Eine pfSense- oder OPNsense-Firewall als virtuelle Maschine
Eine VM, die filtert, routet und Ihre VPN-Tunnel terminiert — vor allem anderen auf dem Server.
Ab ab 13,99 €/Monat
Einleitung
Eine virtuelle Firewall vor die Maschinen zu setzen, ändert die Art, einen Server zu bauen. Statt die Firewall jeder VM einzeln zu pflegen, nimmt eine einzige Maschine — pfSense oder OPNsense — den Verkehr entgegen, filtert ihn und reicht ihn in ein internes Netz weiter, in dem die übrigen VMs überhaupt keine öffentliche Adresse haben.
Technisch trägt die Firewall-VM zwei Schnittstellen: eine an der öffentlichen Bridge mit einer Ihrer IPv4-Adressen, eine an einer in Proxmox angelegten internen Bridge. Die anderen Maschinen sehen nur die zweite. Was nicht ausdrücklich erlaubt ist, kommt nicht hinein — und das wird an einer einzigen Stelle entschieden.
Das S-Angebot für 13,99 €/Monat reicht für die Firewall selbst reichlich: diese Systeme begnügen sich meist mit 2 GB. Heben Sie den Speicher für das auf, was dahinter läuft. Und behalten Sie einen Rückweg zur Proxmox-Konsole: eine übereifrige Regel kann Sie aussperren.
Was der Server mitbringt, über die ganze Reihe
Proxmox VE bereits installiert
Der Server kommt mit installiertem <strong>Proxmox VE</strong> und erreichbarer Weboberfläche. Sie erstellen Ihre virtuellen Maschinen und LXC-Container im Browser, ohne Ticket und ohne Wartezeit. <strong>Neuinstallationen sind unbegrenzt</strong>: ein misslungener Versuch ist in Minuten zurückgesetzt.
Arbeitsspeicher, denn er geht zuerst aus
Auf einem Hypervisor stößt selten der Prozessor zuerst an die Grenze, sondern der <strong>Speicher</strong> — jede virtuelle Maschine reserviert ihren eigenen. Die Reihe beginnt bei <strong>16 GB</strong> und reicht bis <strong>96 GB</strong>, genug Luft für mehrere VMs, ohne sie auszuhungern.
Snapshots und Sicherungen ohne Limit
Ein Snapshot vor einem Update, einer vor einer Konfigurationsänderung: das unterscheidet einen Test von einer Wette. Weder Anzahl noch Häufigkeit werden berechnet, nichts hält also davon ab, einen weiteren zu nehmen.
Bis zu 16 zusätzliche IPv4-Adressen
Jede VM kann ihre eigene öffentliche Adresse führen, statt alles über Portweiterleitungen des Hosts zu schleusen. Nützlich, sobald eine virtuelle Firewall, ein Webserver und ein Fremddienst sauber nebeneinander laufen sollen.
Was ihr anvertraut wird
Filtern, bevor es die VMs erreicht
Ein einziges Regelwerk, vorgelagert angewandt. Die VMs dahinter müssen nichts mehr direkt ins Internet stellen.
Ein VPN terminieren
WireGuard oder OpenVPN, um das interne Netz von außen zu erreichen, ohne auf jeder Maschine einen Port zu öffnen. Der häufigste Einsatz.
Ein Büro an den Server anbinden
Ein Site-to-Site-Tunnel zwischen den Räumen und dem VDS: die Arbeitsplätze erreichen interne Dienste, als wären sie vor Ort.
In mehrere Netze segmentieren
Ein Netz für die Produktion, eines für die Abnahme, eines für die Verwaltung. Die Firewall entscheidet, was dazwischen fließt — meist lautet die Antwort: nichts.
Den Verkehr sehen
Diese Systeme protokollieren und stellen dar, was ein- und ausgeht. Oft schaut man damit zum ersten Mal wirklich hin, was der eigene Server treibt.
Häufig gestellte Fragen
Beide stammen vom selben Vorfahren ab und decken dieselben Bedürfnisse. OPNsense veröffentlicht häufiger und hat die neuere Oberfläche; pfSense die größere Gemeinschaft. Wir schreiben nichts vor und installieren keines vor.
Eine genügt, wenn alles über die Firewall läuft und Sie Ports weiterleiten. Bis zu 16 sind bestellbar, wenn einzelne VMs direkt erreichbar sein müssen.
2 GB RAM und 2 vCore decken die meisten Fälle ab, VPN eingeschlossen. Verschlüsselung kostet Prozessorzeit: jenseits einiger hundert Megabit Tunnel muss man aufstocken.
Die Proxmox-Konsole bleibt im Kundenbereich erreichbar, unabhängig vom Netz der VM. Das ist Ihr Rückweg: wenden Sie nie eine Regel an, ohne zu wissen, wie Sie sie rückgängig machen.