2 Netzwerke an einer Proxmoxmaschine

[Aquator]

Hi.

An meinem Server stehen mir 2 Netzwerkkarten zur verfügung. Ich wollte die VMs auf 2 unterschiedlichen Netzen laufen lassen.
Netz1: 192.168.2.xxx
Netz2: 192.168.10.xxx

Das Netz mit der 2 ist das worüber ich auch Proxmox verwalte. Das Netz mit der 10 ist eine DMZ und kennt keine anderen Netze nur Internet.
Jetzt mein Plan.
VM1: Netz1
VM2: Netz1
VM3: Netz2
VM4: Netz2
usw.
Wenn ich aber eine zweite Linux Bridge anlegen will, die auf die ETH2 der Netzwerkkarte geht, kann ich dort keinen Standardgatewate für das 10er Netz anlegen.
Gebe ich keinen an geht doch das Internet auf VMs 3 und 4 nicht oder? Die kennen ja den Gateway vom 2er Netz nicht.
Oder ist das irgendwie anders?

 

[UdoB]

N'abend,

du hast das Problem bereits korrekt erkannt: wenn man verschiedene Netze verbinden will, braucht man einen Router. Und wie so oft in diesem Umfeld: es gibt etliche zur Auswahl. Man kann beispielsweise OpnSense in einer VM installieren und nutzen. Ein gern übersehener Stolperstein ist dann, dass der nächste Router (vielleicht ein Modem oder eine Fritz!Box vom Provider) den Rückweg "hinter 192.168.10.x liegt das Netz 192.168.2.0/24" kennen muss.

Ein Workaround ohne Router ist es, auf dem PVE ausgehendes NAT für das Netz2 zu präparieren. Mir persönlich gefällt das nicht, weil dann alle "ge-natteten" Pakete vom PVE kommen, und nicht mehr als "kommt von VM3" erkennbar sind.

Viele Grüße

 

[Aquator]

Aber ich möchte die Netze gar nicht verbinden.
Ich habe bereits einen Router/Firewall. Diese stellt ja beide Netze bereit. Und dort wurden beide bewusst getrennt. Da diese intern auf keinen Fall kommunizieren dürfen.
Den Proxmox habe ich nur im Internen Netz damit ich einige VMs hier nutzen kann und Proxmox verwalten kann.
Nun möchte ich doch nur einige VMs aufsetzen die nicht im internen Netz, sondern im DMZ sitzen. Ein Beispiel wäre eine VM mit Linux und einem Apache2 Server für Webdienste. Dieser hat über das DMZ Netz zugang zum internet. Aber ich möchte tunlichst vermeiden das, sollte es probleme geben, Angreifer auf mein Internes Netz kommt. Dafür wollte ich der VM in Proxmox dann die zweite Netzwerkkarte zuteilen wo das DMZ-Netz anliegt.
Ich hoffe ich konnte es diesmal besser erläutern.
Geht sowas oder müsste ich dafür einen eigenen Proxmox Server aufsetzen in dem DMZ Netz?

 

[Neobin]

Wenn ich aber eine zweite Linux Bridge anlegen will, die auf die ETH2 der Netzwerkkarte geht, kann ich dort keinen Standardgatewate für das 10er Netz anlegen.
Gebe ich keinen an geht doch das Internet auf VMs 3 und 4 nicht oder?

Auf der zweiten Bridge brauchst und, soweit ich verstehe, willst du weder eine IP, noch ein Gateway haben.
Die IP auf einer Bridge ist nur da, damit der PVE selbst auf dieser Bridge mit der entsprechenden IP in dem entsprechenden Netz erreichbar ist. Und das willst du ja in dem Fall gar nicht.
Gateway kannst du eh nur eins haben, wie du bereits festgestellt hast, denn mehr braucht (und will) der PVE auch nicht um selbst z.B. ins Internet zu kommen.
Und die komplette Netzwerkkonfiguration (DHCP oder statische IP, Gateway, DNS) nimmst du doch innerhalb der VM vor.

 

[Aquator]

Ok aber eine Linux Bridge muss ich anlegen, da ich der VM ja eine zuweisen muss. Und wenn ich keine Zuweise, oder eine andere, kann ich auch nichts konfigurieren im OS der VM.
Komisch ist nur, das habe ich so probiert. Aber die VM bekommt dann keine Internetverbindung.
Ich probiere es noch etwas. Vielleich habe ich irgendwo anders den Fehler.

 

[Neobin]

Ja, eine Bridge musst du mit dem entsprechenden physikalischen Netzwerk-Interface darunter, aber ohne sonstige Angaben wie IP oder Gateway, erstellen.
Wenn über diesen physikalischen Netzwerk-Port dann dein Router erreichbar ist, du diese Bridge der VM zugeteilt hast und die Netzwerkkonfiguration innerhalb der VM zu der des Routers passt, sollte das eigentlich funktionieren.

 

[Aquator]

Neobin. Danke dir.
Es hat tatsächlich geklappt. Einfach Linux Bridge ohne irgendwas (naja Comment ).
Und wenn man dann auch die Firewall richtig konfiguriert und den DHCP anstellt dann zieht es sich auch eine IP.
Bzw. wenn ich nun eine feste IP zuordne läuft auch alles.
Danke dir für den Denkanstoß.