+7 (495) 320-70-49
- Назад
- Телефоны
- +7 (495) 320-70-49
- Заказать звонок
info@proxmox.su
Москва, Бакунинская улица, 69с1
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Почему у узла нет политики ввода и вывода?, Proxmox Виртуальная Среда

Afox

Guest

07.05.2015 18:28:00

Привет, сообщество Proxmox! Хочу настроить файрвол на своём хосте Proxmox и интересуюсь вопросом, который упомянут выше. Почему у ноды нет опции для политики входящего и исходящего трафика? У меня всего одна нода в реестре датацентра. Что произойдёт, если я установлю политику входящего трафика на «drop» для датацентра? Это повлияет на виртуальные машины, работающие на ноде? Заранее спасибо за ответ! С уважением, Afox. PS: Я настрою правило ACCEPT для порта веб-интерфейса и SSH. Нужно ли ещё что-то оставлять открытым? Обычно я использую noVNC и пока не пользуюсь SPICE. Где лучше делать исключение — на уровне датацентра или ноды?

JBB

Guest

14.06.2015 12:47:00

Хорошо, я тоже пытаюсь в этом разобраться. У меня PVE 3.4, и я читаю https://pve.proxmox.com/wiki/Proxmox_VE_Firewall. Прежде чем что-то делать с файрволом, мне нужно ТЩАТЕЛЬНО понять, что именно значит следующее, потому что для такой важной штуки все не очень ясно:

У меня PVE 3.4, так что согласно вышеописанному, мне НЕ нужно добавлять правила для портов 22 и 8006 перед включением файрвола. Но это не кажется правильным, потому что в интерфейсе в Datacentre > Firewall > Options я вижу такие настройки: Input policy — DROP, Output policy — ACCEPT.

Правильно ли я понимаю, что если я поставлю галочку «Enable firewall» на уровне Datacentre, то по умолчанию меня сразу же заблокируют в Proxmox? Или эта запись в вики значит, что в PVE 3.4 порты 22 и 8006 при включении файрвола открыты по умолчанию и включение файрвола не превратит жизнь в ад?

Кстати, я правильно понимаю, что правила файрвола работают каскадом? То есть, если я на уровне Datacentre запрещу порт 80, то во всех моих ВМ тоже будет запрещён порт 80, если только я явно не разрешу его на уровне ноды?

Извиняюсь за неразбериху...

Afox

Guest

14.06.2015 13:02:00

привет, смотри http://forum.proxmox.com/threads/22084-proxmox-webinterface-what-ports-need-to-be-open Настройки брандмауэра датацентра не влияют на настройки брандмауэра VM и CT. Но перед включением настроек датацентра нужно убедиться, что открыт SSH и порт веб-интерфейса.

JBB

Guest

14.06.2015 13:21:00

Окей, спасибо. Возможно, я вежливо предложу кое-какие правки на странице вики, потому что, честно говоря, сейчас там полный беспредел и это может привести к серьёзным проблемам. Кстати, почему правила для портов администратора proxmox по умолчанию не настроены в настройках дата-центра? Кажется, это настоящая катастрофа для всех, кто включит файрвол.

dietmar Guest	#5 0 14.06.2015 14:25:00 Потому что межсетевой экран должен блокировать это по соображениям безопасности.

JBB

Guest

14.06.2015 16:37:00

В теории — да (хотя iptables по умолчанию стоит ACCEPT, как знают все, кто пытался запустить sudo iptables -L на настроенной системе). Моя мысль в том, что на практике для Proxmox какой вообще смысл в настройке по умолчанию, которая не позволяет получить доступ к самой системе, которая управляет фаерволлом?

П.С. Теперь вижу, что, возможно, начиная с PVE 3.4, в качестве разумного дефолта по умолчанию разрешён доступ к интерфейсу. Но опять же, всё не очень понятно: http://forum.proxmox.com/threads/21333-Problem-Getting-pve-firewall-to-work

«Создавать правило для этого не нужно. Это уже по умолчанию.»

dietmar Guest	#7 0 14.06.2015 18:36:00 Существует правило для разрешения доступа с локальной сети, но доступ с удалённого адреса заблокирован. Ещё один вариант — установить политику по умолчанию в положение «accept»?

JBB

Guest

14.06.2015 19:44:00

Понимаю, значит команда "pve-firewall localnet" покажет сети, для которых политика фаервола разрешит доступ. Если я установлю на уровне дата-центра политику in/out в "accept", то, насколько я понимаю, мне нужно будет добавить в конце правил для моей виртуальной машины дефолтную политику "drop", так?

dietmar Guest	#9 0 14.06.2015 21:33:00 Политика центра обработки данных/хоста не связана с политикой брандмауэра виртуальной машины.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры