Proxmox auf Server mit OpnSense

[xboxnico16]

Hallo zusammen,

ich habe ein Anliegen, bei dem ich nicht so wirklich weiterkomme. Und zwar geht es um folgendes:

Ich habe Proxmox auf einem vServer installiert und dieser hat auch eine öffentliche IP-Adresse.
Jetzt möchte ich gerne eine DMZ aufbauen, heißt dass die VMs und Container eine Private IP bekommen und darüber dann ins Internet gehen und auch erreichbar sind. Dazu soll OPNsense eingesetzt werden.

Mein Ziel ist jetzt den Proxmox so zu konfigurieren, dass ich den LXC-Containern und VMs eine Private IP-Adresse aus dem LAN-Bereich der OpnSense gebe und diese dann darüber ins Internet kommen. Dazu habe ich in Proxmox eine zusätzliche Network-Bridge mit IP 192.168.10.1/24 (LAN-IP der OpnSense) angelegt.

Der Proxmox-Host steht als Server bei einem Hoster, bei dem ich auch öffentliche IP-Adressen zur Verfügung habe.

Ich möchte nun erreichen, dass meine VMs und Container aus Proxmox über die vergebene Private IP-Adresse aus dem Internet erreichbar werden. Dazu möchte ich in Opnsense die Funktion der Virtuellen IPs und logischerweise auch NATting betreiben.

Ich habe die Konfiguration schon soweit hinbekommen, dass die LXC-Container über ihre private IP-Adresse über die OPNsense ins Internet kommen (Ping usw. funktioniert).

Nun möchte ich auch von meinem Rechner aus, z.B. eine SSH-Session auf die Container über die Public-IPs mittels virtuelle IPs realisieren. Hier scheitere ich gerade, da meine erstellten Regeln wohl nicht greifen und ich nicht auf die Maschinen komme.

Wie wäre hier das genaue Vorgehen in der OPNsense? In Proxmox sind bereits entsprechende Parameter gesetzt, dass der gesamte Traffic an die OpnSense geroutet wird.

Was übersehe ich hier?

Ich bedanke mich bereits für Denkanstöße.

[Patrick M. Hausen]

Wenn du uns die Regeln zeigen würdest, die nicht funktionieren, wäre das hilfreich 

Generell benutzt man für eingehende Verbindungen zu Hosts mit privaten Adressen

Firewall > NAT > Port Forward

und dort Regeln auf dem WAN Interface.

[joursin]

Wenn du nach erstellen der NAT-Regel weiterhin keinen SSH-Zugriff hast, kann es helfen zu prüfen, ob die SSH-Verbindung überhaupt in dem Container ankommt.

Dafür kannst du TCP-Dump benutzen.

Code: [Select]

tcpdump tcp

Mit diesem Befehl kannst du alle TCP-Pakete des Systems einsehen.

Während der Befehl läuft, verbinde dich per SSH und prüfe in den Logs, ob deine SSH-Pakete im Container ankommen.

[niclas]

Wenn die VIP bereits funktioniert fehlen die NAT Regeln.

Dabei einfach als Ziel "Single Host / Network" auswählen und die VIP mit einer /32 Subnetzmaske eintragen.
Dann die gewünschten Ports und Weiterleitungsadresse eintragen. -> Fertig
Wenn du es schön machen möchtest, richte noch ein Outbound NAT ein, damit ausgehender Traffic der VM`s auch über die jeweilige VIP geht.

ACHTUNG: FW Rule / NAT Regeln mit dem Ziel WAN adresse schließen auch die VIP`s ein! Also das bitte prüfen, sonst wird die neue Regel möglicherweise überschrieben...