有客户反应，在Proxmox VE中的虚拟机，当一条进站TCP连接的进站方向路由经过隧道，而出站方向是直接走默认路由时，出站的数据包被丢。首先我们怀疑iptables：

看来确实配置了conntrack规则，丢掉没有正确建立连接的数据包。但是我们的虚拟机出去到上游路由器是同一个二层，数据包为什么会被丢呢？这就要说到Linux的bridge中有个功能是将所有经过bridge的数据包发给iptables过滤。让我们看看这个功能是否开启：

果然是开启的。Proxmox VE需要实现VM上的ipset，这个功能是必需的。

那么要解决这一问题，我们只能关闭Proxmox VE防火墙的丢弃INVALID包功能了。根据文档，新建或编辑/etc/pve/nodes/<nodename>/host.fw文件：

然后重新启动防火墙服务以更新规则：

参考：

• Iptables – Bridge and Forward chain
• Firewall – Proxmox Wiki

需求：因为Proxmox VE不好接SolusVM之类的管理面板，所以我们在分销时直接把Proxmox VE自带的管理后台给用户。我们仅允许用户：

• 开机，关机
• 使用VNC功能
• 挂载指定的ISO自行重装系统

参考配置方法如下。

Storage

创建一个叫iso的Datastore用于存放共享的ISO文件。

Pools

为每个用户创建一个pool。

Roles

创建EndUser role用于用户VM，Privileges：

• Datastore.Audit
• VM.Audit
• VM.Config.CDROM
• VM.Config.Disk（不给这个的话CDROM还是没法修改；但是因为没有Datastore相关的权限，用户是分配不了更多硬盘空间的）
• VM.Console
• VM.Monitor
• VM.PowerMgmt

创建EndUserData role用于共享的存储空间，Privileges：

• Datastore.Audit

Groups

创建一个User group。

Users

为每个用户创建一个user，Group设为上面创建的User。

Permissions

• /storage/iso给User group一个EndUserData的role
• /pool/{user}给对应用户账号一个EndUser的role