Quelltext der Seite Proxmox PVE Virtual Environment Firewall Zugriff auf Management einschränken

<u>'''Changelog:'''</u><br>
* 27.04.2025 erste Version
----
==Vorwort==
In einem anderen Beitrag habe ich die Einrichtung von Proxmox PVE auf einem Bare-Metal-Server von OVH bzw. SoYouStart beschrieben.<br>
Ok, nicht die Installation (die passiert automatisch) sondern wie man darauf eine virtuelle Firewall mit pfSense installiert und dieser einer der Failover-IP-Adressen verpasst.<br>
<br>
Es gibt auch immer eine Haupt-IP-Adresse, die braucht der Proxmox PVE Host aber selbst.<br>
Nun steht dieser aber auch mit einer öffentlichen IP-Adresse, weltweit erreichbar, direkt im Internet.<br>
Das ist natürlich nicht schön - aber Proxmox hat ja auch eine Firewall, also habe ich diese genutzt. Das war natürlich - wieder einmal - kein Selbstläufer, also habe ich diese Anleitung hier erstellt.<br>
In der Anleitung erlaube ich den Zugriff auf das Proxmox-Management und SSH nur von meinen festen öffentlichen IP-Adressen aus.<br>
Das ganze funktioniert natürlich auch intern - zum Test habe einen Test-Proxmox in meinem lokalen LAN abgesichert.<br>
Bitte lest immer erst alles durch und beachtet die Hinweise - nicht das Ihr euch ggf. selbst aussperrt. Neue Firewallregeln landen z.B. immer erst an oberster Position. Also immer erst Regel erstellen, an die richtige Stelle schieben und dann aktivieren.<br>
----
==Ausgangslage==
mein Proxmox PVE Server hat folgende Netzwerkeinstellungen:<br>
:[[Datei:ClipCapIt-250427-165442.PNG]]<br>
Also die IP
 37.187.93.131
Ich habe zu Hause zwei Internetanschlüsse mit festen IP-Adressen:
* Glasfaser Telekom: {{code|80.153.150.156}}
* Kabelanschluss Vodafone: {{code|90.187.238.201}}
Ich möchte nun das man auf das auf den Proxmox nur noch von diesen beiden IP-Adressen zugreifen kann.<br>
----
==Wichtiger Hinweis==
Alle Änderungen an den Firewall-Regeln gelten - sofern diese erst einmal eingeschaltet ist - unmittelbar.<br>
Ihr ändert etwas? Ein paar Sekunden später gilt die Regel.<br>
Weshalb ich euch unbedingt an Herz legen möchte, gerade Regeln mit '''DROP''' immer deaktiviert zu erstellen.<br>
Neu erstellte Regeln landen immer auf Platz 1. Und gerade '''DROP''' Regeln gehören oftmals an das Ende.<br>
Bei der Anwendung wird der erste Treffer genommen.<br>
Und wir kommen nicht ohne '''DROP''' Regeln aus. Denn es gibt einige Anti-Lockout-Regeln die verhindern sollen das Ihr euch aussperrt. Um diese zu überschreiben, braucht es explizite '''DROP''' Regeln.<br>
----

==Unterschiede Alias und IPSet==
Der Unterschied zwischen Alias und IPSet liegt in der Verwaltung.<br>
Ein '''Alias''' hat einen Namen und eine dazu gehörige IP-Adresse oder Netzwerk:<br>
:[[Datei:ClipCapIt-250427-171313.PNG]]<br>
{{code|DCNEW}} ist hier ein Host mit einer einzelnen IP-Adresse,<br>
{{code|SoYouStart}} ein ganzes Netzwerk mit 24er Maske
<br>
Ein '''IPSet''' ist eine Gruppe von Adressen. Zu diesen können dann mehre IP-Adressen, Subnetze aber auch Aliase gehören (also verschachteln):<br>
:[[Datei:ClipCapIt-250427-171652.PNG]]<br>
Im IPSet '''admin-systems''' sind die IP {{code|192.168.1.32}} und der Alias {{code|DCNEW}} Mitglied.<br>
In der Praxis kann also die Nutzung von beidem sinnvoll sein:<br>
* Aliase anlegen um eine eindeutige Benennung zu haben
* IPSets um Funktiongruppen abzubilden
<br>
Ich lege hier erst die Aliase an und packe beide in ein IPSet.<br>
----
==Datacenter: Aliase anlegen==
Unter<br>
 Datacenter => Firewall => Alias
lege ich zwei neue Einträge an:<br>
:[[Datei:ClipCapIt-250427-172222.PNG]]<br>
Im Namen bitte keine Leerzeichen oder ungewöhnlichen Sonderzeichen! Wenn der Name nicht passt gibt es eine "RegEx Warnung".<br>
Hinterher sieht meine '''Alias''' Tabelle so aus:<br>
:[[Datei:ClipCapIt-250427-172507.PNG]]<br>
<br>
----
==Datacenter: IPSet anlegen==
Unter<br>
 Datacenter => Firewall => IPSet
lege ich ein neues IPSet an:<br>
:[[Datei:ClipCapIt-250427-172649.PNG]]<br>
Auch hier keine Leerzeichen / Sonderzeichen!<br>
Dann markiere ich links mein IPSet und kann dann rechts die Aliase hinzufügen:<br>
:[[Datei:ClipCapIt-250427-172825.PNG]]<br>
{{kreis|1}} das IPSet markieren und bei {{kreis|2}} auf {{key|Add}} drücken<br>
Es erscheint dann schon die Auswahl der möglichen Aliase:<br>
:[[Datei:ClipCapIt-250427-172947.PNG]]<br>
Ich füge beide nacheinander und einzeln hinzu so das es hinterher so aussieht:<br>
:[[Datei:ClipCapIt-250427-173055.PNG]]<br>
<br>
----
==Datacenter: Security Group anlegen==
Unter<br>
 Datacenter => Firewall => Security Group
bauen wir nun eine Gruppe mit Zugriffsregeln:<br>
:[[Datei:ClipCapIt-250427-173354.PNG]]<br>
Diese wieder markieren damit wir rechts Regeln / Rules hinzufügen können:<br>
:[[Datei:ClipCapIt-250427-173458.PNG]]<br>
{{kreis|1}} die Gruppe markieren um bei {{kreis|2}} per {{key|Add}} eine neue Regel hinzufügen:<br>
:[[Datei:ClipCapIt-250427-173634.PNG]]<br>
Ihr seht, wir könnten auch direkt Aliase auswählen, ich wähle aber nun das IPSet:<br>
:[[Datei:ClipCapIt-250427-173722.PNG]]<br>
Damit erlauben wir den Admin-Systemen den vollen Zugriff auf alles.<br>
Nach dem Speichern müsst die die Regel noch aktivieren indem der Haken bei '''On''' gesetzt wird:<br>
:[[Datei:ClipCapIt-250427-173929.PNG]]<br>
<br>
----
==Datacenter: Firewall Regel für den Zugriff hinzufügen==
Unter<br>
 Datacenter => Firewall
:[[Datei:ClipCapIt-250427-174157.PNG]]<br>
also links {{kreis|1}} '''Firewall''' markieren und dann rechts {{kreis|2}} auf {{key|Insert Security Group}}<br>
:[[Datei:ClipCapIt-250427-174323.PNG]]<br>
Den Haken bei '''Enable''' nicht vergessen!<br>
<br>
----
==Proxmox Host: Firewall Regel für den Zugriff hinzufügen==
In anderen Anleitungen wird nun noch mal expliziert eine Regel für den Zugriff für die einzelnen Hosts angelegt.<br>
Und zwar auf deren Network-Device. Aus meiner Sicht wird die nicht gebraucht, die Regel(n) auf dem Datacenter sind nicht an bestimmte Schnittstellen gebunden sondern gelten allgemein.<br>
Eventuell ergänze ich hier später noch etwas.<br>
<br>
----
==Datacenter: Firewall aktivieren==
Wir haben bisher nur "erlauben" Regeln und noch keine die etwas verbietet.<br>
Die Anti-Lookout-Regeln greifen also noch alle, also können wir im Moment noch gefahrlos die Firewall einschalten.<br>
Wir schauen unter<br>
 Host/Node => Firewall => Options
und stellen fest das die Firewall doch schon eingeschaltet ist?<br>
:[[Datei:ClipCapIt-250427-183215.PNG]]<br>
Ja, aber für das Datacenter ist diese noch ausgeschaltet, also unter<br>
 Datacenter => Firewall => Options
geschaut, den Eintrag '''Firewall''' markieren und auf Edit gehen:<br>
:[[Datei:ClipCapIt-250427-183404.PNG]]<br>
und diese aktivieren.<br>
Und es passiert ... nichts! Genau so soll es sein.<br>
<br>
----
==Datacenter: Erste DROP Regel setzen==
Proxmox PVE nutzt - eingehend - für das Management folgende Ports:<br>
 8006 TCP             Webinterface
 5900-5999 TCP        VNC Web Konsole
 3128 TCP             SPICE Proxy
 22 TCP               SSH
 25 TCP               SMTP (bei OVH aktiv, im Normalfall nicht)
 111 UDP              RPC Remote Procedure Call
 5405-5412 UDP        CoroSync Cluster Traffic
 60000-60050 TCP      Live Migration von VMs
Siehe auch: https://pve.proxmox.com/pve-docs/pve-admin-guide.html#_ports_used_by_proxmox_ve
Über Port 8006 sind wir gerade mit dem Webinterface verbunden.<br>
Hier habe ich einen Unterschied zwischen "Intern" und "Extern über öffentliche IP" festgestellt.<br>
Intern sieht ein Scan mit {{code|nmap}} wie folgt aus (von einem Host der nicht berechtigt sein sollte:<br>
 nmap 192.168.0.211 -p 8006,3128,22
Ausgabe:<br>
 Starting Nmap 7.94SVN ( https://nmap.org ) at 2025-04-27 20:19 CEST
 Nmap scan report for 192.168.0.211
 Host is up (0.00048s latency).
 PORT     STATE    SERVICE
 22/tcp   open     ssh
 3128/tcp open     squid-http
 8006/tcp open     wpl-analytics
 MAC Address: 00:25:90:A6:92:68 (Super Micro Computer)
 
 Nmap done: 1 IP address (1 host up) scanned in 1.32 seconds
Bei über extern kommt jetzt schon nichts mehr.<br>
Die Ports sind normalerweise in der Anti-Lockout-Policy, also fügen wir diese hinzu.<br>
Für den ersten Test sperren wir Port 3128:<br>
Unter<br>
 Datacenter => Firewall
Fügen wir eine weitere Regel hinzu:<br>
:[[Datei:ClipCapIt-250427-201305.PNG]]<br>
Wichtig! Nicht den Haken bei Enable setzen!<br>
Die Regel hat er jetzt oben eingefügt:<br>
:[[Datei:ClipCapIt-250427-201412.PNG]]<br>
Per Drag&Drop auf die 3 Querstriche vorne schieben wie die Regel unter die {{code|group}} Regel:<br>
:[[Datei:ClipCapIt-250427-201522.PNG]]<br>
Und erst jetzt setzen wir den Haken in der Spalte '''On''':<br>
:[[Datei:ClipCapIt-250427-201625.PNG]]<br>
Nun der Test mit {{code|nmap}}:<br>
 PORT     STATE    SERVICE
 22/tcp   open     ssh
 25/tcp   filtered smtp
 3128/tcp filtered squid-http
 8006/tcp open     wpl-analytics
3128 ist nun gefiltert!<br>
Wir bauen die anderen Regeln (immer erst ohne Enable, dann an die richtige Stelle schieben, dann aktivieren):<br>
:[[Datei:ClipCapIt-250427-202630.PNG]]<br>
Jetzt noch mal ein vollständiger Scan:<br>
 nmap 192.168.0.211 -p 8006,3128,22,25,5900-5999,5405-5412,60000-60050
Ergebnis:<br>
 Starting Nmap 7.94SVN ( https://nmap.org ) at 2025-04-27 20:27 CEST
 Nmap scan report for 192.168.0.211
 Host is up (0.00050s latency).
 All 163 scanned ports on 192.168.0.211 are in ignored states.
 Not shown: 163 filtered tcp ports (no-response)
 MAC Address: 00:25:90:A6:92:68 (Super Micro Computer)
 
 Nmap done: 1 IP address (1 host up) scanned in 4.53 seconds
Ping geht noch, aber der Rest ist zu!<br>
<br>
----

==IM NOTFALL==
Ok, wenn Ihr diesen Abschnitt braucht, habe Ihr euch wahrscheinlich ausgesperrt!?<br>
Wenn Ihr physischen Zugriff auf den Server habt, also z.B. eine der folgenden Optionen:<br>
* SSH funktioniert noch
* Tastatur und Monitor an der Hardware
* Zugriff über BMC / iLO / iDRAC oder andere Board Management Console
* KVM Zugriff bei Mietservern
Meldet euch als {{code|root}} an und tippt folgenden Befehl ein:<br>
 pve-firewall stop
was Ihr mit
 pve-firewall status
prüfen könnt.<br>
Danach solltet Ihr wieder drauf kommen. Die Regeln sind dann alle noch da und können angepasst werden.<br>
Oder die Firewall deaktiviert werden (Auf Datacenter oder Hosts Ebene).<br>
Vergesset nicht diese danach wieder zu starten.<br>
----

==Links==
* https://pve.proxmox.com/wiki/Firewall#pve_firewall_default_rules
* https://www.reddit.com/r/Proxmox/comments/1dgj5ls/comment/l8qgt2g/?utm_source=share&utm_medium=web3x&utm_name=web3xcss&utm_term=1&utm_content=share_button
----

==Kommentare==
<comments />