¿Es mala idea meterle 4 IPs públicas a un solo Proxmox con bridges?

Snowboard

Buenas gente, estoy empezando con Proxmox y tengo una duda de novato que me está quemando la cabeza. Resulta que mi ISP me da un bloque de 4 IPs públicas (/30) y quiero montar un servidor casero con varios servicios expuestos (web, mail, nextcloud, etc.). Mi plan es instalar Proxmox en el host, crear bridges para cada IP y asignar una IP pública directa a cada VM/CT. Pero leí por ahí que eso es una locura y que debería usar NAT o un router virtual. ¿Alguien ha hecho esto? ¿Es seguro? Mi miedo es que si me equivoco en la configuración de red, dejaría todo el bloque inservible o algo así. Agradezco consejos de los pros.

Urban

No es mala idea, pero tienes que tener cuidado con el bridge y el modo promiscuo. Si configuras cada bridge con su IP en el host y luego las VMs usan direcciones IP de ese mismo segmento, puede haber conflictos ARP si no separas bien los dominios de broadcast. Lo suyo sería crear un bridge 'vmbr0' con la IP principal del host y luego para las VMs usar bridges separados sin IP asignada en el host, solo como switch virtual. Así el host no responde ARP por esas IPs y las VMs se comportan como equipos independientes. Eso sí, el ISP tiene que permitir múltiples MACs en el mismo puerto.

World

Totalmente de acuerdo con lo del bridge sin IP. Pero ojo, si el ISP filtra por MAC, te van a cortar el servicio. Otra opción es usar un router virtual con pfSense o OpenWRT en una VM, que haga NAT 1:1 o simplemente reenvío de puertos. Así solo usas una IP pública para todo y las VMs internas tienen IPs privadas. Es más limpio y seguro porque pones un firewall de por medio. Yo lo hago así y va de lujo.

Snowboard

Gracias por las respuestas. Lo del bridge sin IP en el host tiene sentido. Pero entonces, si hago eso, ¿cómo accedo a la interfaz web de Proxmox? Porque si la IP del host está en otro bridge, perdería el acceso desde fuera si falla algo? Y lo de poner un router virtual me parece más complejo, pero si es más seguro igual me animo. ¿Alguna guía para hacerlo con OpenWRT?

ArtLover

Para la interfaz web de Proxmox, dejas un bridge (ej. vmbr0) con la IP pública que quieras para el host. Las VMs pueden usar otros bridges (vmbr1, vmbr2) sin IP en el host. El host solo responde por su IP, las VMs por las suyas. Es sencillo. Eso sí, asegúrate de que el switch físico o el router del ISP no tenga filtros de MAC. Si te da miedo, prueba primero con una IP y ve agregando de a poco. Y sobre OpenWRT, busca en el foro que hay un tutorial de 'Proxmox + OpenWRT como router principal'. Suerte.

History

Yo te recomendaría que no uses IPs públicas directas para cada VM. Es un dolor de cabeza con la seguridad. Mejor un solo IP público y haces port forwarding con iptables o con un reverse proxy como Nginx. Proxmox te permite hacer reglas de firewall por VM, pero a nivel de red es más complejo. Si eres novato, ve con NAT y luego evolucionas. No te compliques la vida.

Snowboard

Vale, me estáis convenciendo de lo del router virtual. Al final, tener 4 IPs públicas y no usarlas para nada me da pena, pero si es por seguridad... Creo que haré una VM con pfSense, le asigno una IP pública, y las otras VMs las pongo en red interna. Así aprendo también. ¡Gracias a todos por los consejos!

TechFan

Buena decisión. Y no desperdicias las IPs, las puedes usar para servicios específicos con NAT 1:1. Por ejemplo, una IP para el mail, otra para la web, etc. Pero todo gestionado desde el firewall. Así mantienes control y seguridad. Si necesitas ayuda con la configuración de pfSense en Proxmox, avisa.

Punk

pfSense con NAT 1:1 es la jugada maestra. Así aprovechas las IPs públicas sin exponer las VMs directamente. Solo asegúrate de pasarle las VLANs adecuadas y no olvides desactivar la aceleración por hardware en los bridges si usas NICs realtek. ¿Has mirado si tu ISP permite múltiples MACs en el mismo puerto? Algunos solo dejan una y tendrías que switchear por switch gestionado.