Proteggere Proxmox Home Lab: una guida passo passo per la sicurezza
Per comprendere meglio le funzioni e le caratteristiche di Proxmox, i nuovi utenti preferiscono creare un ambiente di test utilizzando un host Proxmox, denominato “Proxmox home lab”. È necessario garantire adeguate misure di sicurezza per la configurazione del proprio Proxmox home lab. Questo articolo del blog illustra le procedure consigliate per la sicurezza di Proxmox che è opportuno implementare per prevenire la perdita di dati e proteggersi dalle minacce informatiche.
Perché è fondamentale proteggere il proprio Proxmox Home Lab
Senza adeguate misure di sicurezza, il vostro ambiente Proxmox può diventare vulnerabile alle minacce informatiche, alle violazioni dei dati e agli accessi non autorizzati. La sicurezza del Proxmox Home Lab è fondamentale sia a livello personale che professionale. L’accesso non autorizzato a un host Proxmox da parte di utenti estranei può mettere a rischio l’host stesso, le VM, Dispositivi NAS e altri host collegati alla rete. L’accesso non autorizzato può portare a infezioni da malware e ransomware, causando fughe e perdite di dati. Poiché gli host Proxmox di solito girano su hardware fisico, gli aggressori possono utilizzare queste risorse hardware per minare criptovalute, condurre altre attività criminali informatiche, rendere un host Proxmox parte di una botnet, eseguire script dannosi, ecc. Questi fattori possono ridurre significativamente le prestazioni dell’host e delle VM.
Misure di sicurezza essenziali per Proxmox
Per ridurre i rischi di accesso non autorizzato a un laboratorio domestico Proxmox, è necessario comprendere come proteggere l’ambiente Proxmox e implementare le pratiche di sicurezza essenziali.
Impostare password complesse e abilitare l’autenticazione a due fattori (2FA)
L’uso di password complesse per gli account amministrativi costituisce la prima linea di difesa. Utilizzate password uniche di almeno 8 caratteri. La password dovrebbe contenere lettere minuscole e maiuscole, cifre e caratteri speciali. È possibile utilizzare frasi di accesso che soddisfino questi requisiti per facilitarne la memorizzazione. Una password complessa che soddisfi i requisiti di complessità costituisce una barriera per gli aggressori, poiché gli attacchi di forza bruta non riescono a violarla facilmente. Per una maggiore sicurezza, è possibile configurare l’autenticazione a due fattori (2FA) (autenticazione a più fattori, MFA). Proxmox supporta la configurazione dell’autenticazione a due fattori (2FA) in diversi modi, ad esempio utilizzando una password monouso basata sul tempo (TOTP) o YubiKey OTP. È possibile modificare le impostazioni di autenticazione in Permessi > Due fattori nell’interfaccia web di Proxmox VE.
Rafforzare la sicurezza dell’accesso SSH
La gestione di Proxmox avviene tramite l’interfaccia utente web grafica, ma la configurazione più dettagliata può essere effettuata dalla riga di comando tramite connessione SSH. Su un host Proxmox è disponibile un server SSH, simile a quello presente sulle macchine Linux per la gestione dell’host. Se gli aggressori riescono a ottenere l’accesso SSH all’host, possono acquisire l’accesso completo ed eseguire malware.È possibile implementare misure di sicurezza aggiuntive per ridurre il rischio di accessi non autorizzati. Ad esempio, è possibile modificare la porta SSH predefinita (22) con una porta personalizzata (9522). Disabilitare gli accessi come utente root e utilizzare sudo per ottenere i privilegi di amministratore. L’utilizzo di chiavi pubbliche al posto delle password per l’accesso tramite SSH richiede una configurazione più complessa, ma può garantire una maggiore sicurezza.
Implementare le VLAN per la segmentazione della rete
Si consiglia di configurare un VLAN se si desidera collegare qualsiasi dispositivo potenzialmente vulnerabile a una rete connessa a un host Proxmox o a VM. Le VLAN vengono utilizzate per la segmentazione della rete sul secondo livello del modello OSI, consentendo di separare logicamente i dispositivi all’interno della stessa rete fisica. Esempi di VLAN in Proxmox VE utilizzate per un laboratorio domestico includono:
- VLAN di gestione: Esclusivamente per l’interfaccia grafica di Proxmox, SSH e gli strumenti amministrativi.
- VLAN delle VM: Per carichi di lavoro specifici come server web, database o ambienti di sviluppo.
- VLAN di storage: Dedicata a NAS, NFS, iSCSI o al server di backup Proxmox.
- VLAN IoT: Separa i dispositivi della casa intelligente dall’infrastruttura critica.
L’uso delle VLAN riduce al minimo la superficie di attacco e offre i seguenti vantaggi:
- Limita la diffusione del malware tra diverse VLAN.
- Impedisce alle VM compromesse di accedere alla gestione di Proxmox.
- Applica un rigoroso controllo degli accessi tra i servizi.
Ad esempio, se un malware infetta una VM collegata alla VLAN 20 e si diffonde sulla rete, non potrà accedere all’interfaccia di gestione dell’host Proxmox collegata alla VLAN 10. Si raccomanda di configurare il firewall di Proxmox e le relative regole sul terzo livello del modello OSI, oltre a configurare le VLAN sul secondo livello.
- Consentire l’accesso SSH a Proxmox solo dalla VLAN di amministrazione 10 (192.168.10.0/24).
- Bloccare tutte le comunicazioni tra la VLAN degli ospiti 30 (192.168.30.0/24) e la VLAN di gestione di Proxmox.
- Consentire l’accesso al NAS solo alle VM che ne hanno bisogno, non all’intera rete.
Nella tabella è riportato un esempio di architettura VLAN per un laboratorio domestico Proxmox.
| ID VLAN | Scopo | Sottorete | Accesso |
| 10 | Gestione | 192.168.10.0/24 | Interfaccia grafica Proxmox, SSH, Gestione dell’hypervisor |
| 20 | Rete server/VM | 192.168.20.0/24 | Server web, server applicativi, VM di database |
| 30 | VLAN ospiti | 192.168.30.0/24 | Dispositivi con livello di affidabilità minimo (portatili ospiti, IoT) |
| 40 | Storage VLAN | 192.168.40.0/24 | NFS, iSCSI, NAS, server di backup Proxmox |
| 50 | DMZ (visibile al pubblico) | 192.168.50.0/24 | Server web pubblici, proxy inversi |
Utilizzare uno switch gestito per creare VLAN e taggare le porte collegate a Proxmox. Le VLAN possono essere create nella configurazione di rete di Proxmox modificando /etc/network/interfaces Di seguito è riportato un esempio del contenuto del file di configurazione per creare VLAN su interfacce in modalità bridge: auto vmbr0 iface vmbr0 inet manual bridge-ports eno1 bridge-stp off bridge-fd 0 # VLAN di gestione (ID 10) auto vmbr0.10 iface vmbr0.10 inet static address 192.168.10.2/24 vlan-raw-device vmbr0 # VM VLAN (ID 20) auto vmbr0.20 iface vmbr0.20 inet static address 192.168.20.2/24 vlan-raw-device vmbr0
Limitare l’accesso alle porte non necessarie
Gli aggressori possono sfruttare le porte aperte per diversi servizi per accedere a un host Proxmox tramite vulnerabilità esistenti. Chiudi l’accesso tramite porte non necessarie utilizzando il firewall oppure limita l’accesso all’indirizzo IP di Proxmox e a porte specifiche, consentendo l’accesso solo agli indirizzi IP attendibili definiti manualmente. Poiché Proxmox è un Basato su Linux sistema, Proxmox VE utilizza un potente firewall basato su iptables. Nel caso in cui si utilizzi un cluster Proxmox, il firewall memorizza la configurazione e viene eseguito su ciascun nodo del cluster. Per accedere alla configurazione del firewall di Proxmox nell’interfaccia web di Proxmox VE, andare su Datacenter > Firewall > Regole di sicurezza e aggiungere un nuovo Gruppo con regole firewall personalizzate.
Configurare una VM firewall o router
L’esecuzione del firewall su un Host o cluster Proxmox può proteggere non solo gli host Proxmox presenti in un laboratorio domestico Proxmox. È possibile configurare una VM dedicata alle attività di firewall per proteggere l’intera rete e tutti i dispositivi collegati. Questa configurazione è comunemente denominata architettura “firewall virtuale” o “VM firewall”. In questo modo è possibile effettuare l’implementazione di soluzioni firewall diffuse come pfSense, OPNsense o firewall basati su Linux quali iptables.Si noti che questa configurazione del laboratorio domestico Proxmox con una VM firewall potrebbe risultare conveniente se l’host Proxmox è sempre in esecuzione. Se viene spento periodicamente, anche la VM firewall utilizzata per l’intera rete viene spenta. Ciò può causare problemi se la VM firewall viene utilizzata per l’accesso a Internet da parte di tutti i dispositivi della rete (in questo caso, potrebbe essere più conveniente utilizzare un dispositivo fisico configurato come firewall). È opportuno valutare i vantaggi e gli svantaggi di questa configurazione per il proprio ambiente prima di decidere se utilizzare la VM firewall.
Crittografare i dischi ZFS per la protezione dei dati
Se si utilizza il file system ZFS su un host Proxmox e si necessita del massimo livello di sicurezza, si consiglia di abilitare la crittografia ZFS su Proxmox per crittografare i pool di storage e impedire l’accesso non autorizzato alle unità disco contenenti i dati. Prestare attenzione prima di eseguire qualsiasi operazione sui dischi e sui file system. Eseguire il backup dei dati importanti prima di modificare la configurazione dello storage. Un esempio di crittografia di un pool ZFS su un host Proxmox: zfs create pool-name/safe -o encryption=on -o keyformat=passphrase
Non esporre mai Proxmox alla rete Internet pubblica
Non abilitare l’accesso pubblico a un host Proxmox da Internet. Se è necessario consentire l’accesso all’host Proxmox da ubicazioni esterne, configurare il firewall in modo da consentire l’accesso all’host Proxmox da indirizzi IP specifici, definendo esplicitamente gli indirizzi IP e i numeri di porta. A tal fine è possibile utilizzare il port forwarding sul firewall. In alternativa, configurare un server VPN nell’ambiente in cui si trova il laboratorio domestico Proxmox e utilizzare una connessione VPN per accedere all’host Proxmox da reti esterne.
Monitoraggio e controllo della sicurezza di Proxmox
Monitoraggio Gli host Proxmox in un laboratorio domestico possono contribuire a migliorare il livello di sicurezza complessivo. Monitorate i log su un host Proxmox e tenete d’occhio l’utilizzo della CPU, della RAM e del disco. Assicuratevi che i log integrati di Proxmox siano abilitati:
- Syslog: /var/log/syslog – Log generali di sistema.
- Autenticazione: /var/log/auth.log – Tentativi di accesso tramite SSH e interfaccia grafica.
- Log specifici di Proxmox: /var/log/pve/ – Log relativi ai servizi Proxmox.
Inoltre, è possibile utilizzare speciali strumenti di monitoraggio centralizzato (soluzioni gratuite o a pagamento) per monitorare gli host Proxmox e i sistemi operativi guest sulle VM. Configurare avvisi e notifiche per risolvere rapidamente eventuali problemi il prima possibile. Prestare attenzione alle seguenti condizioni durante la configurazione delle autenticazioni automatiche:
- Più di 5 tentativi di accesso SSH falliti nell’arco di 5 minuti.
- L’utilizzo della CPU di una VM rimane superiore al 90% per oltre 10 minuti.
- Rilevamento di una porta aperta inattesa sull’host Proxmox.
Eseguite controlli periodici e scansioni di sicurezza. Installate regolarmente patch di sicurezza e aggiornamenti per correggere le vulnerabilità note. Verificate le regole del firewall per assicurarvi che siano ottimali, tenendo conto delle ultime modifiche all’Infrastruttura.
Protezione dei backup Proxmox dal ransomware
I backup Proxmox consentono di proteggere i dati in un ambiente virtuale Proxmox. Eseguite regolarmente il backup delle VM e conservate i backup in un luogo sicuro. Se un ransomware infetta le VM e crittografa i dati in modo irreversibile, è possibile ripristinare i backup per evitare la perdita dei dati. Tuttavia, anche i backup sono un bersaglio per il ransomware. Assicuratevi che solo gli utenti autorizzati possano accedere all’archivio dei backup e alle relative applicazioni. Utilizzate un supporto di archiviazione con protezione air-gap e immutabilità del backup per garantire una protezione ottimale dai ransomware per il vostro laboratorio domestico Proxmox e i backup Proxmox. Un supporto di archiviazione con protezione air-gap può essere un disco rigido (HDD) fisicamente scollegato, un disco ottico, una cartuccia a nastro, ecc. L’immutabilità dei backup è una funzione che utilizza l’approccio “write-once-read-many” (WORM). Una volta scritti, i dati non possono essere modificati né cancellati fino alla scadenza del periodo di immutabilità. NAKIVO Backup & Replication è una soluzione dedicata alla protezione dei dati che supporta Backup Proxmox per le VM e l’immutabilità. I backup immutabili possono essere configurati su repository di backup locali collegati a Linux Transporter, Amazon S3, sul cloud e in sistemi di archiviazione a oggetti compatibili con S3.
Conclusione
Le misure di sicurezza efficaci di Proxmox includono una politica di autenticazione rigorosa, la segmentazione della rete, la limitazione degli accessi nel firewall, la sicurezza SSH di Proxmox, il monitoraggio dell’ambiente, il backup dei dati e la protezione dai ransomware. Implementate queste misure nel vostro Proxmox in un ambiente di laboratorio per ridurre il rischio di infezioni da malware e prevenire la perdita di dati. Utilizzate NAKIVO Backup & Replication per eseguire il backup delle VM Proxmox e proteggere i backup dal ransomware grazie all’immutabilità.
