Межсетевой экран pfSense или OPNsense в виртуальной машине
ВМ, которая фильтрует, маршрутизирует и завершает ваши туннели VPN, стоя впереди всего остального на сервере.
От 13,99 €/месяц
Обзор
Поставить виртуальный межсетевой экран перед своими машинами меняет то, как вы собираете сервер. Вместо того чтобы настраивать экран каждой ВМ по отдельности, одна машина — pfSense или OPNsense — принимает трафик, фильтрует его и раздаёт во внутреннюю сеть, где у остальных ВМ нет ни одного публичного адреса.
Технически у ВМ-экрана два интерфейса: один на публичном мосту с одним из ваших адресов IPv4, другой на внутреннем мосту, созданном в Proxmox. Остальные машины видят только второй. Что не разрешено явно — не входит, и настраивается это в одном-единственном месте.
Тарифа S за 13,99 €/мес с лихвой хватает самому экрану: этим системам в большинстве случаев довольно 2 ГБ. Память лучше отвести тому, что живёт позади. И сохраните запасной доступ к консоли Proxmox: слишком ретивое правило способно закрыть перед вами дверь.
Что даёт сервер на всей линейке
Proxmox VE уже установлен
Сервер приходит с готовым <strong>Proxmox VE</strong> и открытым веб-интерфейсом. Виртуальные машины и контейнеры LXC вы создаёте прямо в браузере, не открывая обращений и не дожидаясь чьего-то вмешательства. <strong>Переустанавливать можно сколько угодно</strong>: неудачный опыт переделывается за считаные минуты.
Памяти побольше — именно она упирается первой
На гипервизоре почти никогда не упирается процессор: упирается <strong>память</strong>, потому что каждая виртуальная машина забирает свою долю. Линейка начинается с <strong>16 ГБ</strong> и доходит до <strong>96 ГБ</strong>, а значит, несколько машин можно поставить рядом, не душа их.
Снимки состояния в один клик
Снимок перед обновлением, ещё один перед сменой настроек — вот что отличает опыт от азартной игры. Каждый снимок делается в один клик в личном кабинете, без доплаты.
До 16 дополнительных адресов IPv4
У каждой машины может быть свой публичный адрес, и не придётся гнать всё через проброс портов с хозяина. Пригодится, как только виртуальный сетевой экран, веб-сервер и сторонняя служба должны ужиться по-человечески.
Что ему поручают
Фильтровать до того, как трафик дойдёт до ВМ
Один набор правил, применённый выше по течению. ВМ позади уже незачем выставлять что-либо прямо в интернет.
Завершать VPN
WireGuard или OpenVPN, чтобы попадать во внутреннюю сеть снаружи, не открывая порт на каждой машине. Это самое частое применение.
Соединить офис с сервером
Туннель между площадками — помещением и VDS: рабочие места достают до внутренних служб так, будто стоят рядом с ними.
Разделить на несколько сетей
Сеть для продакшена, сеть для приёмки, сеть для администрирования. Что ходит между ними, решает межсетевой экран, и чаще всего ответ — ничего.
Видеть проходящий трафик
Эти системы ведут журнал и показывают, что входит и что выходит. Часто это первый раз, когда по-настоящему смотрят, чем занят собственный сервер.
Частые вопросы
Оба происходят от одного предка и покрывают одни и те же нужды. OPNsense выпускается чаще, и интерфейс у него новее; у pfSense более широкое сообщество. Мы ни один из них не навязываем и не ставим заранее.
Одного достаточно, если всё идёт через экран и вы перенаправляете порты. Заказать можно до 16, если какие-то ВМ должны быть доступны напрямую.
2 ГБ памяти и 2 vCore покрывают большинство случаев, включая работающий VPN. Шифрование ест процессор: за несколькими сотнями мегабит туннеля придётся подниматься выше.
Консоль Proxmox остаётся доступной из личного кабинета независимо от сети ВМ. Это ваша запасная дверь: никогда не применяйте правило, не зная, как отступить назад.