Ne publiez pas directement l’administration Proxmox sur Internet. Un VPN permet d’atteindre l’adresse privée du serveur et son port 8006.
Nom privé
Un nom comme pve.yourname.uk.app peut pointer vers l’adresse LAN. Il fonctionne alors depuis le réseau local ou un VPN correctement routé. Vérifiez la résolution DNS et, si nécessaire, une exception ciblée à la protection contre le DNS rebinding.
Certificat
ACME DNS-01 ne demande pas d’ouvrir 8006 au public. Utilisez un jeton d’API DNS avec les seuls droits nécessaires de lecture et d’écriture des enregistrements. Respectez les emplacements de certificats prévus par Proxmox et vérifiez le renouvellement.
Sécurité
Activez MFA, des comptes individuels et des permissions limitées. Depuis l’extérieur du VPN, assurez-vous que 8006 reste fermé. Testez ensuite connexion et console dans le tunnel.
Exemples de configuration
Adaptez valeurs, interfaces et ports. Les exemples peuvent correspondre à différentes versions : n’exécutez pas ensemble des variantes incompatibles. Ne publiez jamais de vrais jetons ou clés privées.
apt install unzip
curl https://get.acme.sh | sh -s email=you@example.com
curl -fsSLO https://uk.app/downloads/ukapp-tools.zip && unzip ukapp-tools.zip
install -m 755 ukapp.py /usr/local/bin/ukapp
cp dns_ukapp.sh ~/.acme.sh/dnsapi/
install -m 600 /dev/null /root/.ukapp-api-token && nano /root/.ukapp-api-token
export UKAPP_TOKEN="$(cat /root/.ukapp-api-token)"
~/.acme.sh/acme.sh --issue --server letsencrypt --dns dns_ukapp --dnssleep 300 -d pve.yourname.uk.app~/.acme.sh/acme.sh --install-cert -d pve.yourname.uk.app --ecc \
--fullchain-file /etc/pve/local/pveproxy-ssl.pem \
--key-file /etc/pve/local/pveproxy-ssl.key \
--reloadcmd "systemctl restart pveproxy"Vérifications finales
Testez depuis une connexion mobile hors de votre Wi-Fi. Vérifiez séparément DNS, port attendu, certificat HTTPS valide et authentification. Gardez les interfaces administratives privées, appliquez les mises à jour et testez une restauration. Contrôlez les pare-feu IPv6 et IPv4. Un test de port réussi n’est pas un audit de sécurité.
Cette édition localisée résume le guide source. Les commandes conservent leur syntaxe originale. Consultez la documentation du fabricant pour votre version exacte.
