Proxmox/Hetzner: SSL-Problem

[Hank Moody]

Hi Leute,

ich habe auf meinem Proxmox-Server bei Hetzner gestern IPv6 aktiviert und dazu die Netzwerk-Konfiguration umgebaut. Seit der Änderung kann ich keine SSL-Connections mehr aus den Gästen aufrufen, da ich immer das Zertifikat des Proxmox-Host zurückbekomme.
​
​Verbinde ich mich mit OpenSSL auf den Host, gibt er mir ebenfalls das falsche Zertifikat zurück:

root@web1: ~ # openssl s_client -connect google.de:443 
CONNECTED(00000003)
depth=2 O = Digital Signature Trust Co., CN = DST Root CA X3
verify return:1
depth=1 C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3
verify return:1
depth=0 CN = px.example.org
verify return:1

Bei dem gelieferten Zertifikat handelt es sich um meinen Proxmox-Host. Ein Host gibt die korrekte IP zurück:

root@web1: ~ # host google.de
google.de has address 172.217.21.131
google.de has IPv6 address 2a00:1450:4001:815::2003
google.de mail is handled by 20 alt1.aspmx.l.google.com.
google.de mail is handled by 10 aspmx.l.google.com.
google.de mail is handled by 30 alt2.aspmx.l.google.com.
google.de mail is handled by 40 alt3.aspmx.l.google.com.
google.de mail is handled by 50 alt4.aspmx.l.google.com.

Konfiguration Proxmox-Node

auto eth0
iface eth0 inet static
        address  x.x.x.x
        netmask  255.255.255.255
        gateway  x.x.x.1
	      pointopoint x.x.x.1

iface eth0 inet6 static
	address 2a01:4f8:x:x::x
	netmask 128
	gateway fe80::1
	up sysctl -p

auto vmbr0
iface vmbr0 inet static
	address  x.x.x.x
	netmask  255.255.255.255
	bridge_ports none
	bridge_stp off
	bridge_fd 0
	bridge_maxwait 0

	up ip route add x.y.y.y/32 dev vmbr0
        up ip route add x.y.x.y/32 dev vmbr0

iface vmbr0 inet6 static
	address  2a01:4f8:x:x::x
	netmask  64

Konfiguration KVM-Guest

auto eth0
iface eth0 inet static
	address x.y.y.y
	netmask 255.255.255.255
	pointopoint x.x.x.x
	gateway x.x.x.x
	dns-nameservers 8.8.8.8 8.8.4.4
	dns-search example.org

iface eth0 inet6 static
        address  2a01:4f8:x:x::d
        netmask  64
        gateway  2a01:4f8:x:x::x
        dns-nameservers 2001:4860:4860::8888 2001:4860:4860::8844

Ideen?

--- [2016-12-13 14:33 CET] Automatisch zusammengeführter Beitrag ---

Oh, mann. Wenn man iptables-Regeln in der PREROUTING-Chain setzt, sollte man die auch wieder entfernen.

Leider sieht man die halt nur mit

iptables -L -t nat

Problem gelöst.