Externe Hosts
Rechner außerhalb von Proxmox für SSH und SFTP eintragen, sich mit einer beliebigen Adresse verbinden und ausgehende Verbindungen beschränken.
Im Reiter External Hosts der Seite Remote Access tragen Sie Rechner ein, die nicht von Proxmox verwaltet werden – z. B. einen NAS, einen Router oder einen Cloud-Server –, um sie per SSH und SFTP zu erreichen. Sie erscheinen nur hier.
Host eintragen
Klicken Sie auf Add host:
| Feld | Inhalt |
|---|---|
| Name | z. B. Büro-NAS. |
| Host name / IP | z. B. nas.example.com oder 192.0.2.30. Nur Name oder Adresse, keine URL. |
| Protocol | SSH (darüber laufen auch SFTP-Sitzungen). |
| Port | Standard 22. |
| Notes (optional) | Freitext. |
Klicken Sie auf Add host. Zugangsdaten gehören nicht zum Eintrag; Sie können sie beim Verbinden speichern.
Die Liste zeigt Name, Address, Protocol, Notes und, ob Zugangsdaten gespeichert sind. Search hosts… filtert.
Verbinden
Connect öffnet das Remote-Access-Fenster mit den Reitern SSH und SFTP. Die Adresse kommt immer aus dem Eintrag und lässt sich im Fenster nicht ändern.
Connect to address verbindet sich per SSH oder SFTP mit einer beliebigen Adresse, ohne einen Eintrag anzulegen. Zugangsdaten lassen sich dabei nicht speichern.
Ändern und löschen
- Edit: Ändern Sie Adresse, Port oder Protokoll, werden die gespeicherten Zugangsdaten des Hosts gelöscht – ein gespeichertes Passwort geht nie an ein anderes Ziel. Name und Notizen ändern sie nicht.
- Clear saved credentials: löscht nur die gespeicherten Zugangsdaten; der Eintrag bleibt.
- Delete: löscht nach Rückfrage (Delete Host) den Eintrag samt gespeicherten Zugangsdaten.
Berechtigungen
| Berechtigung | Erlaubt |
|---|---|
remote-host.view | Reiter External Hosts sehen (ohne Zugangsdaten). |
remote-host.create / remote-host.edit / remote-host.delete | Hosts anlegen, ändern, löschen. |
remote-host.ssh | SSH-Terminal zu einem Host oder zu einer beliebigen Adresse (Connect to address). |
remote-host.sftp.browse / .upload / .modify | SFTP wie bei VMs: ansehen und herunterladen / hochladen / löschen, umbenennen, Ordner anlegen. |
remote-host.credentials.save | Die ersten Zugangsdaten für einen Host speichern. Vorhandene ersetzen geht damit nicht. |
remote-host.credentials.replace | Vorhandene Zugangsdaten ersetzen. |
remote-host.credentials.clear | Gespeicherte Zugangsdaten löschen. |
Gespeicherte Zugangsdaten verwenden darf jeder, der sich mit dem Host verbinden darf. Die Trennung von Speichern und Ersetzen verhindert, dass jemand die Anmeldung eines Hosts unbemerkt gegen eine eigene austauscht.
Ausgehende Verbindungen beschränken
Für SSH und SFTP gilt immer: keine Verbindungen zu Loopback-, link-lokalen und Cloud-Metadaten-Adressen (siehe SSH und SFTP).
Darüber hinaus kann ein Benutzer mit der Systemrolle admin unter Settings → Outbound connections festlegen:
- Deny-Regeln (eine IP-Adresse oder ein Netz, z. B.
198.51.100.0/24): Ziele, die nie erreicht werden dürfen. Mit Enforce deny rules (standardmäßig an) lassen sich die Regeln pausieren, ohne sie zu löschen. - Allowlist (standardmäßig aus): Ist sie an, sind nur noch erlaubt
- die Adressen eingetragener externer Hosts,
- Adressen und Netze aus Allow-Regeln,
- die aktuellen Adressen laufender VMs, die der QEMU Guest Agent meldet. VMs ohne Guest Agent und Container tragen Sie als Allow-Regel ein.
Deny-Regeln gehen allen Erlaubnissen vor. Die Regeln gelten für die Adresse, nicht für den Port. Wird eine Verbindung abgelehnt, nennt die Meldung, welche Regel gegriffen hat.