Root-Server im internen VLAN soll keinen Zugriff auf andere Geräte haben

Moin,

Stichwort elementare Grundlagen:

Traffic im gleichen VLAN genauer Traffic im gleichen IP Netz (bei die also192.168.25.0/24) bedarf keinen Router.
das geht direkt per ARP Request auf die MAC des Ziel Host. Nennt sich dann weitläufig "L2" traffic.

Deine Firewall kann aber erst greifen wenn der Traffic von IP Netz A ins Netz B soll (vällig egal ob das nun Internet oder was lokales ist)

Lösungen:

Deinen Server in ein eignes VLAN verschieben (bevorzugt)
oder
Switche Verwenden die ACL unterstützen und damit was verbieten (ACLs sind L2 Filter)

Quote from Tilomaster

Interessant. Ich habe jetzt hier mal versucht eine ACL Regel aufzustellen, das bringt leider aber nichts.

Sagte ja "Switche die das unterstützen".

Quote from Tilomaster

Ein getrenntes, neues VLan zu erstellen geht auch nicht, da Ich auf einer Proxmox VM mehrere Server habe und dies einen von denen betrifft.

Hab keine Aktien in Promox.. aber der kann wie alle anderen sehr gut mit VLAN umgehen und das auch per Giest ein anderen als zugriff zuweisen.

Tilomaster ... zum Stichwort Proxmox: Dein Root server läuft (nehme ich an) in einer eigenen VM. Du brauchst mehrere Netzwerk Ports auf deiner Proxmox HW. Weise einem dedizierten (physischen) Port dieser VM zu (in den Einstellung der VM). Dann hast Du eine VM/Netzwerk die Du in einem eigenen VLAN setzten kannst und dann kannst Du darauf FW Regeln laufen lassen.

Quote from AlexSegg

Du brauchst mehrere Netzwerk Ports auf deiner Proxmox HW.

Die 90er haben angerufen und wollen ihren oldschool Ansatz zurück. Mag daheim Funktionieren, aber wenn du erstmal 6-7 VM
hast die in unterschiedlichen VLAN sei sollen will du weder da keine Netzwerkarten reinstopfen und und auch kein Kabel Wurst
zu einem Switch haben.

VLAN Richtig einstellen auf dem HOST und dann die VLAN den Guest zuweisen, fertig.

Man kann doch auch ohne Probleme im Proxmox VLANs erstellen...

Quote from defcon

Man kann doch auch ohne Probleme im Proxmox VLANs erstellen...

Das geht problemlos.

Mein Proxmox bekommt einen Trunk mit allen VLAN's drin und der Proxmox selber ist per Netzwerk-Konfig auf das Server-VLAN gesetzt und die VM's bzuw LXC's eben dann über deren Netzwerkeinstellungen auch auf das jeweils VLAN wo die rein sollen - Unifi-Controller als LXC auf das Management-Netz.

Ich hatte sogar schon einen LXC, der Netzwerkkarten in allen VLAN's hatte ( PiAlert ), damit er die Netze scannen kann - nutze ich mittlerweile aber nicht mehr.