+7 (495) 320-70-49
- Назад
- Телефоны
- +7 (495) 320-70-49
- Заказать звонок
info@proxmox.su
Москва, Бакунинская улица, 69с1
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Мой файл "pveproxy" не работает., Proxmox Виртуальная Среда

dominikdev

Guest

28.01.2021 21:10:00

Привет, у меня небольшая проблема. Я пытался отключить доступ к веб-панели Proxmox по IP-адресу и включить его для моего домена. Как я видел на сайте Proxmox (https://pve.proxmox.com/pve-docs/pveproxy.8.html), можно создать файл pveproxy для управления доступом на основе хоста. Я настроил обратный прокси nginx, который указывает на 127.0.0.1:8006, и создал файл pveproxy со следующим содержимым:
Код:
ALLOW_FROM="127.0.0.1"
DENY_FROM="all"
POLICY="allow"

Затем я перезапустил pveproxy. Но почему-то я всё ещё могу зайти в веб-интерфейс по IP-адресу. Кто-нибудь знает, в чём может быть причина?
Привет!

Stoiko Ivanov

Guest

03.05.2021 09:49:00

Похоже, это баг — я внимательно проверю. У меня получилось воспроизвести проблему с кодом: ALLOW_FROM="127.0.0.1"
DENY_FROM="all"
POLICY="allow"

Согласно https://pve.proxmox.com/pve-docs/pveproxy.8.html, доступ должен быть запрещён для всего, кроме 127.0.0.1. Я бы предложил сменить политику на deny и убрать строку DENY_FROM (у меня так работает в тестах). Пожалуйста, проверь вывод iptables-save, как там настроено это правило — сомневаюсь, что есть какая-то общая проблема с фильтрацией iptables. Надеюсь, это поможет.

ПРИМЕЧАНИЕ: после первого сообщения понял, что это действительно баг...

ph0x

Guest

03.05.2021 13:21:00

Слава богу, потому что я уже перепробовал дюжину вариантов, и вне зависимости от настроек ALLOW_FROM так и не работает. Попробую обойти это с помощью твоего совета.
Редактирование: К сожалению, твой обходной путь тоже не помогает. ALLOW_FROM все равно игнорируется, и каждому клиенту выдается отказ с policy="deny".
Редактирование 2: команда iptables-save | grep 8006 разрешает входящие с группы management (которую я даже не определял) и исходящие в подсеть management. Значит, правила, разрешающие трафик с любых клиентов на 8006, нет, но при этом это почему-то все равно работает...

Stoiko Ivanov

Guest

04.05.2021 13:14:00

Спасибо, что указали на это, и извиняюсь за свою путаницу (и за то, что упрямо настаивал, что всё работает). Думаю, я нашёл проблему и отправил первоначальный патч для обсуждения в рассылку: https://lists.proxmox.com/pipermail/pve-devel/2021-May/048048.html. Как только этот патч или его улучшенная версия будут влиты, ACL должны работать как прежде! Советую проверить полный вывод — поиск по порту показывает лишь часть ситуации. Например, вы не увидите, какая политика у каждой цепочки, и если есть правило общего разрешения ниже, оно может пропускать трафик. Надеюсь, это поможет!

ph0x

Guest

04.05.2021 14:31:00

Спасибо за оперативную поддержку. И не переживайте, я представляю, как часто «худший сценарий» оказывается всего лишь проблемой с настройками, поэтому вы сначала относитесь к таким сообщениям спокойно. Я посмотрю настройки файервола и, если что, открою новую тему. Уже почти уверен, что не напутал с настройками, но посмотрим. Ещё раз спасибо!

Stoiko Ivanov Guest	#6 0 22.02.2021 17:42:00 Как вы проверяете доступ к «IP»? Какой результат команды: curl https://<PVE-IP>:8006/ (запущенной с клиента, не с самой установки PVE, где строки записываются в /var/log/pveproxy/access.log)?

ph0x

Guest

28.04.2021 23:10:00

Я могу это воспроизвести. В журнале доступа отображается:
Code: ::ffff:172.16.10.100 - root@pam [28/04/2021:23:08:21 +0200] "GET /api2/json/cluster/resources HTTP/1.1" 200 2221

Я уже пробовал использовать нотацию v4-in-v6 в /etc/default/pveproxy, но это тоже не дало результата.

Спойлер: /etc/default/pveproxy
Code:
ALLOW_FROM="::ffff:127.0.0.1,::ffff:172.16.10.10,::ffff:172.16.10.11,::ffff:172.16.10.12"
DENY_FROM="all"
POLICY="allow"
CIPHERS="TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:DHE-RSA-AES256-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES256-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES128-SHA:DHE-RSA-AES128-SHA:AES256-GCM-SHA384:AES128-GCM-SHA256:AES256-SHA256:AES128-SHA256:AES256-SHA:AES128-SHA"
DHPARAMS="/etc/pve/pveproxy.dh"

Кстати, если установить политику в "deny", то это блокирует и адреса из ALLOW_FROM... И ещё: порт 8006 в pve-firewall ограничен только для участников кластера. Но с других машин всё равно работает...

oguz

Guest

29.04.2021 16:38:00

ALLOW_FROM сейчас работает только с обычной IP-нотацией. Запись v4-in-v6 используется только для логов и опционально для LISTEN_IP (хотя LISTEN_IP принимает и обычный IPv4, и IPv6-адреса). Судя по всему, исходная проблема, скорее всего, связана с конфигурацией nginx proxy.

Код:
ALLOW_FROM="127.0.0.1"
DENY_FROM="all"
POLICY="allow" здесь работает без nginx proxy.

[0]: https://pve.proxmox.com/pve-docs/pveproxy.8.html#_listening_ip

ph0x Guest	#9 0 29.04.2021 19:13:00 Раньше я пробовал с традиционной нотацией, тоже не вышло. Сегодня вечером попробую без прокси и отпишусь. Это всё ещё нужно решить, особенно правило фаервола, которое игнорируется.

ph0x

Guest

#10

29.04.2021 21:48:00

Я отключил сервис nginx, отредактировал файл /etc/default/pveproxy, чтобы использовать нотацию v4, и перезапустил сервис pveproxy. Ошибка осталась: при политике «allow» любой компьютер может зайти в GUI, хотя это запрещено в файле pveproxy И в pve-firewall. При политике «deny» даже разрешённые машины не могут получить доступ к GUI или увидеть статусы виртуальных машин.

ph0x Guest	#11 0 01.05.2021 17:32:00 @oguz @Stoiko Ivanov, есть ли ценные замечания со стороны разработчиков? Может, это баг?

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры