Налаштування Proxmox VE після встановлення

Після встановлення Proxmox VE, перш ніж створювати віртуальні машини, потрібно виконати кілька налаштувань: підключити репозиторії, щоб вузол отримував оновлення, оновити систему, додати диски для зберігання віртуальних машин і захистити SSH від підбору паролів. У цій інструкції описано ці кроки для Proxmox VE 8 і 9. Основні кроки в обох версіях однакові, хоча окремі деталі інтерфейсу можуть відрізнятися. Скриншоти зроблено в Proxmox VE 8.4.

Крок 1. Налаштуйте репозиторії

Одразу після встановлення ввімкнено enterprise-репозиторій. Для доступу до нього потрібна чинна підписка, а без неї apt update повертає для цього репозиторію помилку 401 Unauthorized. Щоб отримувати оновлення без підписки, вимкніть enterprise-репозиторій і підключіть безкоштовний репозиторій no-subscription.

У вебінтерфейсі

Відкрийте вебінтерфейс за адресою https://SERVER_IP:8006 і увійдіть як root з realm Linux PAM. Виберіть вузол у дереві ліворуч і перейдіть до Updates → Repositories.

Виберіть рядок з pve-enterprise і натисніть Disable.

Якщо у списку є й увімкнений enterprise-репозиторій Ceph, а Ceph з підпискою ви не використовуєте, вимкніть його так само. Після цього в статусі з'явиться помилка про те, що жоден репозиторій Proxmox VE не ввімкнено. Це очікувано, доки ви не додасте наступний репозиторій.

Натисніть Add. Панель покаже нагадування про те, що сервер не має чинної підписки. Натисніть OK, виберіть No-Subscription у списку Repository і натисніть Add.

Репозиторій з'явиться у списку, а статус зміниться на You get updates for Proxmox VE. Попередження про те, що no-subscription не рекомендується для робочих систем, очікуване.

З командного рядка

Те саме можна зробити в консолі.

У Proxmox VE 8 зі стандартними файлами репозиторіїв закоментуйте enterprise-репозиторій і додайте no-subscription:

sed -i 's/^deb/#deb/' /etc/apt/sources.list.d/pve-enterprise.list
echo "deb http://download.proxmox.com/debian/pve bookworm pve-no-subscription" > /etc/apt/sources.list.d/pve-no-subscription.list

У Proxmox VE 9 файли репозиторіїв використовують формат deb822 з розширенням .sources. Щоб вимкнути enterprise-репозиторій, додайте рядок Enabled: no у файл /etc/apt/sources.list.d/pve-enterprise.sources. Щоб додати репозиторій no-subscription, створіть файл /etc/apt/sources.list.d/proxmox.sources з таким вмістом:

Types: deb
URIs: http://download.proxmox.com/debian/pve
Suites: trixie
Components: pve-no-subscription
Signed-By: /usr/share/keyrings/proxmox-archive-keyring.gpg

Вебінтерфейс правильно змінює файли в обох форматах, тому в обох версіях це найпростіший спосіб.

Крок 2. Оновіть систему

У вебінтерфейсі перейдіть до Updates і натисніть Refresh. Коли список пакетів оновиться, натисніть Upgrade. Відкриється вікно консолі. Підтвердіть оновлення клавішею Y і дочекайтеся завершення.

З командного рядка:

apt update
apt dist-upgrade

Якщо під час оновлення встановилося нове ядро, перезавантажте вузол:

reboot

Крок 3. Додайте диск для віртуальних машин

Proxmox VE може використовувати додатковий диск кількома способами. Вибір залежить від того, що ви зберігатимете на ньому.

• Directory: звичайна файлова система, підключена як папка. Може зберігати образи дисків у форматі qcow2 або raw, ISO-образи, шаблони контейнерів і резервні копії. Підходить для резервних копій та ISO-образів.
• LVM: група томів для дисків віртуальних машин. Швидко й просто, але звичайний LVM не підтримує снапшоти.
• LVM-Thin: як LVM, але з тонким виділенням місця та снапшотами. Цей тип Proxmox VE використовує для local-lvm після встановлення.
• ZFS: файлова система з контрольними сумами, стисненням, снапшотами та програмним RAID. Потребує більше оперативної пам'яті, ніж інші типи.

Перевірте вільні диски

Виберіть вузол і перейдіть до Disks. У списку показано всі диски сервера. У вільного диска в стовпці Usage стоїть No.

Якщо диск раніше використовувався і на ньому залишилися розділи, виберіть його й натисніть Wipe Disk.

Варіант 1. Directory

Перейдіть до Disks → Directory і натисніть Create: Directory. Виберіть диск, файлову систему (ext4 або xfs), вкажіть ім'я та залиште позначеним Add Storage. Натисніть Create.

Proxmox VE відформатує диск, підключить його в /mnt/pve/ІМ'Я і додасть як сховище, яке приймає всі типи вмісту: резервні копії, образи дисків, ISO-образи, контейнери та сніпети. Щоб обмежити, що на ньому можна зберігати, перейдіть до Datacenter → Storage, виберіть сховище, натисніть Edit і змініть Content.

Варіант 2. LVM

Перейдіть до Disks → LVM і натисніть Create: Volume Group. Виберіть диск, вкажіть ім'я та залиште позначеним Add Storage. Натисніть Create.

Сховище з'явиться в дереві ліворуч і зможе зберігати диски віртуальних машин.

Варіант 3. ZFS

Перейдіть до Disks → ZFS і натисніть Create: ZFS. Вкажіть ім'я, виберіть один або кілька дисків і RAID Level:

• Single Disk для одного диска, без надлишковості;
• Mirror для двох і більше дисків, дані копіюються на кожен із них;
• RAIDZ для трьох і більше дисків, з одинарною парністю;
• RAIDZ2 для чотирьох і більше дисків, з подвійною парністю;
• RAIDZ3 для п'яти і більше дисків, з потрійною парністю.

Залиште Compression зі значенням on і ashift зі значенням 12, якщо немає причин їх змінювати. Залиште позначеним Add Storage і натисніть Create.

Перевірте сховища

Перейдіть до Datacenter → Storage. Нові сховища є у списку разом із типом і вмістом.

Стовпець Content показує, які типи даних підтримує кожне сховище. Доступні типи залежать від типу сховища, тому перевірте цей стовпець, перш ніж використовувати сховище для дисків віртуальних машин, контейнерів, ISO-образів або резервних копій.

Крок 4. Захистіть SSH за допомогою Fail2Ban

Fail2Ban блокує IP-адреси після кількох невдалих спроб входу. Встановіть його:

apt update
apt install fail2ban

Не редагуйте /etc/fail2ban/jail.conf: він замінюється під час оновлення пакета. Створіть власний файл налаштувань:

nano /etc/fail2ban/jail.local

Додайте рядки:

[sshd]
enabled = true
backend = systemd
maxretry = 5
findtime = 10m
bantime = 1h

Тут maxretry це кількість невдалих спроб, findtime це період, за який вони рахуються, а bantime це час блокування адреси. Рядок backend = systemd змушує Fail2Ban читати журнал SSH із системного журналу. У Proxmox VE 8 і 9 журнал SSH часто пишеться лише в системний журнал, а файлу /var/log/auth.log немає, тому стандартний режим читання з файлу не спрацює.

Перезапустіть службу та перевірте статус:

systemctl restart fail2ban
fail2ban-client status sshd

У виводі видно кількість невдалих спроб і список заблокованих адрес.

Висновок

Вузол тепер отримує оновлення з репозиторію no-subscription, систему оновлено, додатковий диск готовий для віртуальних машин, а SSH захищений від підбору паролів. Тепер можна завантажувати ISO-образи та створювати віртуальні машини й контейнери.