Aide interface bridge hetzner

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Aide interface bridge hetzner

bonsoir

Bonjour,
je vous expose mon problème :
Il y'a de cela une semaine j'ai décidé de me lancer dans le self-hosting et j'ai donc naturellement loué un serveur dédié chez Hetzner et également installé proxmox sur la distribution debian. Cependant, ayant un niveau nullissime à tout ce qui touche au réseau, je ne sais pas trop quoi faire, j'ai déja suivi bon nombre de tutoriel trouvé sur google ainsi que sur stackoverflow (et réinstallé mon dédié 4x en moins de 2 jours à cause de mauvaises manips) mais je n'y arrive toujours pas, je me tourne donc vers vous. merci d'avance pour vos réponses.

Voici le contenu de mon fichier /etc/network/interfaces :

### Hetzner Online GmbH installimage

source /etc/network/interfaces.d/*

auto lo
iface lo inet loopback
iface lo inet6 loopback

auto enp4s0
iface enp4s0 inet static
  address 176.XX.XX.XX
  netmask 255.255.255.224
  gateway 176.XX.XX.XX
  # route 176.XX.XX.XX/27 via 176.XX.XX.XX
  up route add -net 176.XX.XX.XX netmask 255.255.255.224 gw 176.XX.XX.XX dev enp4s0

iface enp4s0 inet6 static
  address 2a01:XXX:XXX:XXX::XX
  netmask 64
  gateway fe80::1

MattProd

Hello @bonsoir,

Bon on va adapter ton fichier,

source /etc/network/interfaces.d/*

auto lo
iface lo inet loopback

iface lo inet6 loopback

auto enp2s0
iface enp2s0 inet static
        address  144.76.XX.XX
        netmask  255.255.255.224
        gateway  144.76.234.225
        up route add -net 144.76.234.224 netmask 255.255.255.224 gw 144.76.234.225 dev enp2s0
# route 144.76.234.224/27 via 144.76.234.225

iface enp2s0 inet6 static
        address  2a01:xxx:xxx:xxx::2
        netmask  128 
        gateway  fe80::1

auto vmbr0
iface vmbr0 inet static
        address  144.76.xxx.yyy ( la meme que ton serveur )
        netmask  255.255.255.255
        bridge-ports none
        bridge-stp off
        bridge-fd 0
        bridge_maxwait 0
        pre-up brctl addbr vmbr0
        

iface vmbr0 inet6 static
        address  2a01:4f8:xxx:xxx::2 pareil ici
        netmask  64

auto vmbr1
iface vmbr1 inet static
        address  10.20.30.1
        netmask  255.255.255.0
        bridge-ports none
        bridge-stp off
        bridge-fd 0
        post-up iptables -t nat -A POSTROUTING -s '10.20.30.0/24' -o vmbr0 -j MASQUERADE
        post-down iptables -t nat -D POSTROUTING -s '10.20.30.0/24' -o vmbr0 -j MASQUERADE

SkillFr

MattProd dans ton exemple tu a une IP failover en plus de celle de base ? Chez hertzner j'ai jamais vu que c'était possible !

MattProd

alors j'ai une coquille dans le fichier, mais apres chez hetzner j'ai déjà installé sur des serveurs :
des ip FO, des ip singles, des subnets

Par contre là où je peche c'est hetzner + proxmox + pfsense sur une seul ip
pour l'ip FO faut pas faire de requete d'adresse mac

SkillFr

MattProd
Ok ok

Si @bonsoir n'a qu'une seule IP alors il n'as pas le choix, il doit avoir une VM pfsense pour créé un réseau local en interne !

MattProd

Oui je viens de remarquer qu'une de mes vieilles combines ne marchent plus.
Ca va me permettre de me remettre dans le bain et de mettre en pratique le tuto de Zwindler.

SkillFr

MattProd effectivement il fonctionne bien je l'ai testé dans le cadre d'un projet.

Attention a l'utilisation des cartes réseaux para virtio privilégiez la e1000 pas besoin de pilote

Sinon plus infos ici

bonsoir

merci pour toute vos réponse !

MattProd

Pour les virtio j'ai pas eu de soucis hormis sur windows où de toute facon il faut aller chercher le petit disque avec les drivers 😉 pour d'autres périphérique.

@SkillFr Je vais me pencher sur le truc aujourd'hui mais @bonsoir rencontre un problème avec le fichier iptables à priori.
Tu as une idée ?
Merci

Matt
PS : @SkillFr j'avais utilisé ça pendant un temps, à force de m'arracher les cheveux avec pfsense

SkillFr

MattProd j'ai vu, mais avec pfsense tu fait ce que tu veux (routage, vpn, blockage ...)

@bonsoir regarde ici et la

MattProd

il a suivi le tuto mais quand il arrive au fichier iptables le truc coupe tout, pas la premiere fois qu'on m'en parles.
Du coup je teste le tuto comme il est fait...

MattProd

#!/bin/sh
    # ---------
    # VARIABLES
    # ---------
## Proxmox bridge holding Public IP
PrxPubVBR="vmbr0"
## Proxmox bridge on VmWanNET (PFSense WAN side) 
PrxVmWanVBR="vmbr1"
## Proxmox bridge on PrivNET (PFSense LAN side) 
PrxVmPrivVBR="vmbr2"
## Network/Mask of VmWanNET
VmWanNET="10.0.0.0/30"
## Network/Mmask of PrivNET
PrivNET="192.168.9.0/24"
## Network/Mmask of VpnNET
VpnNET="10.2.2.0/24"
## Public IP => Set your own
PublicIP="xx.xx.xx.xx"
## Proxmox IP on the same network than PFSense WAN (VmWanNET)
ProxVmWanIP="10.0.0.1"
## Proxmox IP on the same network than VMs
ProxVmPrivIP="192.168.9.1"
## PFSense IP used by the firewall (inside VM)
PfsVmWanIP="10.0.0.2"
    # ---------------------
    # CLEAN ALL & DROP IPV6
    # ---------------------
### Delete all existing rules.
iptables -F
iptables -t nat -F
iptables -t mangle -F
iptables -X
### This policy does not handle IPv6 traffic except to drop it.
ip6tables -P INPUT DROP
ip6tables -P OUTPUT DROP
ip6tables -P FORWARD DROP
    

# --------------
# DEFAULT POLICY
# --------------
### Block ALL !
iptables -P OUTPUT DROP
iptables -P INPUT DROP
iptables -P FORWARD DROP
    # ------
    # CHAINS
    # ------
### Creating chains
iptables -N TCP
iptables -N UDP
# UDP = ACCEPT / SEND TO THIS CHAIN
iptables -A INPUT -p udp -m conntrack --ctstate NEW -j UDP
# TCP = ACCEPT / SEND TO THIS CHAIN
iptables -A INPUT -p tcp --syn -m conntrack --ctstate NEW -j TCP
    # ------------
    # GLOBAL RULES
    # ------------
# Allow localhost
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
# Don't break the current/active connections
iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
# Allow Ping - Comment this to return timeout to ping request
iptables -A INPUT -p icmp --icmp-type 8 -m conntrack --ctstate NEW -j ACCEPT
    # --------------------
    # RULES FOR PrxPubVBR
    # --------------------
### INPUT RULES
# ---------------
# Allow SSH server
iptables -A TCP -i $PrxPubVBR -d $PublicIP -p tcp --dport 22 -j ACCEPT
# Allow Proxmox WebUI
iptables -A TCP -i $PrxPubVBR -d $PublicIP -p tcp --dport 8006 -j ACCEPT
### OUTPUT RULES
# ---------------
# Allow ping out
iptables -A OUTPUT -p icmp -j ACCEPT
### Proxmox Host as CLIENT
# Allow HTTP/HTTPS
iptables -A OUTPUT -o $PrxPubVBR -s $PublicIP -p tcp --dport 80 -j ACCEPT
iptables -A OUTPUT -o $PrxPubVBR -s $PublicIP -p tcp --dport 443 -j ACCEPT
# Allow DNS
iptables -A OUTPUT -o $PrxPubVBR -s $PublicIP -p udp --dport 53 -j ACCEPT
### FORWARD RULES
# ----------------
### Redirect (NAT) traffic from internet 
# All tcp to PFSense WAN except 21153, 8006
iptables -A PREROUTING -t nat -i $PrxPubVBR -p tcp --match multiport ! --dports 22,8006 -j DNAT --to $PfsVmWanIP
# All udp to PFSense WAN
iptables -A PREROUTING -t nat -i $PrxPubVBR -p udp -j DNAT --to $PfsVmWanIP
# Allow request forwarding to PFSense WAN interface
iptables -A FORWARD -i $PrxPubVBR -d $PfsVmWanIP -o $PrxVmWanVBR -p tcp -j ACCEPT
iptables -A FORWARD -i $PrxPubVBR -d $PfsVmWanIP -o $PrxVmWanVBR -p udp -j ACCEPT
# Allow request forwarding from LAN
iptables -A FORWARD -i $PrxVmWanVBR -s $VmWanNET -j ACCEPT
### MASQUERADE MANDATORY
# Allow WAN network (PFSense) to use vmbr0 public adress to go out
iptables -t nat -A POSTROUTING -s $VmWanNET -o $PrxPubVBR -j MASQUERADE

Si tu vois où sa plante ? là je pêche :/

SkillFr

MattProd donne moi déjà les infos, a tu suivi le tuto a la lettre ou tu a choisi d'autre IP ? ( Si tu a changé il me faut les fichier de config et les IP )

mon /etc/network/interfaces

mon firewall iptables

mon /etc/init.d/kvm-networking-up.sh
#!/bin/sh echo 1 > /proc/sys/net/ipv4/ip_forward ip route change 192.168.1.0/24 via 10.0.0.2 dev vmbr1

MattProd

SkillFr non je m'écarte pas hormis le port ssh et pas de clé.

Franchement je préfère prendre une ip en plus 😅😂 pour .84 cts

SkillFr

MattProd

compare avec mes fichiers sur le post précédent ! (ip supp c'est bien mais si tu veux te faire un lab ça va te coûter cher)

MattProd

Bon je vais lire, mais il manque des lignes de mon côté effectivement.
Son tuto manque d'explication et je suis une brêle sur iptables 😂

C'est tout bon !

Oh j'ai un LAB avec 2 subnets 12euros pour 14 ips + le subnet /64 de hetzner + subnet /64 et /48 de Hurricane.
Des vms/ct en direct d'autres derriere un pfsense avec son ip publique.
Après je disais au moins 1 ip pour pfsense donc 1e max ca se tente 😉

Merci encore @SkillFr