Gdy firma stawia pierwszego Proxmoksa, sieć zwykle wygląda tak: jeden mostek, wszystkie maszyny w jednej płaskiej sieci, wszystko „jakoś działa”. Do czasu. Bo gdy na tym samym hoście pojawia się serwer plików, kontroler domeny, kamery i testowa maszyna z internetu, brak segmentacji zaczyna być realnym problemem — i bezpieczeństwa, i porządku.
Sieć w Proxmoksie nie jest trudna — trzeba tylko zrozumieć kilka pojęć i ułożyć je w sensowny schemat. Zróbmy to bez żargonu.
Trzy klocki, z których budujesz sieć w Proxmoksie
Mostek (Linux bridge)
To wirtualny przełącznik. Domyślny vmbr0 łączy maszyny wirtualne z fizyczną kartą sieciową hosta. W najprostszym wariancie wszystkie maszyny „wpinają się” w ten jeden mostek — jak w jeden switch.
VLAN — rozdzielenie ruchu w jednym kablu
VLAN to sposób, by w jednej fizycznej sieci wydzielić kilka logicznych, odseparowanych od siebie. Dzięki temu serwery produkcyjne, sieć zarządzania Proxmoksem, goście i monitoring mogą żyć obok siebie, ale się nie „widzieć” bez wyraźnej zgody.
- Każdy VLAN ma swój numer (tag).
- Maszynie przypisujesz tag VLAN-u w ustawieniach jej karty sieciowej.
- Po stronie fizycznego switcha port do hosta musi być skonfigurowany jako trunk przepuszczający te tagi.
SDN — gdy mostki i VLAN-y to za mało
Proxmox ma wbudowany moduł SDN (Software Defined Networking), który pozwala definiować sieci centralnie — szczególnie przydatny w klastrze, gdzie chcesz, by te same sieci były dostępne na każdym węźle bez ręcznego klikania na każdym z osobna.
Po co to wszystko — konkretne korzyści
- Bezpieczeństwo — kompromitacja jednej maszyny nie daje od razu dostępu do całej sieci. To wprost wspiera zgodność z NIS2 (segmentacja jest jednym z oczekiwanych środków).
- Porządek — wiesz, co gdzie jest. Sieć zarządzania osobno, produkcja osobno, testy osobno.
- Wydajność i kontrola — łatwiej diagnozować i ograniczać ruch tam, gdzie trzeba.
Rozsądny schemat dla małej firmy
Nie trzeba projektować sieci jak w korporacji. Dobry, czytelny podział na start:
- ✅ VLAN zarządzania — wyłącznie panel Proxmoksa i dostęp administracyjny. Osiągalny tylko z sieci wewnętrznej lub przez VPN.
- ✅ VLAN produkcyjny — serwery i usługi firmowe.
- ✅ VLAN „DMZ” — usługi wystawione na zewnątrz (np. strona, poczta), odseparowane od reszty.
- ✅ VLAN gości / testów — maszyny tymczasowe, eksperymenty, bez dostępu do produkcji.
Oddzielenie sieci zarządzania to nie fanaberia — to filar bezpieczeństwa, o którym pisaliśmy w kontekście pierwszej konfiguracji Proxmoksa i jego utwardzania.
Częste pułapki
- Brak konfiguracji trunku na switchu — VLAN-y w Proxmoksie nie zadziałają, jeśli fizyczny przełącznik nie przepuszcza tagów. To najczęstsza przyczyna „dlaczego nie pinguje”.
- Odcięcie samego siebie — zmieniając sieć zarządzania, łatwo stracić dostęp do panelu. Zawsze miej awaryjną drogę (konsola fizyczna / IPMI).
- Jeden mostek do wszystkiego — działa na początku, ale skaluje się fatalnie. Lepiej od razu pomyśleć o segmentacji.
A co z klastrem?
Jeśli budujesz klaster Proxmox dla wysokiej dostępności, sieć staje się jeszcze ważniejsza — komunikacja między węzłami (corosync) powinna mieć własną, dedykowaną i stabilną sieć, oddzieloną od ruchu maszyn. Tu SDN i przemyślany podział VLAN-ów naprawdę się opłacają.
Co dalej w tym cyklu
W kolejnych wpisach zajmiemy się doborem storage (ZFS vs Ceph vs LVM) oraz utrzymaniem i aktualizacjami Proxmoksa bez przestojów. Razem z siecią to trzy filary stabilnego środowiska produkcyjnego.
Masz na Proxmoksie „jedną płaską sieć” i czujesz, że robi się z tego bałagan? Napisz do nas — zaprojektujemy i wdrożymy uporządkowaną, bezpieczną sieć dopasowaną do Twojej infrastruktury.