Belajar Proxmox Backup Server - Network Isolation & Firewall

#Pendahuluan

ACL di episode 12 mengatur siapa yang boleh akses — sekarang kita atur dari mana mereka boleh datang. Backup memindahkan volume data terbesar di infrastruktur kalian, dan data backup adalah target paling menggiurkan bagi penyerang. Episode 13 membangun network isolation & firewall sehingga PBS hanya bisa dijangkau oleh pihak yang semestinya.

Bayangkan PBS seperti gudang senilai aset perusahaan: ia tidak berada di jalan raya umum, melainkan di kawasan industri khusus (VLAN storage) dengan gerbang berjaga (firewall) yang hanya menerima pengiriman dari alamat yang sudah dikenal (node PVE), dan setiap kendaraan diverifikasi identitasnya (TLS + fingerprint).

#Network Isolation

#VLAN/Storage Network Terpisah

Traffic backup seharusnya tidak bercampur dengan traffic produksi/user. Praktik terbaiknya:

Sediakan VLAN storage khusus (misal VLAN 10) untuk koneksi PVE ↔ PBS.
Pisahkan juga management (web UI/SSH) ke network manajemen tersendiri (VLAN 99) yang dibatasi.
Jika memungkinkan, pisahkan interface: satu NIC untuk storage, satu untuk manajemen.

Isolasi ini punya dua efek: performa lebih stabil (backup tidak berebut bandwidth dengan traffic user) dan attack surface mengecil (PBS hanya terlihat oleh jaringan tertentu).

Cek interface PBS

ip -brief addr

#Firewall: UFW Membatasi 8007

Satu-satunya port yang harus dibuka adalah 8007 (API/web UI) — dan hanya untuk source yang sah: node PVE dan host client. Gunakan UFW:

Atur firewall UFW di PBS

ufw default deny incoming
ufw allow from 10.0.10.0/24 to any port 8007   # node PVE & client
ufw allow from 10.0.99.0/24 to any port 8007   # network manajemen
ufw allow from 10.0.99.0/24 to any port 22     # SSH ops (opsional)
ufw enable

ufw default deny incoming memblokir semua koneksi masuk kecuali yang eksplisit diizinkan. Port 8007 hanya menerima koneksi dari subnet storage dan manajemen. Verifikasi:

Cek status firewall

ufw status verbose

Warning

Pastikan kalian membuka akses dari jaringan manajemen sebelum ufw enable, dan jangan putus koneksi SSH yang sedang berjalan sampai koneksi baru dari rule yang benar teruji. Rule yang salah = PBS terkunci total di tengah malam.

#TLS: Sertifikat Valid & Fingerprint

#Sertifikat Valid (Let's Encrypt/PKI)

PBS default memakai sertifikat self-signed. Untuk production, ganti dengan sertifikat valid agar client tidak bergantung pada "abaikan peringatan":

Let's Encrypt (ACME): gratis, cocok jika PBS punya domain publik yang bisa diverifikasi.
PKI internal: sertifikat dari CA perusahaan (misal Vault/OpenBao) — cocok untuk network tertutup.

Konfigurasi ACME dilakukan di web UI: Administration → Certificates → ACME, atau via proxmox-backup-manager acme .... Sertifikat juga dipakai web UI 8007, jadi setelah dipasang, browser tidak lagi menampilkan peringatan.

#Verifikasi Fingerprint di Client

Selalu pakai TLS (https) saat menghubungkan client, dan setel fingerprint eksplisit supaya client menolak server yang tidak dikenali:

Lihat fingerprint PBS (di server)

proxmox-backup-manager cert info

Fingerprint yang sama diisi saat mendaftarkan storage di PVE (episode 4) dan saat menyambungkan proxmox-backup-client:

Sambungkan client dengan fingerprint

proxmox-backup-client backup etc.pxar:/etc \
  --repository https://backup@pbs@10.0.1.10:8007/store1 \
  --fingerprint AA:BB:CC:DD:...

Dengan fingerprint terpasang, koneksi di-reject jika sertifikat server berubah — perlindungan terhadap man-in-the-middle bahkan di jaringan internal. Simpan fingerprint yang benar; "fingerprint mismatch" menandakan ada yang tidak beres (detail di episode 16).

Tip

Jangan pernah menonaktifkan verifikasi TLS --fingerprint demi "menghemat waktu" — itu sama dengan mengirim seluruh backup tanpa autentikasi. Di jaringan storage, seorang penyerang yang menyamar sebagai PBS akan menerima semua data backup kalian.

#Penutup

Inti yang harus dibawa pulang:

Isolasi traffic backup ke VLAN storage; pisahkan manajemen dan produksi.
Firewall UFW: default deny incoming, buka 8007 hanya dari node PVE/client dan network manajemen.
Port 8007 adalah satu-satunya port layanan; SSH dibuka terbatas untuk operasional.
Pasang sertifikat valid — Let's Encrypt (ACME) untuk domain publik, PKI internal untuk network tertutup.
Selalu verifikasi fingerprint (proxmox-backup-manager cert info) di sisi client.
Jangan pernah menonaktifkan verifikasi TLS/fingerprint.

Di episode 14 selanjutnya kita akan melawan ancaman terbesar backup modern: keamanan repository & anti-ransomware — menggabungkan enkripsi client-side dengan datastore append-only/immutable lewat snapshot ZFS read-only, memperkuat off-site backup, merotasi key, dan mengaudit task log. Ransomware tidak boleh bisa mengenkripsi backup kalian juga!