Спасибо, да, видел, что вокруг nft уже есть удобные обвязки. Я как раз сейчас в эту сторону и смотрю. Но в статье сознательно разбирал то решение, которое реально внедрялось в существующей инфраструктуре.
Да, поэтому я и не рассматриваю это как универсальный подход. В данном случае блокировка по странам была отдельным требованием клиента😅 но в самом решении она сделана как отключаемая опция. То есть его можно использовать и без geoblock, оставив остальные уровни фильтрации и autoban.
Справедливо отметили, спасибо) Да, для новых конфигураций я бы сейчас и сам скорее смотрел в сторону nftables, и как раз дорабатываю решение под него. Но сравнение с ifconfig всё же слишком сильное, ipset и сегодня остаётся рабочим инструментом для многих существующих серверов. В статье я разбирал именно тот вариант, который сложился на практике и показал себя в работе.
Хороший вопрос) Если кратко, разница в основном в скорости, а не в конфигурации. Proxmox и кластер настраиваются точно так же, просто быстрее работают сетевые операции: миграции ВМ, обмен трафиком между нодами, доступ к хранилищу. В моём случае были Mac mini с обычным 1 Гбит/с, поэтому всё показано на этой конфигурации. Если есть версия с 10 Гбит/с, это просто приятный бонус для homelab, будут более комфортные эксперименты.
Да, dns использовать можно. Тут дело не в запрете, а в контексте. В статье я описывал по сути homelab без внешней инфраструктуры. В таком сценарии самый простой и надёжный вариант, зафиксировать hostname через /etc/hosts, без зависимости от отдельного dns-сервиса. Для прод-окружений или более сложных сетей dns, конечно, ок и даже предпочтительнее, но для локала /etc/hosts - меньше движущихся частей и меньше неожиданных проблем.
Да, готовый дистрибутив Proxmox, нормальный и самый простой путь. Но на некоторых старых Mac mini прямой ISO-инсталлятор либо зависал, либо не проходил этап загрузчика (особенно на моделях с чипом T2), с этим как раз столкнулся в самом начале задумки. Почитав форумы, нашёл один из подходов решения проблемы, и решил адаптировать его под свои реалии. В итоге сознательно пошёл по пути Debian и далее Proxmox из репозиториев: он оказался более предсказуемым с точки зрения установки и стабильной работы на этом железе.
Да, вы правы: при установке с netinst NetworkManager можно вообще не ставить и избежать этого шага. В моём случае он оказался установлен по умолчанию, поэтому пришлось отдельно отключать, решил вынести этот момент в статью. Про hostname и /etc/hosts согласен, это действительно критично для Proxmox и может аукнуться в самых неожиданных местах, теперь об этом знаю. Спасибо, что подсветили этот момент и за ссылки, полезное дополнение к статье.
Спасибо большое за уточнение. С live миграциями без общего хранилища в Proxmox ещё не сталкивался на практике, поэтому в статье писал из опыта с классической offline миграцией. Возьму на заметку и пойду в эту сторону — для развития системы это действительно может быть полезно.
С проблемами входа в рекавери сам не сталкивался, так как дальше всё сразу ушло в Proxmox, но теперь буду знать про сброс nvram/smc как рабочее решение. Спасибо большое, возьму на заметку на будущее.
Спасибо, да, видел, что вокруг nft уже есть удобные обвязки. Я как раз сейчас в эту сторону и смотрю. Но в статье сознательно разбирал то решение, которое реально внедрялось в существующей инфраструктуре.
Спасибо большое, полезное дополнение, обязательно попробую такое решение!
Да, поэтому я и не рассматриваю это как универсальный подход. В данном случае блокировка по странам была отдельным требованием клиента😅 но в самом решении она сделана как отключаемая опция. То есть его можно использовать и без geoblock, оставив остальные уровни фильтрации и autoban.
Справедливо отметили, спасибо) Да, для новых конфигураций я бы сейчас и сам скорее смотрел в сторону nftables, и как раз дорабатываю решение под него. Но сравнение с ifconfig всё же слишком сильное, ipset и сегодня остаётся рабочим инструментом для многих существующих серверов. В статье я разбирал именно тот вариант, который сложился на практике и показал себя в работе.
Хороший вопрос) Если кратко, разница в основном в скорости, а не в конфигурации. Proxmox и кластер настраиваются точно так же, просто быстрее работают сетевые операции: миграции ВМ, обмен трафиком между нодами, доступ к хранилищу. В моём случае были Mac mini с обычным 1 Гбит/с, поэтому всё показано на этой конфигурации. Если есть версия с 10 Гбит/с, это просто приятный бонус для homelab, будут более комфортные эксперименты.
Да, dns использовать можно. Тут дело не в запрете, а в контексте. В статье я описывал по сути homelab без внешней инфраструктуры. В таком сценарии самый простой и надёжный вариант, зафиксировать hostname через /etc/hosts, без зависимости от отдельного dns-сервиса. Для прод-окружений или более сложных сетей dns, конечно, ок и даже предпочтительнее, но для локала /etc/hosts - меньше движущихся частей и меньше неожиданных проблем.
Да, готовый дистрибутив Proxmox, нормальный и самый простой путь. Но на некоторых старых Mac mini прямой ISO-инсталлятор либо зависал, либо не проходил этап загрузчика (особенно на моделях с чипом T2), с этим как раз столкнулся в самом начале задумки. Почитав форумы, нашёл один из подходов решения проблемы, и решил адаптировать его под свои реалии. В итоге сознательно пошёл по пути Debian и далее Proxmox из репозиториев: он оказался более предсказуемым с точки зрения установки и стабильной работы на этом железе.
Да, вы правы: при установке с netinst NetworkManager можно вообще не ставить и избежать этого шага. В моём случае он оказался установлен по умолчанию, поэтому пришлось отдельно отключать, решил вынести этот момент в статью.
Про hostname и /etc/hosts согласен, это действительно критично для Proxmox и может аукнуться в самых неожиданных местах, теперь об этом знаю. Спасибо, что подсветили этот момент и за ссылки, полезное дополнение к статье.
Спасибо большое за уточнение. С live миграциями без общего хранилища в Proxmox ещё не сталкивался на практике, поэтому в статье писал из опыта с классической offline миграцией. Возьму на заметку и пойду в эту сторону — для развития системы это действительно может быть полезно.
С проблемами входа в рекавери сам не сталкивался, так как дальше всё сразу ушло в Proxmox, но теперь буду знать про сброс nvram/smc как рабочее решение. Спасибо большое, возьму на заметку на будущее.
Интересный туториал, было бы интересно узнать материал по кешированию