# VM proxmox qui n'arrive pinger le réseau externe au proxmox et internet Iptables pose problème **URL:** \ **Category:** Support Debian\ **Created:** [Mars 5, 2019, 10:39 UTC](https://www.debian-fr.org/t/vm-proxmox-qui-narrive-pinger-le-reseau-externe-au-proxmox-et-internet-iptables-pose-probleme/78737 "2019-03-05T22:39:09Z")\ **Posts on this page:** 13\ **Page:** 1
**Author:** ![djbad](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/d/9fc348/32.png) [@djbad](https://www.debian-fr.org/u/djbad)\ **Post date:** [Mars 5, 2019, 10:39 UTC](https://www.debian-fr.org/t/vm-proxmox-qui-narrive-pinger-le-reseau-externe-au-proxmox-et-internet-iptables-pose-probleme/78737/1 "2019-03-05T22:39:10Z")
Salut je n’arrive pas a résoudre mon probleme. Ma vm ne peut pas pinger google ou `8.8.8.8` ou ma passerelle externe `192.168.0.1` Voila la con VM fichier `resolv.conf` ```nohighlight nameserver 192.168.0.100 nameserver 8.8.8.8 ``` `interfaces` ```nohighlight auto eth0 iface eth0 inet static address 172.16.2.2 netmask 255.255.255.0 gateway 172.16.2.1 ``` Configuration du proxmox ```nohighlight auto lo iface lo inet loopback iface enp0s25 inet manual auto vmbr0 iface vmbr0 inet static address 192.168.0.100 netmask 255.255.255.0 gateway 192.168.0.1 bridge-ports enp0s25 bridge-stp off bridge-fd 0 auto vmbr4 iface vmbr4 inet static address 172.16.2.1 netmask 255.255.255.0 bridge-ports none bridge-stp off bridge-fd 0 post-up iptables -t nat -A POSTROUTING -s '172.16.2.0/24' -o vmbr0 -j MASQUERADE post-down iptables -t nat -D POSTROUTING -s '172.16.2.0/24' -o vmbr0 -j MASQUERADE ``` `resolv.conf` du proxmox ```nohighlight 8.8.8.8 ``` Regles iptables ```nohighlight #Flush iptables -F iptables -t nat -F iptables -X #police par defaut iptables -P INPUT DROP iptables -P OUTPUT DROP iptables -P FORWARD DROP iptables -I INPUT -i lo -j ACCEPT iptables -I OUTPUT -o lo -j ACCEPT #ICMP iptables -A INPUT -i vmbr0 -p icmp -j ACCEPT iptables -A OUTPUT -o vmbr0 -p icmp -j ACCEPT #ssh iptables -A INPUT -i vmbr0 -p tcp --dport 22 -j ACCEPT iptables -A OUTPUT -o vmbr0 -p tcp --sport 22 -m state --state ESTABLISHED,RELATED -j ACCEPT #update iptables -A OUTPUT -o vmbr0 -p tcp --dport 443 -j ACCEPT iptables -A INPUT -i vmbr0 -p tcp --sport 443 -m state --state ESTABLISHED,RELATED -j ACCEPT # dns iptables -A OUTPUT -o vmbr0 -p udp --dport 53 -j ACCEPT iptables -A OUTPUT -o vmbr0 -p tcp --dport 53 -j ACCEPT iptables -A INPUT -i vmbr0 -p udp --sport 53 -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A INPUT -i vmbr0 -p tcp --sport 53 -m state --state ESTABLISHED,RELATED -j ACCEPT # proxmox panel iptables -A INPUT -i vmbr0 -p tcp --dport 8006 -j ACCEPT iptables -A OUTPUT -o vmbr0 -p tcp --sport 8006 -m state --state ESTABLISHED,RELATED -j ACCEPT ``` `route` du proxmox ```nohighlight default via 192.168.0.1 dev vmbr0 onlink 172.16.2.0/24 dev vmbr4 proto kernel scope link src 172.16.2.1 192.168.0.0/24 dev vmbr0 proto kernel scope link src 192.168.0.100 ``` J’ai d’abord autoriser `icmp` pour `ping` de VM vers Proxmox en ajoutant ceci ```nohighlight iptables -A INPUT -i vmbr4 -p icmp -j ACCEPT iptables -A OUTPUT -o vmbr4 -p icmp -j ACCEPT ``` Ensuite j’ai tenter d’autoriser le `DNS` mais ça na pas marché normalemnt si le `nat` est autorisé j’ai pas besoin de faire cela mais j’ai essayé pour voir ```nohighlight iptables -A INPUT -i vmbr4 -p tcp -s 172.16.2.0/24 --dport 53 -j ACCEPT iptables -A INPUT -i vmbr4 -p udp -s 172.16.2.0/24 --dport 53 -j ACCEPT iptables -A OUTPUT -i vmbr4 -p udp --sport 53 --j ACCEPT iptables -A OUTPUT -i vmbr4 -p tcp --sport 53 --j ACCEPT ``` Je ne comprends pas pourquoi ca bloque au niveau d’Iptables. Ou sinon je ne vois pas d’ou ca peut venir. Merci par avance ---
**Author:** ![sk4hrr](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/s/7bcc69/32.png) [@sk4hrr](https://www.debian-fr.org/u/sk4hrr)\ **Post date:** [Mars 6, 2019, 7:53 UTC](https://www.debian-fr.org/t/vm-proxmox-qui-narrive-pinger-le-reseau-externe-au-proxmox-et-internet-iptables-pose-probleme/78737/2 "2019-03-06T07:53:10Z")
Bonjour, Avant de commencer à faire des règles iptables, il serait bon de voir si ça fonctionne sans rien. J’entends par là sans filtrage, simplement avec cette règle: ```nohighlight ## Allow VM to WAN iptables -t nat -A POSTROUTING -o vmbr0 -s 172.16.2.0/24 ! -d 172.16.2.0/24 -j MASQUERADE ``` Autre chose, est-ce que l’ipforwarding est activé? Pour le savoir: ```nohighlight root@inios:~# sysctl net.ipv4.ip_forward net.ipv4.ip_forward = 1 ``` Ensuite, est-ce que sur la VM tu as bien mis l’interface `vmbr4` et non `vmbr0`? Je trouve ton adresse locale, `172.16.2.0/24`, bien crado. Tu fais soit du B (`/16`) soit du C (`/24`), mais les hybridations, c’est moches. ---
**Author:** ![mattotop](https://www.debian-fr.org/user_avatar/www.debian-fr.org/mattotop/32/3942_2.png) [@mattotop](https://www.debian-fr.org/u/mattotop)\ **Post date:** [Mars 6, 2019, 7:59 UTC](https://www.debian-fr.org/t/vm-proxmox-qui-narrive-pinger-le-reseau-externe-au-proxmox-et-internet-iptables-pose-probleme/78737/3 "2019-03-06T07:59:23Z")
> [@djbad](#): > > ```plaintext > auto vmbr4 > iface vmbr4 inet static > address 172.16.2.1 > netmask 255.255.255.0 > bridge-ports none > bridge-stp off > bridge-fd 0 > post-up iptables -t nat -A POSTROUTING -s '172.16.2.0/24' -o vmbr0 -j MASQUERADE > post-down iptables -t nat -D POSTROUTING -s '172.16.2.0/24' -o vmbr0 -j MASQUERADE > > ``` C’est normal qu’il n’y ai pas de gateway ? ---
**Author:** ![sk4hrr](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/s/7bcc69/32.png) [@sk4hrr](https://www.debian-fr.org/u/sk4hrr)\ **Post date:** [Mars 6, 2019, 8:02 UTC](https://www.debian-fr.org/t/vm-proxmox-qui-narrive-pinger-le-reseau-externe-au-proxmox-et-internet-iptables-pose-probleme/78737/4 "2019-03-06T08:02:16Z")
Je suppose que oui, la mienne n’en comporte pas non plus: ```nohighlight auto vmbr7 iface vmbr7 inet static address 192.168.7.254 netmask 255.255.255.0 post-up sysctl -w net.ipv6.conf.$IFACE.disable_ipv6=1 bridge_ports none bridge_stp off bridge_fd 0 ``` Par contre effectivement, faut penser à mettre cette IP en tant que passerelle dans la VM (sa conf: `172.16.2.1`). Enfin de toute façon, cette conf’ est crado ; merci OVH. ---
**Author:** ![djbad](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/d/9fc348/32.png) [@djbad](https://www.debian-fr.org/u/djbad)\ **Post date:** [Mars 6, 2019, 11:50 UTC](https://www.debian-fr.org/t/vm-proxmox-qui-narrive-pinger-le-reseau-externe-au-proxmox-et-internet-iptables-pose-probleme/78737/5 "2019-03-06T11:50:31Z")
Ca fonctionne sans les regles iptables de plus la regle nat est active par post up de l’interface vmbr4 ```auto post-up iptables -t nat -A POSTROUTING -s '172.16.2.0/24' -o vmbr0 -j MASQUERADE ``` je n’ai juste pas mis l’option !d mais ça fonctionne j’arrive à pinger google. L’ip forwarding est activé. j’ai modifié **sysctl.conf** pour qu’il soit permanent Oui je veux bien que ça soit crado mais les notions de classes c’est toi qui les gère comme tu veut mais oui on pourrait faire plus propre mais ça changera pas le problème @ [mattotop](https://www.debian-fr.org/u/mattotop) oui pas de gateway c’est les conf que j’ai trouvé sur d’autres tuto proxmox que j’ai regardé. ---
**Author:** ![sk4hrr](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/s/7bcc69/32.png) [@sk4hrr](https://www.debian-fr.org/u/sk4hrr)\ **Post date:** [Mars 6, 2019, 11:58 UTC](https://www.debian-fr.org/t/vm-proxmox-qui-narrive-pinger-le-reseau-externe-au-proxmox-et-internet-iptables-pose-probleme/78737/6 "2019-03-06T11:58:22Z")
> [@djbad](#): > > les notions de classes c’est toi qui les gère comme tu veut Ah, d’accord… bon courage ! ---
**Author:** ![djbad](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/d/9fc348/32.png) [@djbad](https://www.debian-fr.org/u/djbad)\ **Post date:** [Mars 6, 2019, 12:01 UTC](https://www.debian-fr.org/t/vm-proxmox-qui-narrive-pinger-le-reseau-externe-au-proxmox-et-internet-iptables-pose-probleme/78737/7 "2019-03-06T12:01:48Z")
Enfin je voulais dire que ca pas d’importance les classes mais oui c’est crado En tout cas merci pour ton aide 😉😉 ---
**Author:** ![sk4hrr](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/s/7bcc69/32.png) [@sk4hrr](https://www.debian-fr.org/u/sk4hrr)\ **Post date:** [Mars 6, 2019, 2:15 UTC](https://www.debian-fr.org/t/vm-proxmox-qui-narrive-pinger-le-reseau-externe-au-proxmox-et-internet-iptables-pose-probleme/78737/8 "2019-03-06T14:15:09Z")
Une piste pourrait se trouver dans le fichier de configuration d’iptables. La suppression de toutes les règles précédentes supprime probablement celle du post-up. ---
**Author:** ![djbad](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/d/9fc348/32.png) [@djbad](https://www.debian-fr.org/u/djbad)\ **Post date:** [Mars 6, 2019, 5:11 UTC](https://www.debian-fr.org/t/vm-proxmox-qui-narrive-pinger-le-reseau-externe-au-proxmox-et-internet-iptables-pose-probleme/78737/9 "2019-03-06T17:11:39Z")
J’avais déja testé sans post up mais ca n’avait pas rien changé par contre en rajoutant ces règles > iptables -A FORWARD -i vmbr4 -o vmbr0 -j ACCEPT > iptables -A FORWARD -i vmbr0 -o vmbr4 -m state --state RELATED,ESTABLISHED -j ACCEPT Ca marche il semblerait lorsqu’on nat et qu’il y une politique de DROP on fait du FORWARD, j’essaie encore de comprendre ca me parait encore abstrait. Pourquoi faire du forward alors que si je fais du nat c’est comme l’hote qui fait la requete j’ai encore du mal ---
**Author:** ![sk4hrr](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/s/7bcc69/32.png) [@sk4hrr](https://www.debian-fr.org/u/sk4hrr)\ **Post date:** [Mars 6, 2019, 5:13 UTC](https://www.debian-fr.org/t/vm-proxmox-qui-narrive-pinger-le-reseau-externe-au-proxmox-et-internet-iptables-pose-probleme/78737/10 "2019-03-06T17:13:02Z")
Je parlais de ça: > [@djbad](#): > > #Flush > iptables -F > iptables -t nat -F > iptables -X ---
**Author:** ![djbad](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/d/9fc348/32.png) [@djbad](https://www.debian-fr.org/u/djbad)\ **Post date:** [Mars 6, 2019, 5:19 UTC](https://www.debian-fr.org/t/vm-proxmox-qui-narrive-pinger-le-reseau-externe-au-proxmox-et-internet-iptables-pose-probleme/78737/11 "2019-03-06T17:19:54Z")
je confirme lorsque tu as une politque DROP dans FORWARD tu est obligé d’autorise le traffic [https://access.redhat.com/documentation/en-US/Red\_Hat\_Enterprise\_Linux/4/html/Security\_Guide/s1-firewall-ipt-fwd.html](https://access.redhat.com/documentation/en-US/Red_Hat_Enterprise_Linux/4/html/Security_Guide/s1-firewall-ipt-fwd.html) Pour moi c’est résolu. Merci pour ton aide et autres bien sur en espérant que ca serve à d’autres ---
**Author:** ![Almtesh](https://www.debian-fr.org/user_avatar/www.debian-fr.org/almtesh/32/10312_2.png) [@Almtesh](https://www.debian-fr.org/u/Almtesh)\ **Post date:** [Mars 7, 2019, 8:37 UTC](https://www.debian-fr.org/t/vm-proxmox-qui-narrive-pinger-le-reseau-externe-au-proxmox-et-internet-iptables-pose-probleme/78737/12 "2019-03-07T08:37:47Z")
Que retourne la commande `sysctl net.ipv4.ip_forward net.ipv6.conf.all.forwarding` sur l’hôte Proxmox ? ---
**Author:** ![djbad](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/d/9fc348/32.png) [@djbad](https://www.debian-fr.org/u/djbad)\ **Post date:** [Mars 10, 2019, 4:58 UTC](https://www.debian-fr.org/t/vm-proxmox-qui-narrive-pinger-le-reseau-externe-au-proxmox-et-internet-iptables-pose-probleme/78737/13 "2019-03-10T16:58:01Z")
> [@Almtesh](#): > > sysctl net.ipv4.ip\_forward net.ipv6.conf.all.forwarding > L’ip forwarding est activé. j’ai modifié **sysctl.conf** pour qu’il soit permanent net.ipv4.ip\_forward = 1 net.ipv6.conf.all.forwarding = 0 pas activé sur ipv6 on verra si besoin