Sieci VLAN w Proxmox:
izolacja i segmentacja ruchu

Jeden kabel, wiele odseparowanych sieci

VLAN dokłada do ramki ethernetowej 4-bajtowy znacznik 802.1Q z numerem (VLAN ID, 1–4094). Switche i hosty traktują ruch z różnymi tagami tak, jakby płynął przez fizycznie oddzielne sieci — urządzenia w VLAN 10 nie widzą bezpośrednio urządzeń w VLAN 20, nawet jeśli dzielą ten sam przełącznik i ten sam kabel uplink.

Port, który przenosi wiele otagowanych VLAN-ów naraz (np. uplink z hosta Proxmox do switcha), nazywamy trunkiem. Port przypisany na stałe do jednego VLAN-u, oddający ruch nieotagowany do urządzenia końcowego, to port access. Ruch bez znacznika trafia do tzw. native VLAN (PVID) danego portu.

Tagowanie na mostku, nie na podinterfejsach

Proxmox VE obsługuje kilka modeli VLAN: mostek VLAN-aware, klasyczne podinterfejsy, Open vSwitch oraz tagi ustawione w gościu. Na mostku Linuksa najprostszy w utrzymaniu to VLAN-aware bridge: jeden mostek vmbr0 z włączoną obsługą VLAN obejmuje wszystkie segmenty, a numer VLAN-u przypisujesz per maszyna w konfiguracji karty sieciowej.

• VLAN-aware bridge: jeden mostek dla wszystkich VLAN-ów, tag ustawiany w polu „VLAN Tag” karty VM/kontenera. Czyste, skalowalne, łatwe do audytu.
• Tradycyjne podinterfejsy: osobne interfejsy eno1.10, eno1.20 i osobne mostki na każdy VLAN. Działa, ale szybko mnoży konfigurację.
• Czego unikać: tagu na karcie i tagu w gościu naraz. Na mostku VLAN-aware tag z panelu dotyczy ramek nieotagowanych, a tag z gościa albo jest tym VLAN-em, albo ramka jest odrzucana — to nie jest QinQ.

Po stronie switcha port do hosta musi być trunkiem przepuszczającym wszystkie używane VLAN ID. To najczęstszy punkt, w którym konfiguracja się rozjeżdża: host taguje poprawnie, ale switch odrzuca nieznane VLAN-y.

Mostek VLAN-aware krok po kroku

VLAN-aware bridge włączysz w panelu (Node → System → Network → wybierz vmbr0 → „VLAN aware”) lub bezpośrednio w pliku /etc/network/interfaces:

Dla redundancji łącza uplink łączymy w bond (LACP 802.3ad), a VLAN-aware bridge stawiamy na bondzie zamiast na pojedynczej karcie — uzyskujesz jednocześnie odporność na awarię łącza i pełną segmentację VLAN.

Reguły VLAN na switchu Cumulus Linux

Switch NVIDIA SN4700 (Spectrum-3, 32 porty 400 GbE) domyślnie przychodzi z systemem Cumulus Linux. To korzystny scenariusz: Cumulus używa dokładnie tego samego modelu VLAN-aware bridge co Proxmox, więc obie strony trunku konfigurujesz bliźniaczo. W wydaniach 5.x standardem jest CLI NVUE (nv set); starsze wersje korzystały z NCLU (net add), a pod spodem zawsze pracuje ifupdown2 z plikiem /etc/network/interfaces — tym samym, co w Proxmox.

Załóżmy typowy podział: port swp1 prowadzi do hosta Proxmox i ma być trunkiem przenoszącym VLAN 10 (produkcja), 20 (storage), 30 (DMZ) i 99 (zarządzanie), a porty swp10–swp12 to porty access dla stojącego obok fizycznego serwera storage (blaszaka) w VLAN 20. Dzięki temu maszyny wirtualne na Proxmoxie i fizyczny storage są w tej samej sieci L2 (VLAN 20) i widzą się bezpośrednio — bez routera.

Domyślnie port dodany do br_default staje się trunkiem przepuszczającym wszystkie VLAN-y mostka — dokładnie to, czego potrzebuje host Proxmox z VLAN-aware bridge. Ruch nieotagowany trafia do native VLAN (domyślnie 1); zarządzanie (VLAN 99) jedzie otagowane, bo po stronie hosta odbiera je podinterfejs vmbr0.99.

Dla redundancji zestaw dwa porty w bond LACP i wpuść go do mostka (przy dwóch switchach SN4700 w parze MLAG — Cumulus Linux 5 też nazywa to MLAG, a CLAG to określenie innych producentów — bond konfigurujesz analogicznie na obu):

Wolisz edytować plik wprost? Ten sam trunk w /etc/network/interfaces (składnia ifupdown2, wspólna z Proxmoxem) wygląda tak. Wybierz jedną metodę: NVUE przy nv config apply nadpisuje ręczne zmiany w tym pliku, więc nie łącz obu sposobów konfiguracji.

Na koniec zweryfikuj tagi po obu stronach łącza. Uniwersalne polecenie bridge vlan show działa i na switchu, i na hoście Proxmox; natywnie w NVUE użyjesz:

O czym pamiętać

• Trunk na switchu: brak danego VLAN ID na trunku to najczęstsza przyczyna „milczącej” sieci. Najpierw sprawdzaj konfigurację portu na przełączniku.
• Native VLAN / PVID: ustal świadomie, co dzieje się z ruchem nieotagowanym. Niedopasowanie native VLAN między hostem a switchem prowadzi do trudnych do wykrycia wycieków ruchu.
• MTU: znacznik VLAN dokłada bajty do ramki. Przy jumbo frames (storage, Ceph) upewnij się, że MTU jest spójne na hoście, bondzie, mostku i switchu.
• Firewall Proxmox: VLAN izoluje warstwę 2, ale reguły między strefami i tak warto egzekwować na firewallu — Proxmox ma wbudowany, działający per VM/kontener.