http://proxmox.su Новое в теме Блокировка доступа к LAN для виртуальных машин не работает, если разрешить только пинг с помощью nftables. форума Proxmox Виртуальная Среда на сайте Аспро: ЛайтШоп [proxmox.su] ru http://backend.userland.com/rss2 Sun, 12 Jul 2026 05:12:51 +0300 Блокировка доступа к LAN для виртуальных машин не работает, если разрешить только пинг с помощью nftables. Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
С какого IP вы пытаетесь подключиться по SSH и к какому IP?
14.05.2024 11:45:00, shanreich.]]> http://proxmox.su/forum/messages/forum63/message343189/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. http://proxmox.su/forum/messages/forum63/message343189/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. Tue, 14 May 2024 11:45:00 +0300 Proxmox Виртуальная Среда Блокировка доступа к LAN для виртуальных машин не работает, если разрешить только пинг с помощью nftables. Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
Есть ещё одна проблема: я не могу подключиться к виртуальной машине по SSH после применения вышеуказанных правил!
13.05.2024 18:16:00, encryptedserver.]]> http://proxmox.su/forum/messages/forum63/message343188/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. http://proxmox.su/forum/messages/forum63/message343188/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. Mon, 13 May 2024 18:16:00 +0300 Proxmox Виртуальная Среда Блокировка доступа к LAN для виртуальных машин не работает, если разрешить только пинг с помощью nftables. Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
Мне удалось воспроизвести эту проблему у себя, и я уже отправил исправление, которое её решает [1]. Пока в качестве временного решения можно изменить правило на DROP — это должно работать. [1] https://lists.proxmox.com/pipermail/pve-devel/2024-May/063839.html
13.05.2024 13:36:00, shanreich.]]> http://proxmox.su/forum/messages/forum63/message343187/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. http://proxmox.su/forum/messages/forum63/message343187/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. Mon, 13 May 2024 13:36:00 +0300 Proxmox Виртуальная Среда Блокировка доступа к LAN для виртуальных машин не работает, если разрешить только пинг с помощью nftables. Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
Привет, извиняюсь за поздний ответ, я не был на работе последние две недели. Сегодня займусь этим!
13.05.2024 10:19:00, shanreich.]]> http://proxmox.su/forum/messages/forum63/message343186/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. http://proxmox.su/forum/messages/forum63/message343186/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. Mon, 13 May 2024 10:19:00 +0300 Proxmox Виртуальная Среда Блокировка доступа к LAN для виртуальных машин не работает, если разрешить только пинг с помощью nftables. Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
Рад слышать — спасибо за ваше терпение!
26.05.2024 14:43:00, shanreich.]]> http://proxmox.su/forum/messages/forum63/message343185/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. http://proxmox.su/forum/messages/forum63/message343185/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. Sun, 26 May 2024 14:43:00 +0300 Proxmox Виртуальная Среда Блокировка доступа к LAN для виртуальных машин не работает, если разрешить только пинг с помощью nftables. Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
Могу подтвердить, что правила и для IPv6, и для IPv4 работают, и теперь я могу подключиться к виртуальной машине. Отличная работа.
23.05.2024 20:13:00, encryptedserver.]]> http://proxmox.su/forum/messages/forum63/message343184/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. http://proxmox.su/forum/messages/forum63/message343184/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. Thu, 23 May 2024 20:13:00 +0300 Proxmox Виртуальная Среда Блокировка доступа к LAN для виртуальных машин не работает, если разрешить только пинг с помощью nftables. Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
Извините, сейчас это только в тестовом режиме — я ошибся при проверке.
23.05.2024 10:18:00, shanreich.]]> http://proxmox.su/forum/messages/forum63/message343183/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. http://proxmox.su/forum/messages/forum63/message343183/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. Thu, 23 May 2024 10:18:00 +0300 Proxmox Виртуальная Среда Блокировка доступа к LAN для виртуальных машин не работает, если разрешить только пинг с помощью nftables. Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
Я сделал apt update, но обновлений нет, прошло уже больше 10 часов.
23.05.2024 05:20:00, encryptedserver.]]> http://proxmox.su/forum/messages/forum63/message343182/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. http://proxmox.su/forum/messages/forum63/message343182/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. Thu, 23 May 2024 05:20:00 +0300 Proxmox Виртуальная Среда Блокировка доступа к LAN для виртуальных машин не работает, если разрешить только пинг с помощью nftables. Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
Мы выпустили новую версию файрвола (0.4.2), которая, как надеемся, решит ваши проблемы.
22.05.2024 10:09:00, shanreich.]]> http://proxmox.su/forum/messages/forum63/message343181/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. http://proxmox.su/forum/messages/forum63/message343181/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. Wed, 22 May 2024 10:09:00 +0300 Proxmox Виртуальная Среда Блокировка доступа к LAN для виртуальных машин не работает, если разрешить только пинг с помощью nftables. Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
Я проверю это, как только выйдет обновление. К тому же, я отправил отчет об ошибке по настройке DHCPv6 в Proxmox, потому что что-то каждый раз при загрузке создает новый DUID. https://forum.proxmox.com/threads/l...rating-new-ipv6-duid-for-every-reboot.129429/ Отчет об ошибке https://bugzilla.proxmox.com/show_bug.cgi?id=5466
15.05.2024 17:01:00, encryptedserver.]]> http://proxmox.su/forum/messages/forum63/message343180/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. http://proxmox.su/forum/messages/forum63/message343180/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. Wed, 15 May 2024 17:01:00 +0300 Proxmox Виртуальная Среда Блокировка доступа к LAN для виртуальных машин не работает, если разрешить только пинг с помощью nftables. Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
Это должно быть исправлено следующим патчем: https://lists.proxmox.com/pipermail/pve-devel/2024-May/063868.html
15.05.2024 16:47:00, shanreich.]]> http://proxmox.su/forum/messages/forum63/message343179/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. http://proxmox.su/forum/messages/forum63/message343179/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. Wed, 15 May 2024 16:47:00 +0300 Proxmox Виртуальная Среда Блокировка доступа к LAN для виртуальных машин не работает, если разрешить только пинг с помощью nftables. Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
fd88::/64, 10.88.88.0/24 — это моя домашняя подсеть, я разрешил шлюз fd88::1, 10.88.88.1 и заблокировал остальное. Раньше это работало с iptables. Если я подключаюсь к виртуальной машине (fd88::a97, 10.88.88.11), то соединение невозможно.
14.05.2024 17:45:00, encryptedserver.]]> http://proxmox.su/forum/messages/forum63/message343178/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. http://proxmox.su/forum/messages/forum63/message343178/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. Tue, 14 May 2024 17:45:00 +0300 Proxmox Виртуальная Среда Блокировка доступа к LAN для виртуальных машин не работает, если разрешить только пинг с помощью nftables. Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
Какой имеет IP из диапазона 10.88.88.0/24, но не 10.88.88.1? Скорее всего, это из-за отсутствия правила conntrack в цепочке отправки, и скоро на рассылке появится патч по этому поводу.
14.05.2024 17:40:00, shanreich.]]> http://proxmox.su/forum/messages/forum63/message343177/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. http://proxmox.su/forum/messages/forum63/message343177/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. Tue, 14 May 2024 17:40:00 +0300 Proxmox Виртуальная Среда Блокировка доступа к LAN для виртуальных машин не работает, если разрешить только пинг с помощью nftables. Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
С моего локального компьютера в LAN. Правила те же.

Код:  
chain group-deny-lan-access-in {  
}  

chain group-deny-lan-access-out {  
 ip6 daddr fd88::1 accept  
 ip daddr 10.88.88.1 accept  
 ip6 daddr fd88::/64 drop  
 ip daddr 10.88.88.0/24 drop  
}  

chain guest-100-in {  
 jump allow-dhcp-in  
 jump allow-ndp-in  
 ether type arp accept  
 jump group-deny-lan-access-in  
 jump after-vm-in  
 accept  
}  

chain guest-100-out {  
 jump allow-dhcp-out  
 jump allow-ndp-out  
 jump allow-ra-out  
 jump group-deny-lan-access-out  
 accept  
}  

Если я удаляю блокировку исходящего fd88::/64 и 10.88.88.0/24, то могу подключиться к виртуальной машине.
14.05.2024 17:37:00, encryptedserver.]]> http://proxmox.su/forum/messages/forum63/message343176/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. http://proxmox.su/forum/messages/forum63/message343176/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. Tue, 14 May 2024 17:37:00 +0300 Proxmox Виртуальная Среда Блокировка доступа к LAN для виртуальных машин не работает, если разрешить только пинг с помощью nftables. Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
Раньше я блокировал в файрволе приватный диапазон 10.0.0.0 и разрешал шлюзу, и это работало. Но теперь, после обновления и включения nftables, я могу пинговать виртуальные машины, но они не подключаются ни через какой другой порт (SSH, HTTPS). Как только я отключаю правило блокировки исходящих соединений на 10.0.0.0, я могу подключиться ко всем виртуальным машинам в Proxmox.
24.04.2024 18:38:00, encryptedserver.]]> http://proxmox.su/forum/messages/forum63/message343175/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. http://proxmox.su/forum/messages/forum63/message343175/79958-blokirovka-dostupa-k-lan-dlya-virtualnykh-mashin-ne-rabotaet_-esli-razreshit-tolko-ping-s-pomoshchyu-nftables. Wed, 24 Apr 2024 18:38:00 +0300 Proxmox Виртуальная Среда