Discussion :

[rungis78-76]

Bonjour à tous,

Je viens demander de l'aide sur du paramétrage réseau.

Le contexte : j'ai un hyperviseur proxmox qui héberge des conteneurs et des VM en prod pour me fournir différents services (NAS, mediacenter, cloud, VPN, DNS local, site web en dev...) ainsi que des CT et des VM pour du test. Ce proxmox est derrière un routeur qui lui-même est derrière une box. Aujourd'hui toutes les VMs et tous les conteneurs ont une adresse IP fournie par le DHCP du routeur (IP du type 10.0.0.x/24)

L'objectif : créer un sous-réseau pour y mettre VM et conteneurs de tests. L'idée est que ces derniers aient accès à internet mais soient isolés du reste.

Ce que j'ai essayé : dans proxmox j'ai créé un bridge avec une adresse 10.0.1.x/24, un conteneur sous debian avec deux interfaces réseaux (une dans le réseau 10.0.0.x et une dans 10.0.1.x). Dans ce conteneur j'ai paramétré un DHCP qui fournit les adresses 10.0.1.x ainsi que le routage des paquets et le NAT qui vont bien.

Le résultat : mes VM reliés au routeur via l'interface en 10.0.1.x ont bien accès à internet mais ont aussi accès au reste du réseau (les machines en 10.0.0.x).

Du coup, je ne sais pas si le problème vient de proxmox ou de la debian qui fait office de routeur. Je penche pour la debian mais je ne m'y connais pas assez en paramétrage réseau (NAT, pare-feu ?).

Merci de votre aide

Rémi

[becket]

Salut,

Pour la faire courte, le comportement que tu décris est parfaitement normal étant donné que tu mets en route un routeur entre tes VM de TEST et ton réseau de production et que tu y configure un NAT pour que ton réseau de test puisse atteindre INTERNET. Du point de vue de la box / de ton réseau de prod, tout se passe comme si l'origine du trafic émanait de l'ip de ta VM DEBIAN/Routeur/GW. Celle ci ayant forcément une patte dans ton réseau de prod ... 1 + 1


Si tu veux interdire ce comportement, tu dois rajouter des règles dans le firewall de debian.

[chrtophe]

Depuis l'hôte du proxmox, tu peux créer des VLAN logiciels. Je ne me rappelle plus si on peut créer directement des VLAN depuis Proxmox ou non.

Si ton routeur le permet, tu peux aussi le faire depuis celui-ci, sous réserve d'avoir deux cartes réseau dans l'hôte.

[rungis78-76]

Merci à vous pour vos réponses.
J'avais tenté avec les VLAN dans proxmox mais les VLANs communiquaient entre eux je ne sais comment...

Par contre, j'ai un peu étudié le sujet et fais des tests avec pfSense et cela fonctionne bien.
Rungis