Proxmox VE 防火墙介绍
时间:2021-12-18 11:12 来源:linux.it.net.cn 作者:IT
Proxmox VE 防火墙提供了一种简单的方法来保护您的 IT 基础设施。您可以为集群内的所有主机设置防火墙规则，或为虚拟机和容器定义规则。防火墙宏、安全组、IP 集和别名等功能有助于简化该任务。
虽然所有配置都存储在集群文件系统上，但基于iptables的防火墙服务运行在每个集群节点上，从而在虚拟机之间提供完全隔离。该系统的分布式特性还提供比中央防火墙解决方案高得多的带宽。
防火墙完全支持 IPv4 和 IPv6。IPv6 支持是完全透明的，默认情况下我们会过滤两种协议的流量。因此无需为 IPv6 维护一组不同的规则。
区域
Proxmox VE 防火墙将网络分组为以下逻辑区域：
主机
进出集群节点的流量。
虚拟机
来自或到达特定虚拟机的流量。
对于每个区域，您可以为传入和传出流量定义防火墙规则。
配置文件
集群范围设置
集群范围的防火墙配置存储在：/etc/pve/firewall/cluster.fw
GUI设置界面如下：
默认情况下防火墙是完全禁用的。如果启用防火墙，默认情况下会阻止所有主机的流量。只有来自本地网络的 WebGUI(8006) 和 ssh(22) 例外。
如果要从远程管理 Proxmox VE 主机，则需要创建规则以允许从这些远程 IP 到 Web GUI（端口 8006）的流量。您可能还想允许 ssh（端口 22），也可能是 SPICE（端口 3128）。
在启用防火墙之前，请打开与您的 Proxmox VE 主机之一的 SSH 连接。这样，如果出现问题，您仍然可以访问主机。
为了简化该任务，您可以改为创建一个名为“management”的 IPSet，并在其中添加所有远程 IP。这将创建从远程访问 GUI 所需的所有防火墙规则。设置示例如下：
配置文件相关内容如下：
[OPTIONS]
enable: 1
[ALIASES]
management 10.0.0.0/24
[IPSET management]
management
[RULES]
GROUP management
IN ACCEPT -source +management -p tcp -dport 80 -log nolog
IN DROP -log nolog
[group management]
IN ACCEPT -source +management -p tcp -dport 3128 -log nolog
IN ACCEPT -source +management -p tcp -dport 22 -log nolog
IN ACCEPT -source +management -p tcp -dport 8006 -log nolog
[group webserver]
IN ACCEPT -p tcp -dport 443 -log nolog
IN ACCEPT -p tcp -dport 80 -log nolog
主机范围设置
主机范围的防火墙配置存储在：/etc/pve/nodes//host.fw
GUI设置界面如下：
虚拟机范围设置
虚拟机范围的防火墙配置存储在：/etc/pve/firewall/.fw
GUI设置界面如下：
每个虚拟网络设备都有自己的防火墙启用标志。因此，您可以有选择地为每个接口启用防火墙。除了常规防火墙启用选项之外，这也是必需的。
虚拟机防火墙默认是禁用的。启用后，默认的输入策略是 DROP，默认的输出策略是 ACCEPT，不记录任何日志。
下面是一个GUI设置示例：
配置文件相关内容如下：
[OPTIONS]
log_level_in: nolog
enable: 1
log_level_out: nolog
[RULES]
IN ACCEPT -p tcp -dport 22 -log nolog
IN ACCEPT -p tcp -dport 80 -log nolog
防火墙规则
防火墙规则由方向（IN或OUT）和操作（ACCEPT、DENY、REJECT）组成。您还可以指定宏名称。宏包含预定义的规则和选项集。规则可以通过添加前缀“|”来禁用。
示例
[RULES]
IN SSH(ACCEPT) -i net0
IN SSH(ACCEPT) -i net0 # a comment
IN SSH(ACCEPT) -i net0 -source 192.168.2.192 # only allow SSH from 192.168.2.192
IN SSH(ACCEPT) -i net0 -source 10.0.0.1-10.0.0.10 # accept SSH for IP range
IN SSH(ACCEPT) -i net0 -source 10.0.0.1,10.0.0.2,10.0.0.3 #accept ssh for IP list
IN SSH(ACCEPT) -i net0 -source +mynetgroup # accept ssh for ipset mynetgroup
IN SSH(ACCEPT) -i net0 -source myserveralias #accept ssh for alias myserveralias
|IN SSH(ACCEPT) -i net0 # disabled rule
IN DROP # drop all incoming packages
OUT ACCEPT # accept all outgoing packages
安全组
安全组是在集群级别定义的规则集合，可以在所有 VM 的规则中使用。例如，您可以定义一个名为“webserver”的组，其中包含打开http和https端口的规则。
[group webserver]
IN ACCEPT -p tcp -dport 443 -log nolog
IN ACCEPT -p tcp -dport 80 -log nolog
IP 别名
IP 别名允许您将网络的 IP 地址与名称相关联。然后您可以使用这些名称：
内部 IP 集定义
在防火墙规则的源和目标属性中
IP Set
IP 集可用于定义网络和主机组。您可以在防火墙规则的源和目标 属性中使用“+name”来引用它们。
服务和命令
防火墙在每个节点上运行两个服务守护进程：
pvefw-logger：NFLOG 守护进程（ulogd 替换）。
pve-firewall：更新 iptables 规则
还有一个名为pve-firewall的 CLI 命令，可用于启动和停止防火墙服务：
# pve-firewall start
# pve-firewall stop
要获取状态使用：
# pve-firewall status
上述命令读取并编译所有防火墙规则，因此如果您的防火墙配置包含任何错误，您将看到警告。
如果要查看生成的 iptables 规则，可以使用：
# iptables-save
默认防火墙规则
以下流量由默认防火墙配置过滤：
数据中心传入/传出 DROP/REJECT
如果防火墙的输入或输出策略设置为 DROP 或 REJECT，集群中的所有 Proxmox VE 主机仍然允许以下流量：
环回接口上的流量
已经建立的连接
使用 IGMP 协议的流量
从管理主机到端口 8006 的 TCP 流量，以允许访问 Web 界面
从管理主机到端口范围 5900 到 5999 的 TCP 流量允许 VNC Web 控制台的流量
从管理主机到端口 3128 的 TCP 流量，用于连接到 SPICE 代理
从管理主机到端口 22 的 TCP 流量以允许 ssh 访问
用于 corosync 的集群网络中到端口 5404 和 5405 的 UDP 流量
集群网络中的 UDP 多播流量
ICMP 流量类型 3（目标不可达）、4（拥塞控制）或 11（超时）
以下流量被丢弃，但即使启用日志记录也不会记录：
连接状态无效的 TCP 连接
与 corosync 无关的广播、多播和任播流量，即不通过端口 5404 或 5405
到端口 43 的 TCP 流量
UDP 流量到端口 135 和 445
UDP 流量到端口范围 137 到 139
UDP 流量从源端口 137 到端口范围 1024 到 65535
UDP 流量到端口 1900
TCP 流量到端口 135、139 和 445
来自源端口 53 的 UDP 流量
其余的流量分别被丢弃或拒绝，并被记录下来。这可能会因防火墙→选项中启用的其他选项而异 ，例如 NDP、SMURFS 和 TCP 标志过滤。
请检查输出：
# iptables-save
system 命令以查看系统上活动的防火墙链和规则。此输出也包含在系统报告中，可通过 Web GUI 中节点的订阅选项卡或通过pvereport命令行工具访问。
VM 传入/传出 DROP/REJECT
这会丢弃或拒绝所有到 VM 的流量，但 DHCP、NDP、路由器广告、MAC 和 IP 过滤的一些例外情况取决于设置的配置。丢弃/拒绝数据包的相同规则是从数据中心继承的，而主机接受的传入/传出流量的例外情况并不适用。
同样，您可以使用iptables-save（见上文） 来检查所有应用的规则和链。
Proxmox VE 使用的端口
Web 界面：8006（TCP、HTTP/1.1 over TLS）
VNC Web 控制台：5900-5999（TCP、WebSocket）
SPICE 代理：3128 (TCP)
sshd（用于集群操作）：22 (TCP)
rpcbind: 111 (UDP)
发送邮件：25（TCP，传出）
corosync 集群流量：5404、5405 UDP
实时迁移（VM 内存和本地磁盘数据）：60000-60050 (TCP)
(责任编辑：IT)
Proxmox VE 防火墙提供了一种简单的方法来保护您的 IT 基础设施。您可以为集群内的所有主机设置防火墙规则，或为虚拟机和容器定义规则。防火墙宏、安全组、IP 集和别名等功能有助于简化该任务。
虽然所有配置都存储在集群文件系统上，但基于iptables的防火墙服务运行在每个集群节点上，从而在虚拟机之间提供完全隔离。该系统的分布式特性还提供比中央防火墙解决方案高得多的带宽。
防火墙完全支持 IPv4 和 IPv6。IPv6 支持是完全透明的，默认情况下我们会过滤两种协议的流量。因此无需为 IPv6 维护一组不同的规则。
区域
Proxmox VE 防火墙将网络分组为以下逻辑区域：
主机
进出集群节点的流量。
虚拟机
来自或到达特定虚拟机的流量。
对于每个区域，您可以为传入和传出流量定义防火墙规则。
配置文件
集群范围设置
集群范围的防火墙配置存储在：/etc/pve/firewall/cluster.fw
GUI设置界面如下：
默认情况下防火墙是完全禁用的。如果启用防火墙，默认情况下会阻止所有主机的流量。只有来自本地网络的 WebGUI(8006) 和 ssh(22) 例外。
如果要从远程管理 Proxmox VE 主机，则需要创建规则以允许从这些远程 IP 到 Web GUI（端口 8006）的流量。您可能还想允许 ssh（端口 22），也可能是 SPICE（端口 3128）。
在启用防火墙之前，请打开与您的 Proxmox VE 主机之一的 SSH 连接。这样，如果出现问题，您仍然可以访问主机。
为了简化该任务，您可以改为创建一个名为“management”的 IPSet，并在其中添加所有远程 IP。这将创建从远程访问 GUI 所需的所有防火墙规则。设置示例如下：
配置文件相关内容如下：
[OPTIONS]
enable: 1
[ALIASES]
management 10.0.0.0/24
[IPSET management]
management
[RULES]
GROUP management
IN ACCEPT -source +management -p tcp -dport 80 -log nolog
IN DROP -log nolog
[group management]
IN ACCEPT -source +management -p tcp -dport 3128 -log nolog
IN ACCEPT -source +management -p tcp -dport 22 -log nolog
IN ACCEPT -source +management -p tcp -dport 8006 -log nolog
[group webserver]
IN ACCEPT -p tcp -dport 443 -log nolog
IN ACCEPT -p tcp -dport 80 -log nolog
主机范围设置
主机范围的防火墙配置存储在：/etc/pve/nodes//host.fw
GUI设置界面如下：
虚拟机范围设置
虚拟机范围的防火墙配置存储在：/etc/pve/firewall/.fw
GUI设置界面如下：
每个虚拟网络设备都有自己的防火墙启用标志。因此，您可以有选择地为每个接口启用防火墙。除了常规防火墙启用选项之外，这也是必需的。
虚拟机防火墙默认是禁用的。启用后，默认的输入策略是 DROP，默认的输出策略是 ACCEPT，不记录任何日志。
下面是一个GUI设置示例：
配置文件相关内容如下：
[OPTIONS]
log_level_in: nolog
enable: 1
log_level_out: nolog
[RULES]
IN ACCEPT -p tcp -dport 22 -log nolog
IN ACCEPT -p tcp -dport 80 -log nolog
防火墙规则
防火墙规则由方向（IN或OUT）和操作（ACCEPT、DENY、REJECT）组成。您还可以指定宏名称。宏包含预定义的规则和选项集。规则可以通过添加前缀“|”来禁用。
示例
[RULES]
IN SSH(ACCEPT) -i net0
IN SSH(ACCEPT) -i net0 # a comment
IN SSH(ACCEPT) -i net0 -source 192.168.2.192 # only allow SSH from 192.168.2.192
IN SSH(ACCEPT) -i net0 -source 10.0.0.1-10.0.0.10 # accept SSH for IP range
IN SSH(ACCEPT) -i net0 -source 10.0.0.1,10.0.0.2,10.0.0.3 #accept ssh for IP list
IN SSH(ACCEPT) -i net0 -source +mynetgroup # accept ssh for ipset mynetgroup
IN SSH(ACCEPT) -i net0 -source myserveralias #accept ssh for alias myserveralias
|IN SSH(ACCEPT) -i net0 # disabled rule
IN DROP # drop all incoming packages
OUT ACCEPT # accept all outgoing packages
安全组
安全组是在集群级别定义的规则集合，可以在所有 VM 的规则中使用。例如，您可以定义一个名为“webserver”的组，其中包含打开http和https端口的规则。
[group webserver]
IN ACCEPT -p tcp -dport 443 -log nolog
IN ACCEPT -p tcp -dport 80 -log nolog
IP 别名
IP 别名允许您将网络的 IP 地址与名称相关联。然后您可以使用这些名称：
内部 IP 集定义
在防火墙规则的源和目标属性中
IP Set
IP 集可用于定义网络和主机组。您可以在防火墙规则的源和目标 属性中使用“+name”来引用它们。
服务和命令
防火墙在每个节点上运行两个服务守护进程：
pvefw-logger：NFLOG 守护进程（ulogd 替换）。
pve-firewall：更新 iptables 规则
还有一个名为pve-firewall的 CLI 命令，可用于启动和停止防火墙服务：
# pve-firewall start
# pve-firewall stop
要获取状态使用：
# pve-firewall status
上述命令读取并编译所有防火墙规则，因此如果您的防火墙配置包含任何错误，您将看到警告。
如果要查看生成的 iptables 规则，可以使用：
# iptables-save
默认防火墙规则
以下流量由默认防火墙配置过滤：
数据中心传入/传出 DROP/REJECT
如果防火墙的输入或输出策略设置为 DROP 或 REJECT，集群中的所有 Proxmox VE 主机仍然允许以下流量：
环回接口上的流量
已经建立的连接
使用 IGMP 协议的流量
从管理主机到端口 8006 的 TCP 流量，以允许访问 Web 界面
从管理主机到端口范围 5900 到 5999 的 TCP 流量允许 VNC Web 控制台的流量
从管理主机到端口 3128 的 TCP 流量，用于连接到 SPICE 代理
从管理主机到端口 22 的 TCP 流量以允许 ssh 访问
用于 corosync 的集群网络中到端口 5404 和 5405 的 UDP 流量
集群网络中的 UDP 多播流量
ICMP 流量类型 3（目标不可达）、4（拥塞控制）或 11（超时）
以下流量被丢弃，但即使启用日志记录也不会记录：
连接状态无效的 TCP 连接
与 corosync 无关的广播、多播和任播流量，即不通过端口 5404 或 5405
到端口 43 的 TCP 流量
UDP 流量到端口 135 和 445
UDP 流量到端口范围 137 到 139
UDP 流量从源端口 137 到端口范围 1024 到 65535
UDP 流量到端口 1900
TCP 流量到端口 135、139 和 445
来自源端口 53 的 UDP 流量
其余的流量分别被丢弃或拒绝，并被记录下来。这可能会因防火墙→选项中启用的其他选项而异 ，例如 NDP、SMURFS 和 TCP 标志过滤。
请检查输出：
# iptables-save
system 命令以查看系统上活动的防火墙链和规则。此输出也包含在系统报告中，可通过 Web GUI 中节点的订阅选项卡或通过pvereport命令行工具访问。
VM 传入/传出 DROP/REJECT
这会丢弃或拒绝所有到 VM 的流量，但 DHCP、NDP、路由器广告、MAC 和 IP 过滤的一些例外情况取决于设置的配置。丢弃/拒绝数据包的相同规则是从数据中心继承的，而主机接受的传入/传出流量的例外情况并不适用。
同样，您可以使用iptables-save（见上文） 来检查所有应用的规则和链。
Proxmox VE 使用的端口
Web 界面：8006（TCP、HTTP/1.1 over TLS）
VNC Web 控制台：5900-5999（TCP、WebSocket）
SPICE 代理：3128 (TCP)
sshd（用于集群操作）：22 (TCP)
rpcbind: 111 (UDP)
发送邮件：25（TCP，传出）
corosync 集群流量：5404、5405 UDP
实时迁移（VM 内存和本地磁盘数据）：60000-60050 (TCP)
(责任编辑：IT) |