Proxmox mit VM pfSense

[activetraffix]

Hallo Leute,

ich möchte Proxmox auf einen Rootserver mit einer VM pfSense als Firewall betreiben. pfSense soll auch als DHCP-Server für die VM und LXC dienen.

Wie viele IPv4-Adressen sind hier unbedingt erforderlich?
Braucht die VM pfSense unbedingt eine eigene IPv4-Adresse?

1. IPv4-Adresse Proxmox-Host
2. IPv4-Adresse VM pfSense

Der Rootserver hat auch ein IPv6-Subnetz (/64), die auf dem Proxmox-Host, VM pfSense, andere VM und LXC von außen erreichbar macht. Außerdem wird über die pfSense mittels VPN das private Netzwerk auf dem Proxmox-Host mittels statische Route im Heimnetzwerk erreichbar macht.

Die Netzwerkkonfiguration habe ich mir wie folgt vorgestellt:

vmbr1 = IPv4: 10.0.0.1/30
vmbr2 = Ipv4: 10.0.1.2/24

VM pfSense

(net0) - vmbr1 = IPv4: 10.0.0.2/30 (WAN)
(net1) - vmbr2 = IPv4: 10.0.1.1/24 (LAN)

Zu den IPv4-Adressen werden jeweils eine öffentliche IPv6-Adresse parallel eingerichtet werden.

Viele Grüße,
Oliver

 

[madmax2010]

Wie viele IPv4-Adressen sind hier unbedingt erforderlich?

Oeffentlich: Eine IP
Intern: reicht eig. auch eine, aber so viel NAT will keiner.

Braucht die VM pfSense unbedingt eine eigene IPv4-Adresse?

Nein. Kann aber sinnvoll sein, da eine eigene zu setzen.

Was hast du denn genau vor? Und bei welchem Hoster?

 

[activetraffix]

Habe bereits Proxmox mit VM pfSense auf einem Rootserver von Hetzner in Betrieb.
Bin auf der Suche nach der optimalen Netzwerkkonfiguration. Aktuell habe ich das Problem, dass der Proxmox-Host nur unter der IPv4-Adresse erreichbar ist und nicht unter seiner IPv6-Adresse. Im Internet habe ich bereits mehrere Anleitungen oder Forenbeiträge gelesen, aber eine Lösung war nicht dabei.

Die VM pfSense hat eine 2. öffentliche IPv4-Adresse als WAN-Adresse (IP: 157.XX.XXX.XX, Gateway: 157.XX.XXX.1) eingetragen. Jetzt stellt sich die Frage, ob ich statt der öffentliche IPv4-Adresse eine private IPv4-Adresse verwende und einfach die 2. öffentliche IPv4-Adresse als virtuelle IP in pfSense eintragen soll.

Zugriff auf die KVM und LXC im privaten Netzwerk, erhalten ich mittels VPN oder der IPv6-Adressen.

 

[floklo4]

Bei Bridged ist das ein wenig anders im Vergleich zu Routed. Ggf das mal probieren:

https://www.sugar-camp.com/anleitung-proxmox-mit-ipv6-einrichten/

 

[activetraffix]

Leider hat es nicht geholfen. Die pfSense habe ich wie folgt eingerichtet:
https://dominicpratt.de/hetzner-und-proxmox-ipv6-mit-router-vm-nutzen/
https://dominicpratt.de/hetzner-proxmox-opnsense/

In der LAN-Netzwerkkonfiguration der pfSense ist die IPv6-Adresse 2a01:4f8:201:806b::1 eingetragen.
Wenn ich im Container oder KVM den Gateway 2a01:4f8:201:806b::1 eintrage, dann funktioniert IPv6.

iface eth0 inet6 static address 2a01:4f8:201:806b::2 netmask 128 up sysctl -p gateway fe80::1

Leider wird mir auf eth0 bei ifconfig nicht die IPv6-Adresse 2a01:4f8:201:806b::2 angezeigt.
Trotzdem ist der Proxmox-Host unter IPv6-Adresse 2a01:4f8:201:806b::2 nicht erreichbar. Selbst ein ping direkt vom Proxmox-Host geht nicht.

Komisch.

 

[activetraffix]

Hallo,

habe noch mal die Netzwerkkonfiguration vom Server angesehen und dieser Anleitung angepasst:
https://www.sugar-camp.com/anleitung-proxmox-mit-ipv6-einrichten/

Nach einem Neustart ist der Proxmox-Host sowohl unter IPv4- und IPv6-Adresse erreichbar.
Auf dem Proxmox-Host kann folgende Befehle ausgeführt werden:
ping 8.8.8.8
ping web.de
ping -6 google.de
ping -6 2a01:XXX:XXX:XXXX::2
ping -6 2a01:XXX:XXX:XXXX::3

Auf der Konsole VM pfSense kann kein Ping ins Internet mehr ausgeführt werden.
Hat jemand eine Lösung?

Meine aktuelle Netzwerkkonfiguration (/etc/network/interfaces)

source /etc/network/interfaces.d/*

auto lo
iface lo inet loopback
iface lo inet6 loopback

auto enp3s0
iface enp3s0 inet static
address 5.XX.XXX.XXX
netmask 255.255.255.224
pointopoint 5.XX.XXX.XXX
gateway 5.XX.XXX.XXX
up route add -net 5.XX.XXX.224 netmask 255.255.255.224 gw 5.XX.XXX.XXX dev enp3s0

iface enp3s0 inet6 static
address 2a01:XXX:XXX:XXXX::2
netmask 128
gateway fe80::1
up sysctl -p

auto vmbr0
iface vmbr0 inet static
address 5.XX.XXX.XXX
netmask 255.255.255.224
pointopoint 5.XX.XXX.XXX
gateway 5.XX.XXX.XXX
up route add -net 5.XX.XXX.XXX netmask 255.255.255.224 gw 5.XX.XXX.XXX dev enp3s0
bridge-ports none
bridge-stp off
bridge-fd 0

iface vmbr0 inet6 static
pre-up /sbin/modprobe -q ipv6; /bin/true
address 2a01:XXX:XXX:XXXX::3
netmask 64
up ip -6 route add 2a01:XXX:XXX:XXXX::/64 dev vmbr0

auto vmbr1
iface vmbr1 inet manual
bridge-ports none
bridge-stp off
bridge-fd 0

iface vmbr1 inet6 manual
bridge-ports none
bridge-stp off
bridge-fd 0