用虚拟机跑一道 pfSense 或 OPNsense 防火墙
一台负责过滤、路由并终结 VPN 隧道的虚拟机，挡在服务器其余部分前面。
低至 每月 13.99 €
概述
在自己的机器前面架一道虚拟防火墙，会改变您搭服务器的方式。不用再逐台虚拟机去调防火墙，而是由一台机器——pfSense 或 OPNsense——接下流量、过滤，再分发到一个内部网络，那里的其他虚拟机一个公网地址都没有。
技术上，这台防火墙虚拟机带两块网卡：一块接公网桥，配您的一个 IPv4；另一块接您在 Proxmox 里建的内部桥。其他机器只看得见后者。没有被明确放行的就进不来，而且只需在一处设置。
防火墙本身用每月 13.99 欧元的 S 套餐绰绰有余：这类系统多数情况下 2 GB 就够。内存要留给后面那些机器。另外请保留一条通往 Proxmox 控制台的备用通道：一条过于激进的规则可能把您自己关在门外。
整条产品线都具备的能力
已预装 Proxmox VE
服务器出厂即装好 <strong>Proxmox VE</strong>，网页界面可直接进入。虚拟机和 LXC 容器都在浏览器里创建，不必开工单，也不必等人来处理。<strong>重装次数不限</strong>：一次试验搞砸了，几分钟就能重来。
内存要给足，因为卡脖子的是它
在虚拟化主机上，最先见底的几乎从来不是 CPU，而是<strong>内存</strong>——每台虚拟机都要占住自己那一份。产品线从 <strong>16 GB</strong> 起，最高到 <strong>96 GB</strong>，留出的余量足够您叠好几台虚拟机而不至于把它们憋死。
一键快照
升级前拍一张快照，改配置前再拍一张：试验和赌博的区别就在这里。每张快照都能在客户中心一键完成，不另收费。
最多 16 个附加 IPv4
每台虚拟机都可以有自己的公网地址，不必事事都靠宿主机做端口转发。当虚拟防火墙、网站服务器和某个第三方服务需要各归其位地共处时，这一点尤其管用。
把什么交给它做
在流量到虚拟机之前先过滤
一套规则，前置生效。后面的虚拟机再也不用把任何东西直接暴露在互联网上。
终结 VPN
用 WireGuard 或 OpenVPN 从外面接入内部网络，不必在每台机器上开端口。这是最常见的用法。
把办公室连到服务器
在办公场所和 VDS 之间开一条站点到站点隧道：工位访问内部服务，就像人在机房现场一样。
切成多个网络
生产一个网，验收一个网，管理一个网。网络之间通不通由防火墙说了算，而多数时候答案是：不通。
看流量从眼前过
这类系统会记录并呈现进出的流量。很多人是到这时候才第一次真正看清自己的服务器在干什么。
常见问题
两者同宗同源，覆盖的需求也一样。OPNsense 发版更勤，界面更新；pfSense 的社区更大。我们既不指定也不预装其中任何一个。
如果一切都走防火墙、由它做端口转发，一个就够。如果某些虚拟机必须能被直接访问，最多可以订 16 个。
2 GB 内存加 2 vCore 能覆盖绝大多数场景，包括开着 VPN 的情况。加密要吃处理器：隧道流量超过几百兆比特，就得往上加了。
Proxmox 的控制台在客户中心里始终可用，和虚拟机的网络无关。那是您的应急门：在不知道怎么退回去之前，永远别应用一条规则。