http://proxmox.su Новое в теме SDN SNAT не работает при включённом кластерном фаерволе форума Proxmox Виртуальная Среда на сайте Аспро: ЛайтШоп [proxmox.su] ru http://backend.userland.com/rss2 Thu, 15 Oct 2026 03:22:52 +0300 SDN SNAT не работает при включённом кластерном фаерволе Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
Извините, я ошибся — это уже добавлено. Я внимательнее посмотрю, когда уляжется весь шум вокруг выхода PVE 9.
30.07.2025 16:08:00, shanreich.]]> http://proxmox.su/forum/messages/forum63/message335411/79166-sdn-snat-ne-rabotaet-pri-vklyuchyennom-klasternom-faervole http://proxmox.su/forum/messages/forum63/message335411/79166-sdn-snat-ne-rabotaet-pri-vklyuchyennom-klasternom-faervole Wed, 30 Jul 2025 16:08:00 +0300 Proxmox Виртуальная Среда SDN SNAT не работает при включённом кластерном фаерволе Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
Ага, понял, спасибо. Я был уверен, что это поддерживается. Факт, что интерфейс не скрывает отключённые или неактуальные функции, иногда может сильно путать.
30.07.2025 16:07:00, darragh.]]> http://proxmox.su/forum/messages/forum63/message335410/79166-sdn-snat-ne-rabotaet-pri-vklyuchyennom-klasternom-faervole http://proxmox.su/forum/messages/forum63/message335410/79166-sdn-snat-ne-rabotaet-pri-vklyuchyennom-klasternom-faervole Wed, 30 Jul 2025 16:07:00 +0300 Proxmox Виртуальная Среда SDN SNAT не работает при включённом кластерном фаерволе Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
извиняюсь, неправильно информацию дал
30.07.2025 16:00:00, shanreich.]]> http://proxmox.su/forum/messages/forum63/message335409/79166-sdn-snat-ne-rabotaet-pri-vklyuchyennom-klasternom-faervole http://proxmox.su/forum/messages/forum63/message335409/79166-sdn-snat-ne-rabotaet-pri-vklyuchyennom-klasternom-faervole Wed, 30 Jul 2025 16:00:00 +0300 Proxmox Виртуальная Среда SDN SNAT не работает при включённом кластерном фаерволе Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
Я действительно думал, что FRR доступен для понимания, и мне довольно понравилось изучать оба варианта. Моя проблема сейчас в том, что каждый день, когда я отвлекаюсь, — это ещё один день задержки запуска моего приложения. По поводу документации — согласен. Она неплохая, но я бы очень хотел:  
- Серии подробных видео, объясняющих, как Proxmox работает изнутри  
- Серии подробных видео для каждого нового релиза с фичами  

Не нужно ничего приукрашивать, просто технический гайд, по которому можно быстро пройтись.
30.07.2025 15:59:00, darragh.]]> http://proxmox.su/forum/messages/forum63/message335408/79166-sdn-snat-ne-rabotaet-pri-vklyuchyennom-klasternom-faervole http://proxmox.su/forum/messages/forum63/message335408/79166-sdn-snat-ne-rabotaet-pri-vklyuchyennom-klasternom-faervole Wed, 30 Jul 2025 15:59:00 +0300 Proxmox Виртуальная Среда SDN SNAT не работает при включённом кластерном фаерволе Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
Когда я тестировал это, у меня было 2 выходных узла с основным выходным узлом. Я тщательно проверял разные конфигурации EVPN, чтобы решить эту проблему. И настроил более свободные правила PVE-файрвола. Логировал все “марсианские” пакеты и настроил rp_filter. Но, как я уже упоминал, оказалось, что iptables каким-то образом блокировал пересылку обратного трафика (при том что у меня не было никаких кастомных правил iptables). А ручная команда "iptables -I FORWARD 1 -j ACCEPT" позволила пропускать обратный трафик. Насколько я понимаю, iptables и rp_filter работают по разной логике, так что правила файрвола были как-то неправильно настроены. Мои знания не идеальны, возможно, я что-то упустил. Но я думал, что EVPN SNAT будет работать сразу из коробки, а в моём случае так не получилось.
30.07.2025 15:39:00, darragh.]]> http://proxmox.su/forum/messages/forum63/message335407/79166-sdn-snat-ne-rabotaet-pri-vklyuchyennom-klasternom-faervole http://proxmox.su/forum/messages/forum63/message335407/79166-sdn-snat-ne-rabotaet-pri-vklyuchyennom-klasternom-faervole Wed, 30 Jul 2025 15:39:00 +0300 Proxmox Виртуальная Среда SDN SNAT не работает при включённом кластерном фаерволе Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
У вас несколько выходных узлов? В этом случае нужно настроить опцию rp_filter, так как обратный трафик может приходить через любой из выходных узлов. [1] [1] https://pve.proxmox.com/pve-docs/pve-admin-guide.html#_multiple_evpn_exit_nodes
30.07.2025 10:38:00, shanreich.]]> http://proxmox.su/forum/messages/forum63/message335406/79166-sdn-snat-ne-rabotaet-pri-vklyuchyennom-klasternom-faervole http://proxmox.su/forum/messages/forum63/message335406/79166-sdn-snat-ne-rabotaet-pri-vklyuchyennom-klasternom-faervole Wed, 30 Jul 2025 10:38:00 +0300 Proxmox Виртуальная Среда SDN SNAT не работает при включённом кластерном фаерволе Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
Настроить EVPN оказалось довольно просто, как только разобрался — под капотом там просто FRR. Документация, правда, оставляет желать лучшего, нужны примеры из лабораторных условий и сценарии взаимодействия. Сейчас у нас это работает с коммутаторами Dell OS10 и внешней маршрутизацией без SNAT.
29.07.2025 21:13:00, Tourman36.]]> http://proxmox.su/forum/messages/forum63/message335405/79166-sdn-snat-ne-rabotaet-pri-vklyuchyennom-klasternom-faervole http://proxmox.su/forum/messages/forum63/message335405/79166-sdn-snat-ne-rabotaet-pri-vklyuchyennom-klasternom-faervole Tue, 29 Jul 2025 21:13:00 +0300 Proxmox Виртуальная Среда SDN SNAT не работает при включённом кластерном фаерволе Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
Вполне логично, спасибо, что упомянули. Я отказался от EVPN из-за этой проблемы, потому что меня удивило, что версия iptables была сломана, хотя я и не видел никаких предупреждений о том, что EVPN не готов для использования в продакшене, хотя, конечно, возможно, что я ошибался в этом. Казалось, что EVPN не слишком активно поддерживается и был для меня слишком рискованным, учитывая мои навыки. Обязательно вернусь к нему, как только nftables официально утвердят для продакшена.
29.07.2025 19:34:00, darragh.]]> http://proxmox.su/forum/messages/forum63/message335404/79166-sdn-snat-ne-rabotaet-pri-vklyuchyennom-klasternom-faervole http://proxmox.su/forum/messages/forum63/message335404/79166-sdn-snat-ne-rabotaet-pri-vklyuchyennom-klasternom-faervole Tue, 29 Jul 2025 19:34:00 +0300 Proxmox Виртуальная Среда SDN SNAT не работает при включённом кластерном фаерволе Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
У меня на продакшн-кластере работает EVPN с использованием nftables. С iptables была та же проблема — обратный трафик блокировался. Несколько месяцев назад я создавал по этому поводу тему, но просто включение этого режима решило все мои проблемы. Возможно, это всё ещё экспериментально, но стоит хотя бы проверить.
29.07.2025 19:25:00, Tourman36.]]> http://proxmox.su/forum/messages/forum63/message335403/79166-sdn-snat-ne-rabotaet-pri-vklyuchyennom-klasternom-faervole http://proxmox.su/forum/messages/forum63/message335403/79166-sdn-snat-ne-rabotaet-pri-vklyuchyennom-klasternom-faervole Tue, 29 Jul 2025 19:25:00 +0300 Proxmox Виртуальная Среда SDN SNAT не работает при включённом кластерном фаерволе Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
Я бы с радостью отказался от iptables, но в Proxmox прямо говорится, что nftables ещё не готов к работе в продуктивных средах, так что это небезопасный вариант.
29.07.2025 14:47:00, darragh.]]> http://proxmox.su/forum/messages/forum63/message335402/79166-sdn-snat-ne-rabotaet-pri-vklyuchyennom-klasternom-faervole http://proxmox.su/forum/messages/forum63/message335402/79166-sdn-snat-ne-rabotaet-pri-vklyuchyennom-klasternom-faervole Tue, 29 Jul 2025 14:47:00 +0300 Proxmox Виртуальная Среда SDN SNAT не работает при включённом кластерном фаерволе Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
Пробовали включить предварительный просмотр технологии nftables на каждом узле? У меня было много проблем с файрволом на роутерных виртуальных машинах, пока я это не сделал.
29.07.2025 05:56:00, Tourman36.]]> http://proxmox.su/forum/messages/forum63/message335401/79166-sdn-snat-ne-rabotaet-pri-vklyuchyennom-klasternom-faervole http://proxmox.su/forum/messages/forum63/message335401/79166-sdn-snat-ne-rabotaet-pri-vklyuchyennom-klasternom-faervole Tue, 29 Jul 2025 05:56:00 +0300 Proxmox Виртуальная Среда SDN SNAT не работает при включённом кластерном фаерволе Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
Та же проблема! Даже если удалить все правила фаервола на панели управления и установить политику по умолчанию на ACCEPT для входящего, исходящего и транзитного трафика, как только фаервол дата-центра включается, ответный трафик не может добраться до ВМ. Логика SNAT работает нормально, но правила iptables FORWARD блокируют ответный трафик еще до того, как он достигает ВМ. Если добавить в iptables такую команду, интернет работает: iptables -I FORWARD 1 -j ACCEPT. Но это явно слишком разрешительно, так что не случилась ли ошибка в реализации EVPN SNAT фаервола? Не хочется вносить ручные правки и рисковать нарушить безопасность.
23.06.2025 03:17:00, darragh.]]> http://proxmox.su/forum/messages/forum63/message335400/79166-sdn-snat-ne-rabotaet-pri-vklyuchyennom-klasternom-faervole http://proxmox.su/forum/messages/forum63/message335400/79166-sdn-snat-ne-rabotaet-pri-vklyuchyennom-klasternom-faervole Mon, 23 Jun 2025 03:17:00 +0300 Proxmox Виртуальная Среда SDN SNAT не работает при включённом кластерном фаерволе Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
Привет, @najimurad, ты решил эту проблему? У меня такая же ситуация: если я отключаю фаерволл DC, мой CT может пинговать внешний адрес, а если включаю — пинга нет. Я пытался создать правило ACCEPT ALL IN, но проблема осталась...
11.04.2025 18:26:00, tomatoschewps.]]> http://proxmox.su/forum/messages/forum63/message335399/79166-sdn-snat-ne-rabotaet-pri-vklyuchyennom-klasternom-faervole http://proxmox.su/forum/messages/forum63/message335399/79166-sdn-snat-ne-rabotaet-pri-vklyuchyennom-klasternom-faervole Fri, 11 Apr 2025 18:26:00 +0300 Proxmox Виртуальная Среда SDN SNAT не работает при включённом кластерном фаерволе Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
Всем привет! Экспериментирую с EVPN SDN. На некоторых Vnet включен SNAT. После нескольких пингов из контейнеров до 8.8.8.8, адрес становится недоступен только при включенном файрволе дата-центра. Весь исходящий трафик по умолчанию разрешён, не уверен, нужны ли для EVPN входящие правила на хостах, чтобы SNAT работал. Пробовал разрешить весь входящий трафик с подсетей Vnet — не помогло. Также пробовал явно разрешать исходящий трафик из этих подсетей — тоже без результата. Есть идеи, как это запустить? Заранее спасибо!
05.06.2024 20:26:00, najimurad.]]> http://proxmox.su/forum/messages/forum63/message335398/79166-sdn-snat-ne-rabotaet-pri-vklyuchyennom-klasternom-faervole http://proxmox.su/forum/messages/forum63/message335398/79166-sdn-snat-ne-rabotaet-pri-vklyuchyennom-klasternom-faervole Wed, 05 Jun 2024 20:26:00 +0300 Proxmox Виртуальная Среда