Sieć w Proxmox VE to mostek Linux plus, jeśli trzeba, VLAN i wbudowany firewall. Mostek spina fizyczną kartę sieciową z kartami w maszynach. Bez podziału na sieci wszystkie maszyny siedzą razem: środowisko testowe widzi bazę, a panel zarządzania jest w tej samej sieci co sklep.
Po co ten podział
Mostek z VLAN-ami stosujesz, gdy produkcja, testy, kopie i zarządzanie mają być osobnymi sieciami. Do panelu i SSH ma prowadzić tylko sieć administracyjna. Goście sklepu nie dostają trasy do portu 8006. Kopia ma osobny VLAN, żeby odtwarzanie nie zabierało pasma koszykowi.
Firewall w Proxmox filtruje na trzech poziomach: cały klaster, host i pojedyncza maszyna. To odpowiednik grup bezpieczeństwa w chmurze publicznej.
Jak to ustawić
Na węźle mostek dostaje fizyczny interfejs i listę VLAN-ów. Adres hosta zostawiasz w sieci zarządzania. Restart sieci robisz w oknie, z dostępem do konsoli serwera, bo błąd mostka odcina SSH.
Na karcie sieciowej maszyny ustawiasz tag VLAN produkcji albo testów. Baza nasłuchuje w sieci aplikacji, nie na wszystkich interfejsach od strony frontu.
W firewallu klastra włączasz politykę: ruch przychodzący domyślnie zablokowany, wychodzący dozwolony. Na węzłach otwierasz panel i SSH tylko ze skoku administracyjnego. Na maszynie sklepu: 80 i 443 od reverse proxy, nic wprost z internetu.
Szerszy opis warstwy sieci: on-prem.
W skrócie: sklep, baza, testy i panel nie powinny siedzieć w jednej sieci. Podział robisz na hoście, zanim gość zacznie skanować sąsiadów.