pve-firewall(8)

查看防火墙状态：

编译并打印当前防火墙规则用于检查：

为区域定义规则时，可以从 3 个方向中选择：

可以为 3 个不同区域定义防火墙规则：

集群范围的防火墙配置存储在：

该配置可以包含以下节：

主机相关配置读取自：

如果想覆盖 cluster.fw 配置中的规则，这会很有用。也可以提高日志详细程度，并设置 netfilter 相关选项。该配置可以包含以下节：

VM 防火墙配置读取自：

并包含以下数据：

VNet 相关配置读取自：

这可用于在 VNet 级别全局设置防火墙配置，而不必为 VNet 内部的每个 VM 分别设置防火墙规则。 它只能包含 FORWARD 方向的规则，因为这里没有入站或出站流量的概念。这会影响从一个桥接 端口流向另一个桥接端口的所有流量，包括主机接口。

由于经过 FORWARD 链的流量是双向的，如果希望流量双向通过，就需要为两个方向都创建规则。 例如，如果要允许某个特定主机的 HTTP 流量，需要创建以下规则：

该别名会自动定义。请使用以下命令查看分配的值：

防火墙会使用此别名自动设置规则，以允许集群通信（corosync、API、SSH）所需的全部流量。

用户可以在 cluster.fw 的别名节中覆盖这些值。如果在公共网络上使用单台主机，最好显式 分配本地 IP 地址：

该 IP 集仅适用于主机防火墙（不适用于 VM 防火墙）。这些 IP 被允许执行正常管理任务 （Proxmox VE GUI、VNC、SPICE、SSH）。

本地集群网络会自动添加到此 IP 集（别名 cluster_network），以启用主机间集群通信 （multicast、ssh 等）。

来自这些 IP 的流量会被每台主机和每个 VM 的防火墙丢弃。

这些过滤器属于 VM 的网络接口，主要用于防止 IP 欺骗。如果某个接口存在此类集合，则任何源 IP 与该接口对应 ipfilter 集不匹配的出站流量都会被丢弃。

对于已配置 IP 地址的容器，如果这些集合存在（或通过 VM 防火墙 options 选项卡中的通用 IP Filter 选项启用），它们会隐式包含关联的 IP 地址。

对于虚拟机和容器，它们还会隐式包含标准的、由 MAC 派生的 IPv6 link-local 地址，以允许 邻居发现协议正常工作。

如果防火墙的 input 或 output policy 设置为 DROP 或 REJECT，集群中所有 Proxmox VE 主机仍会允许 以下流量：

以下流量会被丢弃，即使启用了日志记录也不会记录：

其余流量会分别被丢弃或拒绝，并且会被记录。具体行为可能因 Firewall → Options 中启用的额外选项而异，例如 NDP、SMURFS 和 TCP flag filtering。

请检查以下系统命令的输出：

以查看系统上当前活动的防火墙链和规则。该输出也包含在 System Report 中，可以通过 Web GUI 中节点的订阅选项卡访问，也可以通过 pvereport 命令行工具获取。

这会丢弃或拒绝发往 VM 的所有流量，但会根据配置对 DHCP、NDP、Router Advertisement、 MAC 和 IP filtering 做出一些例外处理。丢弃/拒绝数据包的规则会从数据中心继承，而主机 已接受入站/出站流量的例外规则不适用。

同样，可以使用 iptables-save（见上文）检查所有已应用的 规则和链。

为了记录由用户定义防火墙规则过滤的数据包，可以为每条规则单独设置 log-level 参数。这样可以 进行细粒度日志记录，并且不受 Firewall → Options 中为标准规则定义的 log-level 影响。

每条规则的 loglevel 可以在 Web UI 中创建或修改规则时轻松定义或更改，也可以通过对应的 pvesh API 调用设置。

此外，也可以通过防火墙配置文件设置 log-level，即在所选规则后追加 -log <loglevel> （参见 可用 log-level）。

例如，以下两条规则等价：

而：

会产生带有 debug 级别标记的日志输出。

FTP 是一种旧式协议，会使用端口 21 以及其他多个动态端口。因此需要一条规则来接受端口 21。 此外，还需要加载 ip_conntrack_ftp 模块。请运行：

并将 ip_conntrack_ftp 添加到 /etc/modules（以便重启后仍然生效）。

如果希望使用 Suricata IPS（Intrusion Prevention System）， 这是可行的。

只有在防火墙 ACCEPT 数据包后，数据包才会转发给 IPS。

被拒绝/丢弃的防火墙数据包不会进入 IPS。

在 proxmox 主机上安装 suricata：

不要忘记将 nfnetlink_queue 添加到 /etc/modules，以便下次重启后生效。

然后，为特定 VM 启用 IPS：

ips_queues 会为该 VM 绑定特定 CPU 队列。

可用队列定义在：

安装 proxmox-firewall 软件包：

通过主机上的 Web UI（Host > Firewall > Options > nftables）启用 nftables 后端，或在 主机配置文件 (/etc/pve/nodes/<node_name>/host.fw) 中启用：

设置 nftables 配置键后，新的 proxmox-firewall 服务会接管。可以通过检查 proxmox-firewall 的 systemctl 状态来确认新服务是否正常工作：

也可以检查生成的 ruleset。更多信息可在 常用命令一节中找到。还应检查 pve-firewall 是否不再生成 iptables 规则，相关命令可在 服务和命令一节中找到。

要切回旧防火墙，只需将配置值重新设置为 0 / No。

proxmox-firewall 会创建两个由 proxmox-firewall 服务管理的表：proxmox-firewall 和 proxmox-firewall-guests。如果希望创建位于 Proxmox VE 防火墙配置之外的自定义规则， 可以创建自己的表来管理自定义防火墙规则。proxmox-firewall 只会修改它生成的表，因此可以 通过添加自己的表轻松扩展和修改 proxmox-firewall 的行为。

基于 nftables 的防火墙不使用 pve-firewall 命令，而是使用 proxmox-firewall。它是 systemd 服务，因此可以通过 systemctl 启动和停止：

停止防火墙服务会移除所有生成的规则。

要查询防火墙状态，可以查询 systemctl 服务状态：

可以通过以下命令检查生成的 ruleset：

如果要调试 proxmox-firewall，可以将 RUST_LOG 环境变量设置为 trace，并直接在前台 运行该守护进程。这应提供详细调试输出：

如果希望防火墙守护进程提供详细输出，也可以编辑 systemctl 服务：

然后需要为 RUST_LOG 环境变量添加 override：

这会很快生成大量日志，因此仅应在调试时使用。其他较低详细程度的日志级别包括 info 和 debug。

前台运行会将日志输出写入 STDERR，因此可以使用以下命令重定向日志（例如用于向社区论坛提交 日志）：

为调试防火墙规则，跟踪数据包在不同链之间的流动会很有帮助。可以通过为希望跟踪的数据包设置 nftrace 为 1 来实现。建议不要为*所有*数据包设置该标志；下面示例只检查 ICMP 数据包。

保存该文件、赋予可执行权限并运行一次后，会创建相应的跟踪链。然后可以通过 Proxmox VE Web UI（Firewall > Log）或 nft monitor trace 检查跟踪输出。

上述示例会跟踪所有桥上的流量，这通常是客户机流量经过的位置。如果要检查主机流量，请在 inet 表而不是 bridge 表中创建这些链。

可以运行以下命令移除跟踪规则：