[SOLVED] Netzwerkseparierung mit SDN keine Verbindung zum Gateway

M

MrMojoe

New Member
Jan 5, 2026
8
0
1
Hallo Ladies and Gentlemen,

aktuell sammle ich gerade erste Erfahrungen mit Proxmox durch ausprobieren, Kurse etc. .
Dabei bin ich auf ein Problem gestoßen, was ich nicht verstehe.

Ziel ist es, die VM's und CT's in einem separaten Netzwerk zu betreiben, welches nur Zugang zum GW (Gateway - FritzBox) hat, jedoch nicht zum physischen Netz (also alles andere,
was am GW dranhängt).

Um es etwas übersichtlicher zu halten habe ich meine gesamten Proxmox FW Einstellungen in Screenshots festgehalten und in eine Zip gepackt inklusive der Dateien
/etc/pve/firewall/cluster.fw, in welchen die Einstellungen zu den Aliasen und Security Groups geführt sind.

https://nc.mistermojo.de/index.php/s/7bydZF6KP66a5QB

Ich weiß natürlich das solche ZIP-Dateien mit Skepsis gesehen werden. Da kann ja sonstwas drin sein. Falls ich irgendwas tun soll damit ich die Datei gegenüber
euch verifizieren kann, teilt es mir ruhig mit. Ich habs auch über meine Nextcloud hochgeladen und nicht über einen anderen "free 0815 Dateihoster".

Das Problem ist, dass zwar die Adressvergabe über SDN funktioniert und sich die Maschinen untereinander auch im SDN sehen können, jedoch kein Ping zum GW möglich ist.
Getestet wurde dies mit einer Ubuntu 24.04 LTS VM, welche absolute Standardeinstellungen hat:

VM-Test-PIng.png

Das kuriose ist, dass laut log aus Proxmox die Pakete zumindest durch die Firewall durchgehen:

101 7 tap101i0-OUT 11/Jan/2026:18:31:25 +0100 ACCEPT: IN=fwbr101i0 OUT=fwbr101i0 PHYSIN=tap101i0 PHYSOUT=fwln101i0 MAC=ca:5f:4b:9f:17:b8:bc:24:11:d8:27:ad:08:00 SRC=10.10.10.50 DST=192.168.178.1 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=6330 DF PROTO=ICMP TYPE=8 CODE=0 ID=2894 SEQ=116

101 7 tap101i0-OUT 11/Jan/2026:18:31:26 +0100 ACCEPT: IN=fwbr101i0 OUT=fwbr101i0 PHYSIN=tap101i0 PHYSOUT=fwln101i0 MAC=ca:5f:4b:9f:17:b8:bc:24:11:d8:27:ad:08:00 SRC=10.10.10.50 DST=192.168.178.1 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=6396 DF PROTO=ICMP TYPE=8 CODE=0 ID=2894 SEQ=117
Ich dachte, dass es ja dann kein Fehler von Proxmox ist, sondern von meinem Netzwerk. Kurz dazu:

Gateway - Fritz Box - 192.168.178.1
-> Dlan von TP-Link 1
-> Dlan von TP-Link 2
-> Zyxel GS-1200 - 192.168.178.70
-> Proxmox-Server - 192.168.178.30
--> SDN-VNets: VCNet -> Subnet: 10.10.10.0/24 - GW: 10.10.10.1 - SNAT: Yes - DHCP-Ranges: 10.10.10.50 - 10.10.10.150

Allerdings ist ein Ping mit den entsprechenden Firewall-Regeln möglich, sobald ich das vmbr0 verwende, statt dem SDN (VCNet) Interface.

VM-Test-PIng-2.png

Dabei habe ich auch versucht, eine statische Route für 10.10.10.0/24 zu setzen und zum Proxmox-Server (192.168.178.30) zu leiten. Leider habe ich auch damit keinen Erfolg.

Ich würde gern verstehen, warum ein Ping über das SDN nicht möglich ist und welchen Denkfehler ich hier habe. Laut meiner Sicht müsste es funktionieren. Tut es ja aber offensichtlich nicht.

Weiterhin ist es auch kurios, dass ich auf dem Datacenter-Level die Firewall problemlos und OHNE Regeln aktivieren kann, ohne mich selbst auszusperren. Die Policy steht
auf Datacenter-Level auf auf "DROP". Ich kann jedoch weiterhin per SSH und auch Http/https auf die WebUI zugreifen. So als ob die Regeln gar nicht greifen würden.
Aus den Screenshots ist es schon ersichtlich, aber hier nochmal: Ich verwende Proxmox in der Version 9.1.4. Hab aber vorher die Version 8.4.14 (bzw. 16) verwendet,
wo das Verhalten ebenfalls vorkam.

Falls ich noch wichtige Infos vergessen haben sollte, so verzeiht mir. Ich reiche diese, so schnell wie möglich, nach.

Ich danke bis hierhin erstmal fürs lesen und fürs erleuchten. Hoffentlich....XD

Gruß Ben
 
Also ich habe zwar von SDN keine große Ahnung (ehrlich gesagt eher null), aber wenn dein System die IP 10.10.10.50 hat, dann sollte dein Gateway zumindest im selben Subnetz liegen (also irgendwo in 10.10.10.x).
Ein Rechner im Netz 10.10.10.0/24 kann nicht direkt mit einer Fritzbox 192.168.178.1 kommunizieren, weil die eben nicht im selben Subnetz ist.
 
Absolut richtig. Deshalb hab ich es mit einer statischen Route in der Fritz Box probiert wie in meiner ersten Nachricht geschrieben:

"Dabei habe ich auch versucht, eine statische Route für 10.10.10.0/24 zu setzen und zum Proxmox-Server (192.168.178.30) zu leiten. Leider habe ich auch damit keinen Erfolg."

Ich dachte zuerst das SNAT in Proxmox die Anfragen der Subnetze auf die IP des Proxmox-Servers maskiert. So wie NAT halt beim normalen privaten Router. Dann hab ich aber den Hinweis bekommen das dem anscheinend doch nicht so ist und eine Statische Route direkt in der Fritz Box angelegt.
Damit müsste doch dir Fritz Box die Anfragen aus dem Adressbereich 10.10.10.0/24 zum von mir eingerichteten Gateway (Proxmox Server - 192.168.178.30) umleiten, oder?
 
Warum willst du das mit einer FRITZ!Box machen? Meine Empfehlung, verwende eine ordentliche Firewall z.B. pfsense, OPNSense, OpenWRT da kannste VLANs machen und über die Firewall steuern wo sie hin dürfen, alternativ hängst du dir in das Netz eine Virtualisierte Firewall und dahinter deine VMs mit entsprechender Firewall Regeln
 
micneu said:
Warum willst du das mit einer FRITZ!Box machen? Meine Empfehlung, verwende eine ordentliche Firewall z.B. pfsense, OPNSense, OpenWRT da kannste VLANs machen und über die Firewall steuern wo sie hin dürfen, alternativ hängst du dir in das Netz eine Virtualisierte Firewall und dahinter deine VMs mit entsprechender Firewall Regeln
Click to expand...
Aktuell hab ich als Gateway eben nur die Fritze und mit den von dir genannten Sachen keine Erfahrung. Ich dachte mir, naiv wie ich wohl bin, das dass über das SDN und ein paar Firewallregeln über Iptables doch ganz gut funktionieren sollte. Da hab ich wohl falsch gedacht. Obwohl es ja mit dem vmbr0 Interface und den Regeln eben geht. Hätte mich außerdem interessiert warum es nicht geht und warum ich mich bei Aktivierung der Firewall auf Datacenter-Ebene nicht selbst aussperre. Einfach wegen dem Verständnis bezüglich Proxmox.


Aber auf jeden Fall danke für den Hinweis. Ich hab hier noch eine alte Fritze rumliegen und wenn ich das in 5 min. richtig googelt habe, kann man dort ja auch OpenWRT über den Recovery Modus installieren. Werde ich mir also später noch anschauen.
 
MrMojoe said:
Aktuell hab ich als Gateway eben nur die Fritze und mit den von dir genannten Sachen keine Erfahrung. Ich dachte mir, naiv wie ich wohl bin, das dass über das SDN und ein paar Firewallregeln über Iptables doch ganz gut funktionieren sollte. Da hab ich wohl falsch gedacht. Obwohl es ja mit dem vmbr0 Interface und den Regeln eben geht. Hätte mich außerdem interessiert warum es nicht geht und warum ich mich bei Aktivierung der Firewall auf Datacenter-Ebene nicht selbst aussperre. Einfach wegen dem Verständnis bezüglich Proxmox.


Aber auf jeden Fall danke für den Hinweis. Ich hab hier noch eine alte Fritze rumliegen und wenn ich das in 5 min. richtig googelt habe, kann man dort ja auch OpenWRT über den Recovery Modus installieren. Werde ich mir also später noch anschauen.
Click to expand...
Und welcher Router ist das Gateway für das 10.x Netz? Auf welches Gateway verweist die FRITZ!Box?
 
Moin,
was mir fehlt sind die Firewall Regeln, für das SNAT.
Call auf dem Proxmox VE Host/ Server: iptables -L -t nat

Nachtrag: und zeige bitte im Detail, wie das SNAT bei Dir konfiguriert wurde.
Insbesondere ob der Proxmox VE Host/ Server als default gw eingerichtet wurde.
Dann hat er so etwas wie 10.10.10.1/24 als IPv4 erhalten.
 
Last edited:
Falk R. said:
Und welcher Router ist das Gateway für das 10.x Netz? Auf welches Gateway verweist die FRITZ!Box?
Click to expand...
Das Gateway für das SDN wäre der Proxmox-Server selbst (192.168.178.30).
Ich post hier mal den Output aus der "/etc/network/interfaces.d/sdn":

#version:27
auto VCNet
iface VCNet
address 10.10.10.1/24
post-up iptables -t nat -A POSTROUTING -s '10.10.10.0/24' -o vmbr0 -j SNAT --to-source 192.168.178.30
post-down iptables -t nat -D POSTROUTING -s '10.10.10.0/24' -o vmbr0 -j SNAT --to-source 192.168.178.30
post-up iptables -t raw -I PREROUTING -i fwbr+ -j CT --zone 1
post-down iptables -t raw -D PREROUTING -i fwbr+ -j CT --zone 1
bridge_ports none
bridge_stp off
bridge_fd 0
ip-forward on

Ich würde es zumindest so lesen, das dass Interface selbst die 10.10.10.1 und der Traffic "genattet" über die 192.168.178.30 (Proxmox Server) auf dem vmbr0 zum gateway geht.

Die zweite Frage verstehe ich nicht so recht. Die Fritz Box ist ja der Gateway im lokalen Netz mit der typischen privaten IP 192.168.178.1.Kannst du die Frage bitte evtl. noch einmal genauer erklären? Sorry für die vielleicht dumme frage. XD
 
news said:
Moin,
was mir fehlt sind die Firewall Regeln, für das SNAT.
Call auf dem Proxmox VE Host/ Server: iptables -L -t nat

Nachtrag: und zeige bitte im Detail, wie das SNAT bei Dir konfiguriert wurde.
Insbesondere ob der Proxmox VE Host/ Server als default gw eingerichtet wurde.
Dann hat er so etwas wie 10.10.10.1/24 als IPv4 erhalten.
Click to expand...
Hallo, alles klar, hier der Output:
Chain PREROUTING (policy ACCEPT)
target prot opt source destination

Chain INPUT (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

Chain POSTROUTING (policy ACCEPT)
target prot opt source destination
SNAT all -- 10.10.10.0/24 anywhere to:192.168.178.30

Meinst du hier den Output der Datei "/etc/network/interfaces.d/sdn", welches ich im vorherigen Post angehängt habe? In der WebUI von Proxmox selbst kann ich ja beim erstellen des Subnets nur einstellen, ob es genutzt werden soll oder nicht:
subnet-snat.png
Mehr Optionen zu SNAT sehe ich auf den ersten Blick nicht.
 
Halli Hallo,

ersteinmal Entschuldigung für den, mittlerweile, dreifachen Post.
Aber ich kam dem Fehler nun wohl endlich auf die Schliche.

Ich hab mir nochmal, die Netzwerkschnittstellenkonfigurationsdatei "/etc/network/interfaces" angeschaut. Eigentlich nur um zu Prüfen ob die Zeile "source /etc/network/interfaces.d/*" am Ende vorhanden ist, damit das SDN funktioniert. Die Zeile war da. Allerdings habe ich noch gesehen, dass eine weitere
Bridge (vmbr1) blöderweise auf genau mein, für das SDN, verwendete Netz 10.10.10.0/24 konfiguriert ist.

Ich hatte im Zuge eines Kurses für Proxmox in Bezug auf Sicherheit gedacht, dass ich eine zweite Netzwerkschnittstelle brauche, um den Traffic der VM's dort drüberlaufen zu lassen. USB-Netzwerkcontroller gekauft und mit dem eine weitere Bridge eingerichtet. Blöderweise klappte das aber nicht, da ich zwar einen VLAN-Fähigen Switch habe (layer 2), das aber gar nix bringt, da die Fritze ja gar kein VLAN kann. Diese Schnittstelle habe ich dann wohl einfach in den Tiefen meiner Doku verloren und an der VM die Netzwerkbridge ausgetauscht.


Die Netzwerkbridge wurde zwar in keiner VM oder CT verwendet, hat aber wohl, logischweise, trotzdem noch einfluss auf den Traffic, wenn ein SDN genau denselben Adressbereich verwendet.

Kurzum: Die Bridge vmbr1 entfernt und dann hat alles wie gewünscht funktioniert. Meine Lehre daraus:

- mehr in die Konfigurationsdateien schauen > hat manchmal mehr Übersicht als die WebUI
- besser dokumentieren

Ich bedanke mich für die netten Antworten und Denkanstöße. Der Thread kann somit geschlossen werden.
 
Last edited:
You must log in or register to reply here.
Top Bottom