当前位置：文档之家 › ProxmoxVE防火墙介绍

ProxmoxVE防火墙介绍

  • 格式：pdf
  • 大小：270.72 KB
  • 文档页数：5

ProxmoxVE防⽕墙介绍

Proxmox VE 防⽕墙提供了⼀种简单的⽅法来保护您的 IT 基础设施。您可以为集群内的所有主机设置防⽕墙规则，或为虚拟机和容器定义规则。防⽕墙宏、安全组、IP 集和别名等功能有助于简化该任务。

虽然所有配置都存储在集群⽂件系统上，但基于iptables的防⽕墙服务运⾏在每个集群节点上，从⽽在虚拟机之间提供完全隔离。该系统的分布式特性还提供⽐中央防⽕墙解决⽅案⾼得多的带宽。

防⽕墙完全⽀持 IPv4 和 IPv6。IPv6 ⽀持是完全透明的，默认情况下我们会过滤两种协议的流量。因此⽆需为 IPv6 维护⼀组不同的规则。

区域

Proxmox VE 防⽕墙将⽹络分组为以下逻辑区域：

主机进出集群节点的流量。

虚拟机

来⾃或到达特定虚拟机的流量。

对于每个区域，您可以为传⼊和传出流量定义防⽕墙规则。

配置⽂件

集群范围设置

集群范围的防⽕墙配置存储在：/etc/pve/firewall/cluster.fwGUI设置界⾯如下：

默认情况下防⽕墙是完全禁⽤的。如果启⽤防⽕墙，默认情况下会阻⽌所有主机的流量。只有来⾃本地⽹络的 WebGUI(8006) 和 ssh(22) 例外。

如果要从远程管理 Proxmox VE 主机，则需要创建规则以允许从这些远程 IP 到 Web GUI（端⼝ 8006）的流量。您可能还想允许 ssh（端⼝ 22），也可能是 SPICE（端⼝3128）。

在启⽤防⽕墙之前，请打开与您的 Proxmox VE 主机之⼀的 SSH 连接。这样，如果出现问题，您仍然可以访问主机。

为了简化该任务，您可以改为创建⼀个名为“management”的 IPSet，并在其中添加所有远程 IP。这将创建从远程访问 GUI 所需的所有防⽕墙规则。设置⽰例如下：

配置⽂件相关内容如下：[OPTIONS]enable: 1[ALIASES]management 10.0.0.0/24[IPSET management]management[RULES]GROUP managementIN ACCEPT -source +management -p tcp -dport 80 -log nologIN DROP -log nolog[group management]IN ACCEPT -source +management -p tcp -dport 3128 -log nologIN ACCEPT -source +management -p tcp -dport 22 -log nologIN ACCEPT -source +management -p tcp -dport 8006 -log nolog[group webserver]IN ACCEPT -p tcp -dport 443 -log nologIN ACCEPT -p tcp -dport 80 -log nolog

主机范围设置主机范围的防⽕墙配置存储在：/etc/pve/nodes//host.fwGUI设置界⾯如下：

虚拟机范围设置

虚拟机范围的防⽕墙配置存储在：/etc/pve/firewall/.fwGUI设置界⾯如下：

每个虚拟⽹络设备都有⾃⼰的防⽕墙启⽤标志。因此，您可以有选择地为每个接⼝启⽤防⽕墙。除了常规防⽕墙启⽤选项之外，这也是必需的。

虚拟机防⽕墙默认是禁⽤的。启⽤后，默认的输⼊策略是 DROP，默认的输出策略是 ACCEPT，不记录任何⽇志。

下⾯是⼀个GUI设置⽰例：

配置⽂件相关内容如下：[OPTIONS]log_level_in: nologenable: 1log_level_out: nolog[RULES]IN ACCEPT -p tcp -dport 22 -log nologIN ACCEPT -p tcp -dport 80 -log nolog防⽕墙规则

防⽕墙规则由⽅向（IN或OUT）和操作（ACCEPT、DENY、REJECT）组成。您还可以指定宏名称。宏包含预定义的规则和选项集。规则可以通过添加前缀“|”来禁⽤。

⽰例

[RULES]IN SSH(ACCEPT) -i net0IN SSH(ACCEPT) -i net0 # a commentIN SSH(ACCEPT) -i net0 -source 192.168.2.192 # only allow SSH from 192.168.2.192IN SSH(ACCEPT) -i net0 -source 10.0.0.1-10.0.0.10 # accept SSH for IP rangeIN SSH(ACCEPT) -i net0 -source 10.0.0.1,10.0.0.2,10.0.0.3 #accept ssh for IP listIN SSH(ACCEPT) -i net0 -source +mynetgroup # accept ssh for ipset mynetgroupIN SSH(ACCEPT) -i net0 -source myserveralias #accept ssh for alias myserveralias|IN SSH(ACCEPT) -i net0 # disabled ruleIN DROP # drop all incoming packagesOUT ACCEPT # accept all outgoing packages

安全组

安全组是在集群级别定义的规则集合，可以在所有 VM 的规则中使⽤。例如，您可以定义⼀个名为“webserver”的组，其中包含打开http和https端⼝的规则。

[group webserver]IN ACCEPT -p tcp -dport 443 -log nologIN ACCEPT -p tcp -dport 80 -log nolog

IP 别名

IP 别名允许您将⽹络的 IP 地址与名称相关联。然后您可以使⽤这些名称：

内部 IP 集定义在防⽕墙规则的源和⽬标属性中

IP Set

IP 集可⽤于定义⽹络和主机组。您可以在防⽕墙规则的源和⽬标 属性中使⽤“+name”来引⽤它们。

服务和命令防⽕墙在每个节点上运⾏两个服务守护进程：pvefw-logger：NFLOG 守护进程（ulogd 替换）。pve-firewall：更新 iptables 规则

还有⼀个名为pve-firewall的 CLI 命令，可⽤于启动和停⽌防⽕墙服务：# pve-firewall start# pve-firewall stop要获取状态使⽤：# pve-firewall status上述命令读取并编译所有防⽕墙规则，因此如果您的防⽕墙配置包含任何错误，您将看到警告。

如果要查看⽣成的 iptables 规则，可以使⽤：# iptables-save默认防⽕墙规则

以下流量由默认防⽕墙配置过滤：

数据中⼼传⼊/传出 DROP/REJECT

如果防⽕墙的输⼊或输出策略设置为 DROP 或 REJECT，集群中的所有 Proxmox VE 主机仍然允许以下流量：环回接⼝上的流量已经建⽴的连接

使⽤ IGMP 协议的流量

从管理主机到端⼝ 8006 的 TCP 流量，以允许访问 Web 界⾯

从管理主机到端⼝范围 5900 到 5999 的 TCP 流量允许 VNC Web 控制台的流量

从管理主机到端⼝ 3128 的 TCP 流量，⽤于连接到 SPICE 代理

从管理主机到端⼝ 22 的 TCP 流量以允许 ssh 访问

⽤于 corosync 的集群⽹络中到端⼝ 5404 和 5405 的 UDP 流量

集群⽹络中的 UDP 多播流量ICMP 流量类型 3（⽬标不可达）、4（拥塞控制）或 11（超时）以下流量被丢弃，但即使启⽤⽇志记录也不会记录：

连接状态⽆效的 TCP 连接

与 corosync ⽆关的⼴播、多播和任播流量，即不通过端⼝ 5404 或 5405

到端⼝ 43 的 TCP 流量UDP 流量到端⼝ 135 和 445

UDP 流量到端⼝范围 137 到 139

UDP 流量从源端⼝ 137 到端⼝范围 1024 到 65535

UDP 流量到端⼝ 1900

TCP 流量到端⼝ 135、139 和 445

来⾃源端⼝ 53 的 UDP 流量

其余的流量分别被丢弃或拒绝，并被记录下来。这可能会因防⽕墙→选项中启⽤的其他选项⽽异 ，例如 NDP、SMURFS 和 TCP 标志过滤。

请检查输出：# iptables-savesystem 命令以查看系统上活动的防⽕墙链和规则。此输出也包含在系统报告中，可通过 Web GUI 中节点的订阅选项卡或通过pvereport命令⾏⼯具访问。

VM 传⼊/传出 DROP/REJECT

这会丢弃或拒绝所有到 VM 的流量，但 DHCP、NDP、路由器⼴告、MAC 和 IP 过滤的⼀些例外情况取决于设置的配置。丢弃/拒绝数据包的相同规则是从数据中⼼继承的，⽽主机接受的传⼊/传出流量的例外情况并不适⽤。

同样，您可以使⽤iptables-save（见上⽂） 来检查所有应⽤的规则和链。

Proxmox VE 使⽤的端⼝

Web 界⾯：8006（TCP、HTTP/1.1 over TLS）

VNC Web 控制台：5900-5999（TCP、WebSocket）

SPICE 代理：3128 (TCP)

sshd（⽤于集群操作）：22 (TCP)rpcbind: 111 (UDP)

发送邮件：25（TCP，传出）corosync 集群流量：5404、5405 UDP

实时迁移（VM 内存和本地磁盘数据）：60000-60050 (TCP)

合集下载

ProxmoxVE（PVE）安装黑群晖DS918

ProxmoxVE（PVE）安装黑群晖DS918

ProxmoxVE（PVE）安装⿊群晖DS918

【前⾔】

本教程基于Proxmox VE（PVE）7.0虚拟机环境下安装⿊群晖DS918-7.01，因此对硬件的

要求如下：

1、CPU要求（如果CPU不满⾜要求，建议安装DS3615-7.01，安装DS3615-7.01的步骤和安装

DS918-7.01的步骤⼤致⼀样，只是使⽤不同引导和不同安装包的区别。）

（1）⾄少要⽤第四代Intel酷睿处理器、或者同等级别的奔腾处理器、或者同等级别的赛扬处理

器，⽐如：Intel i5-4430、J3455、N3160；

（2）⾄强的处理器，要求是v3或者以上级别，⽐如：Intel Xeon E3-1230 v3；

（3）如果是AMD，要求是锐龙3或者以上级别，⽐如：Ryzen 3 - 2200G；

2、⽹卡要求

（1）如果是⽤⽹卡直通的，要求使⽤Intel品牌的⽹卡；

（2）⾮直通⽹卡要求⽀持E1000e，如果你的PVE不⽀持E1000e⽹卡类型，请先按照【给

ProxmoxVE (PVE)的⽹络模型添加E1000e⽹卡，让你的DSM⽀持最新版本】教程添加

E1000e；

（3）截⽌2021年9⽉26⽇，使⽤RedPill项⽬开发组开源代码编译的DSM7.X引导，暂时不⽀持

万兆物理⽹卡，建议采⽤千兆⽹卡（直通模式）或者E1000e虚拟⽹卡（⾮直通模式）。

【安装步骤】

1、在电脑上新建⼀个⽂件夹（我在E盘建⽴dsm7这个⽂件夹），需要注意：不可以⽤中⽂或者

特殊符号。到【我的⽹盘】下载以下⽂件，全部下载完成后，然后点到下图红框处，把当前这个路径复制⼀下；

2、把引导⽂件【redpill-DS918+_7.0.1-42214（引导⽂件）.img】改个名，去掉中⽂字（不可以有中⽂），同时把⽂件名改短⼀些，⽅便操作，我这改成DS918_7.0.1.img；

3、在电脑浏览器打开PVE的IP地址，⽤root登录，在左边栏如下图的位置右键，创建虚拟机；

pve防火墙规则

pve防火墙规则

pve防火墙规则

PVE（Proxmox Virtual Environment）防火墙规则可以通过以下步骤进行设置：

1. 进入PVE管理界面，选择集群或节点，然后点击“防火墙”选项。

2. 在防火墙设置页面中，可以分别设置集群、节点、虚拟机和容器的防火墙规则。

3. 对于集群和节点，可以设置整体的防火墙策略，包括允许或拒绝特定IP地址或端口的访问。

4. 对于虚拟机和容器，可以设置针对每个虚拟网卡设备的防火墙规则，包括允许或拒绝特定IP地址或端口的访问。

5. 除了防火墙规则外，还可以设置IPSet，以方便管理和重复使用地址池。在IPSet中可以定义地址池，源IP、目的IP可以直接写IP地址和网段，也可以使用IPSet定义地址池。

6. 设置完成后，需要重启防火墙服务才能使新的规则生效。

需要注意的是，在设置防火墙规则时，要仔细考虑安全需求，合理配置规则，避免不必要的网络风险。同时，定期检查和更新防火墙规则也是非常重要的安全措施。

基于PVE的中职网络攻防技术课程云实训平台的设计与实现

基于PVE的中职网络攻防技术课程云实训平台的设计与实现

基于PVE的中职网络攻防技术课程 云实训平台的设计与实现文/珠海市第一中等职业学校高安邦

一、引言随着信息技术的发展， 互联网已经 渗透到我们社会生活的方方面面。 互联 网在给我们的工作、生活带来便利的同 时， 网络空间安全的形势也越来越严 峻。尤其是最近几年，网络安全事件层 岀不穷，例如2013年的斯诺登事件、 2017年的Wannacry勒索病毒，等等。 这些网络安全事件给我们的隐私安全、 社会安全带来了极大的威胁，同时也给 我们的网络空间安全教育敲响了警钟。 习近平总书记在2018年4月21日全国 网络安全和信息化工作会议上指岀，没 有网络安全就没有国家安全， 就没有经 济社会稳定运行，广大人民群众利益也 难以得到保障。2018年4月，教育部 公布最新《学位授予和人才培养学科 目录》增设“网络空间安全” 一级学 科。 在此基础上， 很多大学增设了网络 空间安全学院， 网络空间安全人才培养 体系逐步完善，网络安全人才培养方兴 未艾。中职网络安全教育起步晚，基础薄 弱，面临着教学内容繁复、实验条件缺 乏等现实问题。中职网络攻防技术课程 的主要内容涵盖：操作系统渗透测试及 加固（Windows操作系统渗透测试及加 固、Linux操作系统渗透测试及加固等）、 Web应用渗透测试及加固（SQL注入、 命令注入、文件上传等漏洞渗透测试及 加固）、BT5和KaliLinux系统常见工具的 使用等。 在课程实训过程中， 学生需要 使用到 WindowsXP、Windows2003、Win- dows7、 Windows2008R2 等 Windows 系 列 的操作系统，以及BackTrack5、Kali Linux、ubuntu、CentOS 等 Linux 系列的操 作系统。相比于网络攻防技术课程对实训 环境的较高要求，我们当前的单机实训 方式已经显露岀了很多缺陷和不足。然 而，要购买公司全套安全产品建立网络

proxmox ve逻辑卷管理lvm详解

proxmox ve逻辑卷管理lvm详解

proxmox ve逻辑卷管理lvm详解

Proxmox VE (Virtual Environment) 是一种开源的虚拟化解决方案，它基于Linux操作系统和KVM虚拟化技术，提供了集成的虚拟化管理工具。

在Proxmox VE中，逻辑卷管理（LVM）是一种磁盘管理工具，用于管理存储设备并提供高级功能如快照、动态分区和数据复制。下面是有关Proxmox VE逻辑卷管理（LVM）的一些详解：

1. 物理卷（Physical Volume）：物理卷是硬盘、磁盘分区或RAID卷等存储设备的逻辑组件。在Proxmox VE中，物理卷指的是用于创建逻辑卷的存储设备。

2. 卷组（Volume Group）：卷组由一个或多个物理卷组成，它是逻辑卷的容器。在Proxmox VE中，卷组通常用于将多个物理卷组合为一个更大的逻辑存储池。

3. 逻辑卷（Logical Volume）：逻辑卷是从卷组中划分出的逻辑存储单元。逻辑卷可以被格式化为文件系统，并作为虚拟机的硬盘或存储设备使用。

4. 快照（Snapshot）：快照是逻辑卷的一种副本，它记录了特定时刻的逻辑卷状态。通过创建快照，您可以方便地恢复逻辑卷到之前的状态。

5. 迁移（Migration）：逻辑卷可以通过迁移的方式从一个Proxmox VE节点移动到另一个节点，以实现虚拟机的高可用性和负载均衡。

6. 增加容量（Capacity Expansion）：使用逻辑卷管理，您可以动态地增加逻辑卷的容量，而无需停机或重新分区。

总结来说，Proxmox VE的逻辑卷管理（LVM）提供了一种灵活和可靠的方式来管理存储设备，并增加虚拟机的灵活性和可用性。它允许您创建、调整和移动逻辑卷，并提供了快照和迁移等高级功能。