Proxmox VE s'installe en une vingtaine de minutes. C'est l'une de ses grandes qualités, et aussi un piège : une installation par défaut fonctionne, mais elle n'est pas prête pour la production. Voici les sept réglages que nous appliquons systématiquement avant d'y déployer la première machine virtuelle.
1. Choisir les bons dépôts de paquets
Après l'installation, le dépôt enterprise est activé. Sans abonnement, les mises à jour échouent. Dans l'interface, ouvrez Nœud > Mises à jour > Dépôts : désactivez le dépôt enterprise et activez le dépôt no-subscription, ou mieux, souscrivez un abonnement pour les plateformes critiques. Il donne accès au dépôt le plus testé et au support de l'éditeur.
2. Mettre à jour, puis planifier les mises à jour
Appliquez toutes les mises à jour avant la mise en service (apt update puis apt full-upgrade, ou le bouton Mettre à jour de l'interface). Ensuite, fixez un rythme : par exemple une fenêtre mensuelle, nœud par nœud, en migrant les machines virtuelles vers un autre nœud du cluster avant chaque redémarrage.
3. Vérifier la synchronisation de l'heure
Un cluster Proxmox, et plus encore un stockage distribué, supporte très mal les écarts d'horloge entre nœuds. Vérifiez que chaque nœud se synchronise (chronyc sources) sur des serveurs de temps fiables, si possible les mêmes pour tous les nœuds.
4. Séparer les réseaux
Tout faire passer par une seule carte réseau est la source de nombreux incidents. Prévoyez au minimum :
- un réseau d'administration pour l'interface web et SSH ;
- un réseau dédié au cluster (Corosync), à faible latence, idéalement doublé ;
- un réseau de stockage et de migration à haut débit ;
- des bridges pour les machines virtuelles, avec la prise en charge des VLAN activée (VLAN aware).
5. Créer des comptes nominatifs
N'utilisez pas le compte root@pam au quotidien. Créez un compte par administrateur, regroupez-les dans des groupes, attribuez des rôles au plus juste (un opérateur qui démarre des machines n'a pas besoin de modifier le stockage), et activez la double authentification (TOTP) dans Datacenter > Permissions > Authentification à deux facteurs. Le compte root reste réservé aux urgences.
6. Activer le pare-feu, avec méthode
Proxmox VE intègre un pare-feu à trois niveaux : datacenter, nœud et machine virtuelle. Avant de l'activer au niveau datacenter, créez d'abord les règles qui autorisent l'interface web (port 8006) et SSH (port 22) depuis votre réseau d'administration seulement. Activé sans règles, il peut vous couper l'accès à l'interface. Ajoutez ensuite des groupes de sécurité réutilisables pour vos machines virtuelles.
7. Planifier les sauvegardes dès le premier jour
Créez les tâches de sauvegarde avant les premières machines, pas après le premier incident. Proxmox Backup Server, installé sur une machine distincte, apporte la déduplication, la vérification des sauvegardes et la restauration fichier par fichier. Fixez une rétention (par exemple 7 quotidiennes, 4 hebdomadaires, 6 mensuelles), activez les notifications par e-mail en cas d'échec, et testez une restauration dès la première semaine.
Pour aller plus loin
Ces réglages posent des bases saines. Viennent ensuite la haute disponibilité, le stockage distribué, la supervision des nœuds et l'automatisation des déploiements : autant de sujets qui demandent une vraie maîtrise de la plateforme par l'équipe qui l'exploite.