Firewall

Firewall в Proxmox VE не отдельный демон — надстройка над iptables/nftables хоста с тремя уровнями: Datacenter (общие правила для всего кластера), Host (конкретный узел) и VM/CT (конкретная виртуалка). Правила нижнего уровня наследуют верхние, но могут их сузить. Security groups — именованные наборы правил на несколько VM сразу: удобно для одинаковых веб-серверов без дублирования. Alias — имя вместо IP/подсети, чтобы не переписывать адреса при их смене. Включается на каждом уровне отдельным чекбоксом Firewall: Enabled — по умолчанию выключен даже после настройки правил, забытый чекбокс на уровне VM самая частая причина «правила есть, а не работают». Конфиг хранится в /etc/pve/firewall/ и /etc/pve/nodes/<node>/host.fw, синхронизируется через pmxcfs. ...

nftables заменяет разом iptables, ip6tables и arptables — один синтаксис на все семейства адресов, и весь рулсет заменяется атомарно, без окна с частично применёнными правилами. nft add table inet filter nft add chain inet filter input { type filter hook input priority 0 \; policy drop \; } nft add rule inet filter input iif lo accept nft add rule inet filter input ct state established,related accept nft add rule inet filter input tcp dport 22 accept nft list ruleset hook input — стадия перехвата пакетов (input/output/forward), priority — порядок среди chains на том же hook. Правила читаются сверху вниз, как в pg_hba.conf. Рулсет живёт только в памяти ядра — дамп в файл через nft list ruleset > /etc/nftables.conf. ...

ufw (Uncomplicated Firewall) генерирует правила iptables/nft из простых команд — не нужно помнить синтаксис цепочек и таблиц ради базовой защиты сервера. ufw allow 22/tcp # разрешить SSH ufw allow from 10.0.0.0/8 # доверенная подсеть — все порты ufw deny 23 # заблокировать telnet явно ufw enable # включить firewall ufw status verbose # список правил с номерами Правила применяются по порядку — ufw status numbered показывает номера для ufw delete <N>. По умолчанию политика deny incoming, allow outgoing — открывать нужно только то, что реально слушает. Логи: /var/log/ufw.log, включаются через ufw logging on. Не забыть открыть SSH до ufw enable, иначе отвалится текущая сессия. ...