Gdy firma stawia pierwszego Proxmoksa, sieć zwykle wygląda tak: jeden mostek, wszystkie maszyny w jednej płaskiej sieci, wszystko „jakoś działa”. Do czasu. Bo gdy na tym samym hoście pojawia się serwer plików, kontroler domeny, kamery i testowa maszyna z internetu, brak segmentacji zaczyna być realnym problemem – i bezpieczeństwa, i porządku.
Sieć w Proxmoksie nie jest trudna – trzeba tylko zrozumieć kilka pojęć i ułożyć je w sensowny schemat. Zróbmy to bez żargonu.
Trzy klocki, z których budujesz sieć w Proxmoksie
Mostek (Linux bridge)
To wirtualny przełącznik. Domyślny vmbr0 łączy maszyny wirtualne z fizyczną kartą sieciową hosta. W najprostszym wariancie wszystkie maszyny „wpinają się” w ten jeden mostek – jak w jeden switch.
VLAN – rozdzielenie ruchu w jednym kablu
VLAN to sposób, by w jednej fizycznej sieci wydzielić kilka logicznych, odseparowanych od siebie. Dzięki temu serwery produkcyjne, sieć zarządzania Proxmoksem, goście i monitoring mogą żyć obok siebie, ale się nie „widzieć” bez wyraźnej zgody.
- Każdy VLAN ma swój numer (tag).
- Maszynie przypisujesz tag VLAN-u w ustawieniach jej karty sieciowej.
- Po stronie fizycznego switcha port do hosta musi być skonfigurowany jako trunk przepuszczający te tagi.
SDN – gdy mostki i VLAN-y to za mało
Proxmox ma wbudowany moduł SDN (Software Defined Networking), który pozwala definiować sieci centralnie – szczególnie przydatny w klastrze, gdzie chcesz, by te same sieci były dostępne na każdym węźle bez ręcznego klikania na każdym z osobna.
Po co to wszystko – konkretne korzyści
- Bezpieczeństwo – kompromitacja jednej maszyny nie daje od razu dostępu do całej sieci. To wprost wspiera zgodność z NIS2 (segmentacja jest jednym z oczekiwanych środków).
- Porządek – wiesz, co gdzie jest. Sieć zarządzania osobno, produkcja osobno, testy osobno.
- Wydajność i kontrola – łatwiej diagnozować i ograniczać ruch tam, gdzie trzeba.
Rozsądny schemat dla małej firmy
Nie trzeba projektować sieci jak w korporacji. Dobry, czytelny podział na start:
- ✅ VLAN zarządzania – wyłącznie panel Proxmoksa i dostęp administracyjny. Osiągalny tylko z sieci wewnętrznej lub przez VPN.
- ✅ VLAN produkcyjny – serwery i usługi firmowe.
- ✅ VLAN „DMZ” – usługi wystawione na zewnątrz (np. strona, poczta), odseparowane od reszty.
- ✅ VLAN gości / testów – maszyny tymczasowe, eksperymenty, bez dostępu do produkcji.
Oddzielenie sieci zarządzania to nie fanaberia – to filar bezpieczeństwa, o którym pisaliśmy w kontekście pierwszej konfiguracji Proxmoksa i jego utwardzania.
Częste pułapki
- Brak konfiguracji trunku na switchu – VLAN-y w Proxmoksie nie zadziałają, jeśli fizyczny przełącznik nie przepuszcza tagów. To najczęstsza przyczyna „dlaczego nie pinguje”.
- Odcięcie samego siebie – zmieniając sieć zarządzania, łatwo stracić dostęp do panelu. Zawsze miej awaryjną drogę (konsola fizyczna / IPMI).
- Jeden mostek do wszystkiego – działa na początku, ale skaluje się fatalnie. Lepiej od razu pomyśleć o segmentacji.
A co z klastrem?
Jeśli budujesz klaster Proxmox dla wysokiej dostępności, sieć staje się jeszcze ważniejsza – komunikacja między węzłami (corosync) powinna mieć własną, dedykowaną i stabilną sieć, oddzieloną od ruchu maszyn. Tu SDN i przemyślany podział VLAN-ów naprawdę się opłacają.
Co dalej w tym cyklu
W kolejnych wpisach zajmiemy się doborem storage (ZFS vs Ceph vs LVM) oraz utrzymaniem i aktualizacjami Proxmoksa bez przestojów. Razem z siecią to trzy filary stabilnego środowiska produkcyjnego.
Masz na Proxmoksie „jedną płaską sieć” i czujesz, że robi się z tego bałagan? Napisz do nas – zaprojektujemy i wdrożymy uporządkowaną, bezpieczną sieć dopasowaną do Twojej infrastruktury.