参考ProxmoxVE6.x 默认防火墙规则,除去PVE默认已开放的流量,作出以下配置.
集群结构：
本地网 : vmbr0 网段:192.168.88.0/24 网关:192.168.88.254 集群网 : vmbr1 网段:192.168.34.0/24 网关:无 存储网 : vmbr2 网段:192.168.35.0/24 网关:无 使用Ceph : 是
集群防火墙：
cat /etc/pve/firewall/cluster.fw [OPTIONS] enable: 1 [ALIASES] corosync_network 192.168.34.0/24 # 集群网192.168.34.0/24 local_network 192.168.88.0/24 # 本地网192.168.88.0/24 storage_network 192.168.35.0/24 # 存储网192.168.35.0/24 [IPSET blacklist] # 默认集-黑名单 [IPSET management] # 默认集-管理 corosync_network local_network storage_network [RULES] GROUP main # 全局引用-主组 GROUP storage # 全局引用-存储组 [group main] # 主要组 IN ACCEPT -dest local_network -p tcp -dport 8006 -log nolog # 公网访问WEB IN SSH(ACCEPT) -dest local_network -log nolog # 公网访问SSH [group storage] # 存储组 IN Ceph(ACCEPT) -source storage_network -dest storage_network -log nolog
VMID100防火墙：
cat /etc/pve/firewall/100.fw [OPTIONS] enable: 1 #开启MAC过滤,开启MAC过滤后虚拟机里改变MAC网络会不通.防止ARP攻击 macfilter: 1 #开启IP自动过滤(放行根据MAC生成的IPV6地址和关联的IP) ipfilter: 1 #放行IN流量 policy_in: ACCEPT [IPSET ipfilter-net0] # IP手动过滤(上面自动过滤不开启也生效) #net0网卡只允许192.168.88.55流量,防止虚拟机盗用IP 192.168.88.55
允许使用FTP
echo "ip_conntrack_ftp" >> /etc/modules modprobe ip_conntrack_ftp