Jlarvers le 7 octobre 2026 à 13:36

2026-10-07T13:36:42Z

Jlarvers : Page créée avec « = Protection réseau du serveur Proxmox Beotos3 = == Objectif == Le serveur physique '''Beotos3''' est directement connecté à Internet et possède une adresse IPv4 pub... »

2026-10-07T13:35:58Z

Page créée avec « = Protection réseau du serveur Proxmox Beotos3 = == Objectif == Le serveur physique '''Beotos3''' est directement connecté à Internet et possède une adresse IPv4 pub... »

Nouvelle page

= Protection réseau du serveur Proxmox Beotos3 =

== Objectif ==

Le serveur physique '''Beotos3''' est directement connecté à Internet et possède une adresse IPv4 publique.

Il héberge notamment des services Proxmox et fournit un stockage NFS utilisé par Saturne3.

Un contrôle du serveur a montré que plusieurs services système, notamment RPC/rpcbind, étaient directement accessibles depuis Internet et faisaient l'objet de très nombreuses connexions provenant d'adresses IP publiques inconnues.

L'objectif de cette configuration est donc :

* de conserver l'adresse IP publique de Beotos3 ;
* de conserver la possibilité d'utiliser Beotos3 comme serveur de secours d'Eole3 ;
* d'autoriser uniquement les flux réellement nécessaires ;
* de bloquer les services RPC/NFS inutiles depuis Internet ;
* de conserver les accès d'administration ;
* de conserver la supervision Centreon ;
* de conserver le montage NFS utilisé par Saturne3.

== Configuration réseau ==

Beotos3 possède deux interfaces réseau principales.

=== Réseau public ===

<pre>
Interface physique : enp9s0f0np0
Bridge Proxmox : vmbr0
IPv4 publique : 51.210.192.214/32
Passerelle : 100.64.0.1
</pre>

Cette interface '''doit être conservée'''.

Elle permet l'administration de Beotos3 depuis Internet et sera également nécessaire en cas de bascule des services d'Eole3 vers Beotos3.

=== Réseau privé ===

<pre>
Interface physique : enp9s0f1np1
Bridge Proxmox : vmbr1
IPv4 privée : 192.168.123.104/24
</pre>

Le réseau privé utilisé entre les serveurs est :

<pre>
192.168.123.0/24
</pre>

Eole3 utilise notamment :

<pre>
192.168.123.202
</pre>

== Pare-feu Proxmox ==

Beotos3 utilise le pare-feu historique Proxmox :

<pre>
pve-firewall
</pre>

Le moteur nftables « preview » de Proxmox VE 9 n'est pas utilisé.

Dans l'interface Proxmox :

<pre>
Datacenter
-> Firewall
-> Options
-> Firewall = Yes
</pre>

et :

<pre>
beotos3
-> Firewall
-> Options
-> Firewall = Yes
-> nftables (preview) = No
</pre>

La politique entrante est :

<pre>
Input Policy : DROP
</pre>

La politique sortante reste :

<pre>
Output Policy : ACCEPT
</pre>

Ainsi, Beotos3 peut continuer à initier librement ses sauvegardes, synchronisations, mises à jour, connexions vers Eole3, PBS4, etc.

En revanche, une connexion entrante doit être explicitement autorisée.

== Règles entrantes autorisées ==

Les règles spécifiques du serveur sont enregistrées par Proxmox dans :

<pre>
/etc/pve/nodes/beotos3/host.fw
</pre>

Les autorisations mises en place sont les suivantes.

{| class="wikitable"
! Source
! Protocole
! Port
! Utilisation
|-
| 109.190.129.96
| TCP
| 22
| Administration SSH AJLSM
|-
| 109.190.129.96
| TCP
| 8006
| Interface Web Proxmox AJLSM
|-
| 192.168.123.0/24
| TCP
| 22
| SSH depuis le réseau privé
|-
| 192.168.123.0/24
| TCP
| 8006
| Interface Proxmox depuis le réseau privé
|-
| 192.168.123.0/24
| TCP
| 3128
| SPICE Proxmox depuis le réseau privé
|-
| 141.95.206.118
| TCP
| 2049
| NFS Saturne3
|-
| 51.83.117.105
| UDP
| 161
| Supervision SNMP Centreon
|-
| 10.0.0.16
| UDP
| 161
| Supervision SNMP Centreon réseau privé
|-
| Internet
| ICMP
| -
| Ping / supervision, notamment monitoring OVH
|}

Tout autre trafic entrant est bloqué par défaut.

== Accès SSH ==

L'accès SSH root est conservé mais l'authentification par mot de passe a été désactivée.

Configuration effective :

<pre>
PermitRootLogin yes
PubkeyAuthentication yes
PasswordAuthentication no
KbdInteractiveAuthentication no
</pre>

L'accès SSH public est en plus limité par le pare-feu à :

<pre>
109.190.129.96
</pre>

La sécurité repose donc sur deux niveaux :

# filtrage de l'adresse IP source par le pare-feu ;
# authentification SSH par clé publique.

== Protection de NFS et RPC ==

Saturne3 monte le stockage de Beotos3 en NFSv4.2 :

<pre>
51.210.192.214:/data-backup/pbs/import-saturne3/vz/dump
</pre>

La source autorisée est exclusivement :

<pre>
141.95.206.118
</pre>

et le port autorisé est :

<pre>
TCP/2049
</pre>

NFSv4.2 permet ce fonctionnement sans exposer rpcbind et les ports RPC dynamiques sur Internet.

Les services suivants peuvent continuer à écouter localement sur Beotos3, mais ils ne sont plus accessibles librement depuis Internet :

<pre>
TCP/UDP 111 rpcbind
rpc.mountd
rpc.statd
nlockmgr
ports RPC dynamiques
</pre>

Avant l'activation du pare-feu, environ 200 connexions TCP étaient simultanément établies depuis différentes adresses Internet vers rpcbind sur TCP/111.

Les nouvelles connexions sont désormais bloquées par la politique INPUT DROP.

== Vérifications réalisées après activation ==

Le fonctionnement du pare-feu a été contrôlé avec :

<pre>
pve-firewall status
systemctl is-active pve-firewall
</pre>

Résultat attendu :

<pre>
Status: enabled/running
active
</pre>

Une nouvelle connexion SSH a été ouverte après activation du pare-feu.

L'interface Web Proxmox sur TCP/8006 a également été testée.

=== Test NFS ===

Depuis Saturne3 :

<pre>
touch /mnt/pve/beotos3-import-saturne3/.fw-test
rm /mnt/pve/beotos3-import-saturne3/.fw-test
</pre>

Le test de lecture/écriture NFS a réussi.

Les connexions observées sur Beotos3 sont :

<pre>
51.210.192.214:2049 -> 141.95.206.118
</pre>

=== Test SNMP ===

Une capture réseau a confirmé une interrogation Centreon :

<pre>
51.83.117.105 -> 51.210.192.214:161/UDP
</pre>

ainsi que la réponse SNMP de Beotos3.

=== Test du filtrage ===

Les compteurs iptables de la chaîne PVEFW-HOST-IN ont montré une augmentation rapide des paquets rejetés après activation du pare-feu.

Cela confirme que les nouvelles tentatives de connexion provenant d'Internet sont effectivement filtrées.

== ICMP et monitoring OVH ==

Après la première activation du pare-feu, OVH a signalé Beotos3 comme inaccessible car les requêtes ICMP utilisées par son monitoring étaient bloquées.

Une règle ICMP entrante a donc été ajoutée.

La compilation du pare-feu doit contenir :

<pre>
-A PVEFW-HOST-IN -p icmp -j RETURN
</pre>

Le ping public reste donc autorisé sans ouvrir de service TCP ou UDP supplémentaire.

== Vérification de la configuration avant modification ==

Avant toute modification importante, il est possible de vérifier les règles que Proxmox va réellement appliquer avec :

<pre>
pve-firewall compile
</pre>

Pour contrôler les principales adresses autorisées :

<pre>
pve-firewall compile | grep -E \
'109\.190\.129\.96|192\.168\.123\.0/24|141\.95\.206\.118|51\.83\.117\.105|10\.0\.0\.16'
</pre>

Il est recommandé de toujours effectuer cette vérification '''avant''' une modification susceptible de couper l'accès SSH.

== Procédure de sécurité lors d'une modification du pare-feu ==

Lors d'une modification importante :

# conserver une session SSH déjà ouverte ;
# vérifier la compilation avec <code>pve-firewall compile</code> ;
# prévoir si nécessaire un rollback automatique ;
# appliquer la modification ;
# ouvrir une '''nouvelle''' connexion SSH pour tester ;
# tester l'interface Proxmox ;
# tester NFS Saturne3 ;
# vérifier Centreon ;
# seulement ensuite supprimer le rollback.

Cette précaution est particulièrement importante car Beotos3 est un serveur physique distant directement connecté à Internet.

== PRA Eole3 vers Beotos3 ==

Beotos3 conserve volontairement son interface publique et son adresse :

<pre>
51.210.192.214
</pre>

En fonctionnement normal :

<pre>
eole3.ajlsm.com -> 51.178.110.230 -> Eole3
</pre>

En cas de défaillance d'Eole3, le principe du PRA est de pouvoir modifier le DNS afin d'orienter les services vers Beotos3 :

<pre>
eole3.ajlsm.com -> 51.210.192.214 -> Beotos3
</pre>

Le pare-feu ne doit donc jamais être utilisé pour supprimer l'interface publique de Beotos3.

En revanche, les ports nécessaires au PRA ne doivent pas être ouverts inutilement en permanence.

Lors d'une bascule :

# démarrer ou activer les services de secours sur Beotos3 ;
# activer les règles firewall correspondant aux services à publier ;
# tester les services directement via l'adresse 51.210.192.214 ;
# modifier le DNS de <code>eole3.ajlsm.com</code> ;
# vérifier le fonctionnement via le nom DNS.

Il est possible de préparer à l'avance des règles Proxmox désactivées portant par exemple le commentaire :

<pre>
PRA Eole3
</pre>

Elles pourront être activées uniquement lors d'une bascule.

'''Les ports du PRA devront être déterminés précisément à partir des services Eole3 avant de créer ces règles.'''

== Commandes de diagnostic ==

État du firewall :

<pre>
pve-firewall status
systemctl status pve-firewall
</pre>

Règles effectivement chargées :

<pre>
iptables -S PVEFW-HOST-IN
</pre>

Règles avec compteurs :

<pre>
iptables -L PVEFW-HOST-IN -n -v --line-numbers
</pre>

Connexions NFS Saturne3 :

<pre>
ss -tn | grep '141\.95\.206\.118.*:2049\|:2049.*141\.95\.206\.118'
</pre>

Connexions TCP encore établies vers rpcbind :

<pre>
ss -nt state established '( sport = :111 )'
</pre>

Capture SNMP Centreon :

<pre>
tcpdump -ni any 'udp port 161 and (host 51.83.117.105 or host 10.0.0.16)'
</pre>

Protection réseau du serveur Proxmox Beotos3 - Historique des versions

Jlarvers le 7 octobre 2026 à 13:36

Jlarvers : Page créée avec « = Protection réseau du serveur Proxmox Beotos3 = == Objectif == Le serveur physique '''Beotos3''' est directement connecté à Internet et possède une adresse IPv4 pub... »

Jlarvers : Page créée avec « = Protection réseau du serveur Proxmox Beotos3 = == Objectif == Le serveur physique '''Beotos3''' est directement connecté à Internet et possède une adresse IPv4 pub... »