Дорогие, документация по файерволу — полное разочарование! Я провёл кучу тестов и так и не смог понять, почему всё работает неправильно! Во-первых, хост — это выделенный сервер в OVH. Он работает через IP по MAC на eth0, который подключён к vmbr0! У нас нет никаких кластеров! В конфигурации Proxmox-Datacenter только этот один хост!
a) Я включил файервол в Datacenter и на самом хосте! И сразу после этого перестала работать связь между Proxmox GUI и настройками файервола! По умолчанию при обновлениях в Datacenter стоит Input-Policy DROP. Если я меняю режим файервола на 0 напрямую в cluster.fs, то интерфейс GUI снова умеет работать с настройками! Множество других тестов тоже провалились!
b) Я добавил правило, разрешающее пинг с операционного центра на хост. В такой настройке пинг не проходит, вне зависимости от того, использую я eth0 или vmbr0, с протоколом icmp и правилом ACCEPT.
c) Хорошо, теперь я поставил в Datacenter стандартную настройку — Input-Policy ACCEPT — и создал правило, блокирующее пинг с другого компьютера снаружи на IP этого хоста. Правило включено, но пинг всё равно проходит. Пофиг, какой интерфейс — net0, eth0 или vmbr0 — пинги идут без проблем! Правила можно ставить и в Datacenter, и на хосте — результат всегда одинаковый! Да, файервол включен, iptables -L показывает настройки правил, а статус pve-firewall говорит, что всё работает без ошибок!
d) Я протестировал то же правило DROP пинга с IP из контейнера на хост, с интерфейсом eth0 или vmbr0 в настройках правила. Пинг всё равно проходит, правила не сбрасывают запросы.
В документации написано, что интерфейс net0 — это логический интерфейс, который используется только при кластерах? Может, файервол работает неправильно, когда трафик идёт через MAC?
С уважением, Detlef
a) Я включил файервол в Datacenter и на самом хосте! И сразу после этого перестала работать связь между Proxmox GUI и настройками файервола! По умолчанию при обновлениях в Datacenter стоит Input-Policy DROP. Если я меняю режим файервола на 0 напрямую в cluster.fs, то интерфейс GUI снова умеет работать с настройками! Множество других тестов тоже провалились!
b) Я добавил правило, разрешающее пинг с операционного центра на хост. В такой настройке пинг не проходит, вне зависимости от того, использую я eth0 или vmbr0, с протоколом icmp и правилом ACCEPT.
c) Хорошо, теперь я поставил в Datacenter стандартную настройку — Input-Policy ACCEPT — и создал правило, блокирующее пинг с другого компьютера снаружи на IP этого хоста. Правило включено, но пинг всё равно проходит. Пофиг, какой интерфейс — net0, eth0 или vmbr0 — пинги идут без проблем! Правила можно ставить и в Datacenter, и на хосте — результат всегда одинаковый! Да, файервол включен, iptables -L показывает настройки правил, а статус pve-firewall говорит, что всё работает без ошибок!
d) Я протестировал то же правило DROP пинга с IP из контейнера на хост, с интерфейсом eth0 или vmbr0 в настройках правила. Пинг всё равно проходит, правила не сбрасывают запросы.
В документации написано, что интерфейс net0 — это логический интерфейс, который используется только при кластерах? Может, файервол работает неправильно, когда трафик идёт через MAC?
С уважением, Detlef
