Proxmox - compartilhamento de armazenamento entre VMs em diferentes sub-redes

Question

Tenho uma dúvida sobre como posso compartilhar um disco entre diferentes sub-redes da rede doméstica (por exemplo, 192.168.1.1 e 10.0.0.1) para diferentes VMs. Dentro das mesmas sub-redes da rede eu coloquei apenas um armazenamento NFS, mas como posso configurar para que ele também seja alcançável por sub-redes diferentes?

Eu quero hospedar um site, mas, para segurança, incluo uma sub-rede de rede separada em todos os outros dispositivos em casa. No entanto, de alguma forma, ainda preciso compartilhar o armazenamento ou pelo menos uma pasta.

Mesmo com o Nextcloud, quero ter isso em uma sub-rede separada, mas ainda assim estar acessível à minha sub-rede principal. Apenas para que haja alguma segurança e separação em relação à minha rede doméstica em relação ao que é exposto à internet.

Meu servidor executa o Proxmox 5.1, atualmente apenas LXC, mas para o site hospedado externamente e Nextcloud, estou planejando instalar duas VMs separadas que usam duas pontes virtuais diferentes (o firewall é pfsense, outra VM no Proxmox).

Espero que faça sentido, obrigado pela sua ajuda!

    

Answer 1

Muito para resolver, mas deixe-me tentar. Primeiro: se todos os hosts em questão (VMs) usarem a mesma VM pfSense como seu gateway padrão, o pfSense saberá rotear o tráfego nas duas direções. Em seguida: você adicionou regras de firewall para permitir o tráfego? O pfSense tem algumas regras padrão para (1) WAN + (1) LAN permitir todas as saídas de LAN, mas qualquer interface OPT que você adicionar vem com uma regra de Negação padrão. Se o tráfego for permitido, uma solicitação explícita para um host / serviço específico deve funcionar, mas saiba que o tráfego de difusão (publicidade de serviço / descoberta de rede) será bloqueado. Sub-redes separadas = domínios de broadcast separados. Para a transferência de arquivos para o seu servidor web, eu recomendo que você considere o sftp (ftp sobre ssh) em vez do NFS em seu host acessível pela Internet, a menos que tenha certeza de que restringiu o acesso somente de sua LAN. Quanta segurança você recebe ao colocar os hosts em sub-redes separadas depende do que você configura nas regras de firewall do pfSense: se você permitir tudo, então você bloqueou apenas a descoberta automática de rede: basicamente segurança através da obscuridade. O benefício de segurança ocorre quando você permite apenas as comunicações necessárias. Nesse caso, espero que você permita conexões de sua 'LAN' para o host da Web, mas não permita nada iniciado na direção inversa. A menos que você PRECISA de tudo isso em uma caixa, para uma configuração inicial, eu quero uma caixa dedicada para o firewall pfSense, em vez de expor uma interface física ProxMox à Internet. Eu não estou dizendo que você não pode fazer isso. Eu tenho. Eu tenho uma caixa Debian instalada em um datacenter rodando KVM / QEMU com pfSense em uma VM rodando OpenVPN, e algumas VMs LAN e DMZ: basicamente era uma LAN de escritório do cliente, e elas eram pequenas o suficiente para fechar seus tijolos e argamassa e agora todo mundo trabalha em casa. Foi um exercício divertido, mas acho que não vou fazer de novo.