Nach der Absicherung der Boot-Kette und der Management-Daemons rückt beim sicheren Betrieb von Proxmox VE 9 der Zugriffsschutz in den Vordergrund. Authentifizierungs-Realms, ein pfadbasiertes Rollenmodell, die integrierte Firewall und das SDN-Forwarding bestimmen, wer welche Ressource erreicht und welcher Verkehr im Cluster zulässig bleibt. Dieser zweite Teil der Härtungsreihe zeigt die konkreten Befehle, Konfigurationsdateien und Werte für eine produktionsreife Zugriffskontrolle.
Authentifizierungs-Realms: Wer darf sich anmelden?
Proxmox VE führt alle Benutzerkonten clusterweit in der Datei /etc/pve/user.cfg. Jeder Anmeldung ist ein Realm zugeordnet, der die Authentifizierungsquelle definiert. Standardmäßig existiert der Realm pam, der die lokalen Linux-Benutzer des Hosts verwendet, sowie der Realm pve für interne Proxmox-Benutzer. Für Produktionsumgebungen ist es essenziell, die voreingestellten Konten wie root@pam zu überwachen und nach Möglichkeit durch dedizierte Administratorkonten mit individuellen Realms zu ersetzen.
Die Einrichtung eines LDAP- oder Active-Directory-Realms erfolgt über das Webinterface oder die Kommandozeile. Ein Beispiel für die Integration eines Active-Directory-Realms mit dem Namen ad-prod lautet:
pveum realm add ad-prod –type ad –domain ad.company.local –server-url ldaps://dc1.ad.company.local –default 0
Nach dem Hinzufügen können Sie Benutzer aus diesem Realm importieren und ihnen Rollen zuweisen. Wichtig: Jeder Realm sollte nur vertrauenswürdige Quellen enthalten. Deaktivieren Sie ungenutzte Realms wie den Standard-pam-Realm, wenn Sie keine lokalen Linux-Anmeldungen mehr zulassen möchten. Dies verhindert, dass ein Angreifer über ein kompromittiertes lokales Konto auf den Cluster zugreift.
Das pfadbasierte Rollenmodell: Wer darf was?
Das Berechtigungsmodell von Proxmox VE verteilt Rollen entlang einer Baumstruktur aus Pfaden. Jeder Benutzer oder jede Gruppe erhält auf einem bestimmten Pfad eine Rolle, die wiederum eine Liste von Berechtigungen enthält. Der Pfad kann den gesamten Cluster (/), einen bestimmten Node (/nodes/node1), einen Storage (/storage/local) oder eine VM (/vms/100) umfassen.
Die wichtigsten vordefinierten Rollen sind Administrator (alle Rechte auf dem Pfad), PVEAdmin (außer Benutzerverwaltung) und PVEVMUser (nur VM-Operationen). Für eine feingranulare Steuerung können Sie eigene Rollen definieren, zum Beispiel eine ReadOnly-Rolle, die nur Leseberechtigungen für die Cluster-Übersicht gewährt.
Die Zuweisung einer Rolle an einen Benutzer erfolgt mit pveum acl modify. Ein typisches Beispiel, um einem Benutzer operator@ad-prod die Rolle PVEVMUser auf dem Pfad /vms zu geben:
pveum acl modify /vms –user operator@ad-prod –role PVEVMUser
Diese pfadbasierte Struktur erlaubt es, Administratoren auf bestimmte Nodes zu beschränken oder einzelnen Entwicklern nur Zugriff auf ihre eigenen VMs zu gewähren. Prüfen Sie regelmäßig die ACLs mit pveum acl list und entfernen Sie veraltete oder zu weitreichende Berechtigungen.
Direkte Antwort für ein Featured Snippet: Wie funktioniert die Firewall von Proxmox VE 9?
Die Firewall von Proxmox VE 9 arbeitet auf drei Ebenen: Cluster-Ebene (Regeln für alle Nodes), Node-Ebene (Regeln pro Host) und VM-Ebene (Regeln für jede virtuelle Maschine). Sie verwendet iptables/nftables im Hintergrund, wird aber über die Proxmox-Konfiguration gesteuert. Die Regeln werden in den Dateien /etc/pve/firewall/cluster.fw, /etc/pve/nodes/[node]/host.fw und /etc/pve/firewall/[vmid].fw abgelegt. Standardmäßig ist die Firewall deaktiviert; sie muss für jede Schicht explizit eingeschaltet werden.
Konfiguration der Firewall auf Cluster-Ebene
Die Cluster-Firewall definiert globale Regeln, die auf allen Nodes gelten. Aktivieren Sie sie mit:
pve-firewall set –enable 1
Anschließend legen Sie Standardpolicies fest, zum Beispiel: eingehender Verkehr standardmäßig ablehnen, ausgehender Verkehr erlauben. Einrichten von Ausnahmeregeln für den Management-Zugriff (SSH, HTTPS) und die Cluster-Kommunikation (Port 22, 8006, 5900-5999, 60000-60050).
Ein Beispiel für eine Regel, die SSH nur von einem bestimmten Verwaltungsnetz erlaubt:
pve-firewall rule add –direction in –action accept –source 10.0.0.0/24 –dest 192.168.1.0/24 –proto tcp –dport 22
Analog konfigurieren Sie Node-spezifische Regeln in der host.fw und VM-spezifische Regeln in der jeweiligen VM-ID.fw. Die VM-Firewall erlaubt die Isolation von virtuellen Maschinen, ohne dass der gesamte Host davon betroffen ist.
SDN-Forwarding und Netzgrenzen
Das Software-Defined Networking (SDN) in Proxmox VE 9 erlaubt die Definition virtueller Netze (VNets), die über Bridges, VLANs oder VXLANs verbunden werden. Jedes VNet kann mit einer eigenen Firewall-Policy versehen werden, was eine Mikrosegmentierung ermöglicht. Die Konfiguration erfolgt im Webinterface unter Datacenter → SDN.
Praktische Anwendung: Ein VNet für Datenbank-VMs, das nur von den Applikations-VNs erreichbar ist, während der Zugriff aus anderen Netzen blockiert bleibt. Die SDN-Firewall wird über die gleichen Mechanismus wie die Host-Firewall gesteuert, jedoch bezogen auf das VNet. Die Regeln greifen direkt auf dem virtuellen Switch.
Diese Kombination aus Realm-basierter Authentifizierung, pfadbasierten ACLs, mehrschichtiger Firewall und SDN-Isolation schafft ein gestaffeltes Sicherheitsmodell. Fehlt auch nur eine dieser Komponenten, bleibt die Absicherung lückenhaft. Ein Angreifer, der sich über einen schwachen Realm authentifiziert, kann nur durch enge ACLs und restriktive Firewall-Regeln am weiteren Vordringen gehindert werden.
Die Praxis zeigt: Viele Administratoren verlassen sich auf die Authentifizierung allein und vernachlässigen die Netzwerksicherheit. In Produktionsclustern sollte daher jede dieser Schichten konfiguriert und regelmäßig auf ihre Wirksamkeit überprüft werden. Die Automatisierung über API-Calls oder Ansible-Manifeste erleichtert die Konsistenz über mehrere Cluster hinweg. Mit Proxmox VE 9 steht ein Werkzeugkasten zur Verfügung, der bei korrekter Anwendung einem Enterprise-Hypervisor in nichts nachsteht.
