиас к физическому интерфейсу Proxmox (vmbr0 или eth0 — как вам удобнее);
- создать мост, который не подключён ни к одному из физических портов хоста Proxmox;
- назначить хосту Proxmox IP-адрес (например, vmbr1, не связанный с eth0, IP хоста Proxmox 192.168.1.1/24, без шлюза);
- подключить WAN-интерфейс pfsense к этому мосту, назначив ему приватный IP (например, 192.168.1.251 на vmbr1, шлюз 192.168.1.1);
- настроить правила iptables на хосте Proxmox, их можно прописать в /etc/network/interfaces как post-up команды:

Включить IP forwarding
echo 1 >/proc/sys/net/ipv4/ip_forward

Включить NAT
iptables -t nat -A POSTROUTING -s '192.168.1.0/24' -o vmbr0 -j SNAT --to-source $YOUR_SECONDARY_IP

Разрешить исходящие сессии
iptables -A FORWARD -i vmbr0 -o vmbr1 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -i vmbr1 -o vmbr0 -j ACCEPT

Включить DNAT, пропускать пакеты
iptables -t nat -A PREROUTING '!' -s '192.168.1.0/24' -d $YOUR_SECONDARY_IP -j DNAT --to-destination 192.168.1.251
iptables -A FORWARD -i vmbr0 -d 192.168.1.251 -j ACCEPT

Я не проверял точный синтаксис, так что, возможно, придётся немного поэкспериментировать.

backkherozzo1985

Guest

02.05.2018 09:48:00

Привет, спасибо за ответ. Я пытаюсь настроить виртуальную машину pfsense с публичным интерфейсом, который имеет публичный IP. Вот схема сети: интернет — физический сетевой интерфейс Proxmox — публичный интерфейс pfsense. У меня есть 2 публичных IP: один для GUI Proxmox, другой для публичного интерфейса pfsense.

bkraegelin

Guest

02.05.2018 09:59:00

Эта традиционная схема может не сработать с сервером в Hetzner. У них настроено много механизмов безопасности. Если я правильно помню, они принимают только ваш физический MAC-адрес на внешнем интерфейсе, поэтому и описывают настройку маршрутизации для вторичного адреса. Если вы напрямую укажете IP-адрес для вашей pfsense VM, ваш (внутренний) MAC-адрес будет виден в физической сети и может быть заблокирован. Лучше уточните у специалистов в Hetzner, как сейчас обстоят дела. Моя собственная схема (как я описывал выше) работает.

backkherozzo1985 Guest	#6 0 02.05.2018 10:02:00 Отлично, я уточню у Hetznet. Хорошего дня!

backkherozzo1985 Guest	#7 0 02.05.2018 11:14:00 Это понятно, но я не понимаю, зачем Hetzner дает возможность иметь больше одного публичного IP, если его всё равно нельзя использовать.

bkraegelin Guest	#8 0 02.05.2018 11:55:00 Помните, как вы когда-то настраивали виртуальные хосты Apache HTTPD по IP-адресам? Вы делали это, используя несколько IP-адресов на одном физическом интерфейсе (псевдонимы IP-адресов). Это была технология до появления SNI (см. RFC 6066).

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры