Robert RappandClaude Fable 5.1
47ad1580ff
ci / test (push) Successful in 25s
Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
27 lines
1.2 KiB
Django/Jinja
27 lines
1.2 KiB
Django/Jinja
# Verwaltet von Ansible (Rolle pve-cluster, Vorlage cluster.fw.j2). Änderungen im Repo, nicht hier.
|
|
#
|
|
# Proxmox fügt dem eingebauten IPSET "management" immer das lokale Netz (/24) hinzu. Eine Einschränkung
|
|
# auf einzelne Adressen geht deshalb nur über eigene Regeln: erst ACCEPT für +admin, dann DROP für das
|
|
# restliche LAN auf den Verwaltungsports. Die Standardregeln dahinter werden für das LAN nie erreicht.
|
|
[OPTIONS]
|
|
|
|
enable: {{ 1 if knaster_pve.firewall.enable else 0 }}
|
|
policy_in: DROP
|
|
policy_out: ACCEPT
|
|
log_ratelimit: enable=1,rate=10/second,burst=5
|
|
|
|
[IPSET admin] # Nur diese Quellen erreichen 22, 8006, 3128, 5900-5999 und 60000-60050 der Knoten
|
|
|
|
{% for host in groups['pve_all'] | sort %}
|
|
{{ hostvars[host].ansible_host }} # Knoten {{ host }}
|
|
{% endfor %}
|
|
{% for m in knaster_pve.firewall.management %}
|
|
{{ m.ip }} # {{ m.comment }}
|
|
{% endfor %}
|
|
|
|
[RULES]
|
|
|
|
IN ACCEPT -source +admin -p tcp -dport {{ pve_mgmt_ports }} -log nolog # Verwaltung nur aus +admin
|
|
IN DROP -source {{ knaster_pve.firewall.ping_from }} -p tcp -dport {{ pve_mgmt_ports }} -log nolog # restliches LAN
|
|
IN ACCEPT -source {{ knaster_pve.firewall.ping_from }} -p icmp -log nolog # Ping aus dem LAN
|