pve-firewall(8)

ゾーンのルールを定義する際、3つの方向から選ぶことができます：

ファイアウォールルールを定義できるゾーンは3種類あります：

クラスタ全体のファイアウォール設定は、次の場所に保存されます：

コンフィギュレーションには以下のセクションがあります：

ホスト関連の設定を読み込みます：

cluster.fw設定からルールを上書きしたい場合に便利です。また、ログの冗長性を上げたり、ネットフィルタ関連のオプションを設定することもできます。コンフィギュレーションには以下のセクションを含めることができます：

VM のファイアウォール設定を読み込みます：

そして以下のデータを含んでいます：

VNet関連のコンフィギュレーションを読み込みます：

VNet 内の各 VM に対して個別にファイアウォール・ルールを設定することなく、VNet レベルでグローバルにファイアウォール設定を行うことができます。受信トラフィックと送信トラフィックの概念がないため、FORWARD方向のルールのみを含めることができます。これは、ホスト・インタフェースを含め、ブリッジ・ポートから別のポートに移動するすべてのトラフィックに影響します。

FORWARDチェインを通過するトラフィックは双方向なので、トラフィックを双方向に通過させたい場合は、双方向のルールを作成する必要があります。例えば、特定のホストに対するHTTPトラフィックを許可する場合、以下のルールを作成する必要があります：

このエイリアスは自動的に定義されます。割り当てられた値を確認するには、以下のコマンドを使用してください：

ファイアウォールは、このエイリアスを使用してクラスタ通信（corosync、API、SSH）に必要なすべてのものを許可するルールを自動的に設定します。

ユーザはcluster.fwaliasセクションでこれらの値を上書きできます。パブリックネットワーク上で単一のホストを使用する場合は、明示的にローカルIPアドレス

この IP セットはホストファイアウォールのみに適用されます(VM ファイアウォールではありません)。 これらのIPは通常の管理タスク(Proxmox VE GUI、VNC、SPICE、SSH)を実行できます。

ローカルクラスタネットワークは自動的にこのIPセット(aliascluster_network)に追加され、ホスト間のクラスタ通信を可能にします。(マルチキャスト、ssh、...)

これらのIPからのトラフィックは、各ホストとVMのファイアウォールによってドロップされます。

これらのフィルターはVMのネットワーク・インターフェースに属し、主にIPスプーフィングを防ぐために使用されます。このようなセットがインターフェイスに存在する場合、そのインターフェイスの対応するipfilterセットに一致しないソースIPを持つ発信トラフィックはすべてドロップされます。

IPアドレスが設定されているコンテナでは、これらのセットが存在する場合（またはVMのファイアウォールのオプションタブで一般的なIPフィルターオプションを使用して有効になっている場合）、関連するIPアドレスが暗黙的に含まれます。

仮想マシンとコンテナの両方で、近隣発見プロトコルを動作させるために、標準のMAC由来のIPv6リンクローカルアドレスも暗黙的に含まれています。

ファイアウォールの入力または出力ポリシーがDROPまたはREJECTに設定されている場合でも、クラスタ内のすべてのProxmox VEホストで次のトラフィックが許可されます：

以下のトラフィックはドロップされますが、ロギングを有効にしてもログには記録されません：

残りのトラフィックは、それぞれドロップまたは拒否され、ログにも記録されます。 これは、NDP、SMURFS、TCPフラグフィルタリングなど、ファイアウォール→オプションで有効になっている追加オプションによって異なる場合があります。

の出力を確認してください。

この出力はシステム・レポートにも含まれ、Web GUI のノードのサブスクリプション・タブ、またはpvereportコマンドライン・ツールからアクセスできます。

設定されたコンフィグレーションに応じて、DHCP、NDP、ルーター広告、MAC、IP フィルタリングなどの例外を除き、VM へのすべてのトラフィックをドロップまたは拒否します。 パケットをドロップ/拒否するルールはデータセンターから引き継がれ、ホストの送受信トラフィックの例外は適用されません。

繰り返しになりますが、iptables-save (上記参照)を使って、適用されたすべてのルールとチェインを検査することができます。

ユーザー定義のファイアウォールルールによってフィルタリングされたパケットをログに記録するために、各ルールに対して個別にログレベルパラメータを設定することができます。 これにより、ファイアウォール→オプションで標準ルールに定義されたログレベルとは独立して、きめ細かくログを記録することができます。

個々のルールのログレベルは、ルールの作成中または変更中に Web UI で簡単に定義または変更できますが、対応するpveshAPI 呼び出しによっても設定できます。

さらに、選択したルールに-log <loglevel>を追加することで、ファイアウォール設定ファイル経由でログレベルを設定することもできます (可能なログレベルを参照)。

例えば、次の2つは同じです：

一方

は、デバッグ・レベルのフラグが付いたログ出力を生成します。

FTPは、ポート21と他のいくつかの動的ポートを使用する古いスタイルのプロトコルです。そのため、ポート21を受け入れるルールが必要です。さらに、ip_conntrack_ftpモジュールをロードする必要があります。 ですから、実行してください：

を追加し、/etc/modulesにip_conntrack_ftp を追加します（再起動後も動作するように）。

Suricata IPS(Intrusion Prevention System)を使用したい場合は可能です。

パケットは、ファイアウォールがACCEPTした後にのみIPSに転送されます。

リジェクト/ドロップされたファイアウォールのパケットは IPS に送られません。

suricataをproxmoxホストにインストールします：

次回のリブートのために、/etc/modulesに nfnetlink_queueを追加することを忘れないでください。

次に、特定のVMに対してIPSを有効にします：

ips_queuesはこのVMに特定のCPUキューをバインドします。

利用可能なキューは

proxmox-firewallパッケージをインストールします：

ホストの Web UI (ホスト > ファイアウォール > オプション > nftables)、またはホストの構成ファイル(/etc/pve/nodes/<ノード名>/host.fw) で nftables バックエンドを有効にします：

nftables設定キーを設定すると、新しいproxmox-firewallサービスが引き継がれます。新しいサービスが動作しているかどうかは、proxmox-firewallのsystemctl statusをチェックすることで確認できます：

生成されたルールセットを調べることもできます。これについてはヘルプコマンド を参照してください。pve-firewallが iptables ルールを生成しなくなったかどうかも確認してください。

古いファイアウォールに戻すには、設定値を0/Noに戻すだけです。

proxmox-firewallはproxmox-firewallサービスによって管理される2つのテーブル:proxmox-firewallと proxmox-firewall-guestsを作成します。Proxmox VE ファイアウォール設定の外側にあるカスタムルールを作成したい場合は、カスタムファイアウォールルールを管理するために独自のテーブルを作成できます。proxmox-firewallは生成したテーブルにしか触れないので、独自のテーブルを追加することで簡単にproxmox-firewallの動作を拡張・変更できます。

pve-firewallコマンドを使う代わりに、nftables ベースのファイアウォールはproxmox-firewall を使います。これは systemd サービスなので、systemctl で起動と停止ができます：

ファイアウォールサービスを停止すると、生成されたルールがすべて削除されます。

ファイアウォールのステータスを照会するには、systemctl サービスのステータスを照会します：

生成されたルールセットは、以下のコマンドで確認できます：

proxmox-firewallをデバッグしたい場合は、RUST_LOG環境変数をtraceに設定してデーモンをフォアグラウンドで実行するだけです。これにより詳細なデバッグ出力が得られるはずです：

ファイアウォールデーモンの詳細な出力を得たい場合は、systemctlサービスを編集することもできます：

次に、RUST_LOG環境変数のオーバーライドを追加する必要があります：

これは大量のログを素早く生成するので、デバッグ目的でのみ使用してください。他の、より冗長でないログレベルはinfoとdebug です。

フォアグラウンドで実行すると、ログ出力がSTDERRに書き込まれるので、以下のコマンドでリダイレクトできます（コミュニティフォーラムにログを提出する場合など）：

ファイアウォールルールをデバッグするために、異なるチェーンを経由するパケットフ ローをトレースすると便利です。これは、追跡したいパケットに対してnftrace を1 に設定することで実現できます。すべてのパケットにこのフラグを設定しないことをお勧めします。

このファイルを保存し、実行可能にしてから 1 回実行すると、それぞれのトレースチェー ンが作成されます。トレース出力は、Proxmox VE Web UI (Firewall > Log) またはnft monitor trace で確認できます。

上記の例では、すべてのブリッジのトラフィックをトレースしていますが、これは通常、ゲストのトラフィックが流れる場所です。ホストのトラフィックを調べたい場合は、ブリッジテーブルの代わりにinetテーブルにこれらのチェーンを作成します。

以下のコマンドを実行することで、トレースルールを削除することができます：