---
title: "ProxmoxVE6.x 防火墙示例"
id: "322"
type: "post"
slug: "proxmoxve6-%e9%9b%86%e7%be%a4%e9%98%b2%e7%81%ab%e5%a2%99%e7%a4%ba%e4%be%8b"
published_at: "2020-09-03T14:07:44+00:00"
modified_at: "2020-09-03T15:43:49+00:00"
url: "https://www.hitsword.org/2020/322.html"
markdown_url: "https://www.hitsword.org/2020/322.md"
excerpt: "参考ProxmoxVE6.x 默认防火墙规则,除去PVE默认已开放的流量,作出以下配置. 集群结构： 集群防火 […]"
taxonomy_category:
  - "Proxmox"
taxonomy_post_tag:
  - "ARP"
  - "Proxmox"
  - "防火墙"
---

# ProxmoxVE6.x 防火墙示例

**参考[ProxmoxVE6.x 默认防火墙规则](https://www.hitsword.org/2020/311.html),除去PVE默认已开放的流量,作出以下配置.**  
 **集群结构：**

```
本地网 : vmbr0 网段:192.168.88.0/24 网关:192.168.88.254
集群网 : vmbr1 网段:192.168.34.0/24 网关:无
存储网 : vmbr2 网段:192.168.35.0/24 网关:无
使用Ceph : 是
```

  
**集群防火墙：**  
```
cat /etc/pve/firewall/cluster.fw
[OPTIONS]
enable: 1
[ALIASES]
corosync_network 192.168.34.0/24 # 集群网192.168.34.0/24
local_network 192.168.88.0/24 # 本地网192.168.88.0/24
storage_network 192.168.35.0/24 # 存储网192.168.35.0/24
[IPSET blacklist] # 默认集-黑名单
[IPSET management] # 默认集-管理
corosync_network
local_network
storage_network
[RULES]
GROUP main # 全局引用-主组
GROUP storage # 全局引用-存储组
[group main] # 主要组
IN ACCEPT -dest local_network -p tcp -dport 8006 -log nolog # 公网访问WEB
IN SSH(ACCEPT) -dest local_network -log nolog # 公网访问SSH
[group storage] # 存储组
IN Ceph(ACCEPT) -source storage_network -dest storage_network -log nolog
```

  
**VMID100防火墙：**  
```
cat /etc/pve/firewall/100.fw
[OPTIONS]
enable: 1
#开启MAC过滤,开启MAC过滤后虚拟机里改变MAC网络会不通.防止ARP攻击
macfilter: 1
#开启IP自动过滤(放行根据MAC生成的IPV6地址和关联的IP)
ipfilter: 1
#放行IN流量
policy_in: ACCEPT
[IPSET ipfilter-net0] # IP手动过滤(上面自动过滤不开启也生效)
#net0网卡只允许192.168.88.55流量,防止虚拟机盗用IP
192.168.88.55
```

**允许使用FTP**

```
echo "ip_conntrack_ftp" >> /etc/modules
modprobe ip_conntrack_ftp
```