а вообще может имеет смысл вообще отключить фаерволл проксокса, поставить иптаблес-персистент, и в файле конфигурации уже настроить всё как мне надо

имхо он очень удобный

с кластера на кластер переносится 1 файликом

там как понял нет правил на форвард даже,  то есть все правила расчитаны на фильтрацию доступа к самой хост системе

а еще там нет native-dhcp . был бы то большинство и роутеров бы не пихали в вм
хотя примеров достаточно)

у меня был в одной инсталляции роутерос в виртуалке, и через этот роутерос же доступ был к  хостсистеме из вне,  и случился случай что что то пошло не так пришлось физически к серверу ехать, но к своему серверу еще доеду, а к дедику в цоде где нет квм это будет уже всё потеряно, если только в каком то рековери грузиться и править конфиги хост системы что бы ип перехватить обратно

купите доп ип 1-4$

ну не, сложна как-то. Я боюсь ipv6
Лучше уж двойной НАТ пусть будет в таком случае

Логика построения:

1) у Прокса должно быть два бриджа: vmbr0 и vmbr1
vmbr0 привязан к eth0 и имеет айпишник и шлюз
vmbr1 "пустой"

2) ВМ-роутер имеет два интерфейса. net0 и net1
net0 в vmbr0, и это будет WAN-порт для ВМ-роутера
net1 в vmbr1, и это будет LAN-порт для ВМ-роутера

3) Все ВМ-ки имеют по одному интерфейсу, и он внутри vmbr1
Таким они общаются только с ВМ-роутером, и мир видят через него, плюс все фишки типа DHCP и т.д.

4) На Проксе действительно настроить файрволл нужно только один раз. Открыть порты на сервисы самого Прокса плюс диапазон на ВМ-роутер

блоком по 900 рублей

проблемы хостера. но на ноду 900 рублей жать?)

да, когда это 30% Ж)

менять хостера? о чем мы вообще) го в флудилку

ну то есть зарание с хост системы пробросить всё на виртуальный роутер

и.м.е.н.н.о так)

а айпи взять ? ну проще же)

кстати при использовании в6 опять встроенный фаерволл же пролетает лесом, поддержки нет

прокс всегда доступен будет и вм отдельно

если нет кворума виртуалки не запустяться, есть много но но как бы ловил такое

но зато прокс будет доступен)

однозначно) Но 900 рублей я бы тоже зажал - это ж в Мак считай сходить три раза