Les réglages après installation de Proxmox VE

Les libellés de l'interface sont donnés en anglais, la langue par défaut. Si vous avez choisi le français à la connexion, les menus sont traduits (par exemple Datacenter devient Centre de données).

Le plan

1. Choisir le dépôt de mises à jour

Proxmox VE propose plusieurs dépôts de paquets :

Sans abonnement, désactivez le dépôt enterprise et ajoutez le dépôt no-subscription.

Par l'interface web

1. Sélectionnez le serveur (pve1) dans l'arborescence, puis Updates > Repositories.
2. Sélectionnez la ligne pve-enterprise, puis cliquez sur Disable.
3. S'il existe une ligne ceph avec le composant enterprise, désactivez-la aussi.
4. Cliquez sur Add, choisissez No-Subscription, puis Add.

Le panneau doit indiquer en haut que les mises à jour sont disponibles depuis un dépôt sans abonnement.

Ou en ligne de commande

Proxmox VE 9 repose sur Debian 13 et utilise le format de dépôt deb822 (fichiers .sources). Ouvrez Shell sur le serveur.

Désactiver le dépôt entreprise :

echo "Enabled: no" >> /etc/apt/sources.list.d/pve-enterprise.sources

Créer le fichier du dépôt sans abonnement :

cat > /etc/apt/sources.list.d/proxmox.sources <<'EOF'
Types: deb
URIs: http://download.proxmox.com/debian/pve
Suites: trixie
Components: pve-no-subscription
Signed-By: /usr/share/keyrings/proxmox-archive-keyring.gpg
EOF

Si le fichier /etc/apt/sources.list.d/ceph.sources existe et pointe vers enterprise.proxmox.com, ajoutez-y aussi la ligne Enabled: no.

2. Mettre le système à jour

Dans l'interface : Updates > Refresh, puis Upgrade (une console s'ouvre). Ou dans le Shell :

apt update
apt full-upgrade

Si la mise à jour installe un nouveau noyau, redémarrez (bouton Reboot en haut à droite, sur le serveur). Vérifiez ensuite les versions :

pveversion

Installez au passage les correctifs du processeur (microcode), qui corrigent des failles matérielles. Le composant non-free-firmware de Debian, nécessaire, est activé par défaut sur Proxmox VE 9 :

apt install intel-microcode

Ou, pour un processeur AMD :

apt install amd64-microcode

Redémarrez après installation.

3. Créer un compte administrateur nominatif

Travailler en root au quotidien, c'est utiliser le passe-partout pour tout : la moindre erreur ou fuite du mot de passe donne tout. Créez un compte à votre nom et réservez root aux urgences.

Proxmox propose deux domaines (realms) d'authentification :

Pour administrer les VM depuis l'interface web, un compte @pve suffit et expose moins le système. C'est le choix conseillé.

Par l'interface web

1. Datacenter > Permissions > Groups > Create : nom admins.
2. Datacenter > Permissions > Users > Add :
   • User name : spo
   • Realm : Proxmox VE authentication server
   • Group : admins
   • Password : un mot de passe long, différent de celui de root
   • E-Mail : votre adresse
3. Datacenter > Permissions > Add > Group Permission :
   • Path : / (tout le centre de données)
   • Group : admins
   • Role : Administrator

Ou en ligne de commande

pveum group add admins --comment "Administrateurs"
pveum acl modify / --groups admins --roles Administrator
pveum user add spo@pve --groups admins --email spo@exemple.fr
pveum passwd spo@pve

Déconnectez-vous, puis reconnectez-vous avec l'utilisateur spo, domaine Proxmox VE authentication server.

Pour donner des droits limités à une seule VM, choisissez comme Path /vms/100 (100 étant le numéro de la VM).

4. Activer la double authentification

Activez-la au moins pour root@pam et pour votre compte administrateur.

1. Connecté avec le compte concerné, cliquez sur son nom en haut à droite, puis TFA (ou Datacenter > Permissions > Two Factor > Add).
2. Choisissez TOTP : scannez le code QR avec une application d'authentification (Ente Auth, Aegis, ou celle de votre gestionnaire de mots de passe), puis saisissez le code affiché pour valider.
3. Ajoutez des Recovery Keys (codes de secours) : imprimez-les ou rangez-les dans votre gestionnaire de mots de passe.

WebAuthn (clé de sécurité physique, type YubiKey) est aussi disponible ; il demande que l'interface soit appelée par un nom de domaine avec un certificat valide, réglé dans Datacenter > Options > WebAuthn Settings.

5. Activer le pare-feu

Le pare-feu de Proxmox VE fonctionne à trois niveaux : centre de données (règles communes), serveur (node) et VM ou conteneur. Il est désactivé par défaut.

1. Datacenter > Firewall > Options : vérifiez Input Policy = DROP (bloquer ce qui n'est pas autorisé).
2. Datacenter > Firewall > Add, pour autoriser explicitement l'administration depuis votre réseau local :

3. Seulement ensuite : Datacenter > Firewall > Options > Firewall = Yes.

Proxmox autorise de toute façon l'interface web et SSH depuis le réseau local du serveur, pour éviter de se couper l'accès ; les règles explicites rendent la politique lisible et servent de base si vous restreignez plus tard la source (par exemple à un seul poste d'administration ou à un VLAN dédié).

Vérifiez l'état depuis le Shell :

pve-firewall status

Status: enabled/running

6. Configurer les notifications

Proxmox envoie des notifications pour les sauvegardes, les mises à jour disponibles, la réplication et les pannes de disque. Par défaut, elles partent par sendmail vers l'adresse de root@pam, ce qui échoue souvent : la plupart des fournisseurs de messagerie refusent les courriels envoyés directement par un serveur domestique.

1. Vérifiez l'adresse de root@pam : Datacenter > Permissions > Users, double-cliquez sur root, champ E-Mail.
2. Datacenter > Notifications > Add > SMTP :

3. Sélectionnez la nouvelle cible, puis Test. Vérifiez la réception.
4. Dans Notification Matchers, modifiez default-matcher pour qu'il envoie vers smtp-alertes.

D'autres cibles existent : Gotify, Webhook (pour ntfy, Discord, Slack, Teams…), utiles si vous ne voulez pas dépendre du courriel.

7. Préparer les images ISO et les modèles de conteneurs

Le stockage local reçoit les images ISO, les modèles de conteneurs et, par défaut, les sauvegardes.

Ajouter une image ISO

local > ISO Images, puis :

• Upload pour envoyer une ISO depuis votre poste ;
• Download from URL pour que le serveur la télécharge lui-même : collez l'adresse de l'ISO, cliquez sur Query URL, puis renseignez la somme de contrôle SHA-256 publiée par l'éditeur (Advanced) pour la vérifier.

Télécharger des modèles de conteneurs LXC

local > CT Templates > Templates : la liste des modèles officiels (Debian, Ubuntu, Alpine, Rocky, etc.). Ou en ligne de commande :

pveam update
pveam available --section system
pveam download local debian-13-standard_13.1-2_amd64.tar.zst

Remplacez le nom du modèle par celui affiché par pveam available, les versions évoluant régulièrement.

8. Planifier les premières sauvegardes

Une sauvegarde rangée sur le même disque que les VM ne protège que des erreurs de manipulation : si le disque meurt, tout disparaît. Pour une vraie protection, sauvegardez vers un autre support : un second disque, un partage NFS ou SMB sur un NAS, ou mieux, un Proxmox Backup Server (libre, avec déduplication et chiffrement).

Ajouter un stockage de sauvegarde (exemple : partage NFS d'un NAS)

Datacenter > Storage > Add > NFS :

Créer la tâche de sauvegarde

Datacenter > Backup > Add :

Une fois la tâche créée, sélectionnez-la et cliquez sur Run now pour un premier essai. Puis testez une restauration : une sauvegarde jamais restaurée n'est qu'un espoir. Pour la stratégie générale, voir la règle 3-2-1.

9. Et les scripts « post-install » ?

Des scripts communautaires automatisent une partie de ces réglages en une commande, et proposent souvent de masquer la fenêtre No valid subscription.

10. Vérification finale

À retenir

• Sans abonnement : désactivez pve-enterprise, ajoutez pve-no-subscription, puis apt update et apt full-upgrade.
• Créez un compte nominatif (spo@pve, rôle Administrator) et activez la double authentification avec des codes de secours.
• Ajoutez les règles du pare-feu avant de l'activer ; celui des VM se règle à part.
• Configurez une cible SMTP et testez-la : une alerte qui n'arrive pas ne sert à rien.
• Sauvegardez vers un autre support que le disque des VM, et testez une restauration.