Korrekte Trennung vom Proxmox Host und VMs

[learningNetworking]

Hallo Community,

da ich noch ziemlich grün hinter den Ohren bin, würde ich gerne nachfragen, wie man korrekt den Proxmox Host von den VMs trennt.
Folgendes habe ich gemacht und es funktioniert auch - ich bin mir nur nicht sicher ob das die richtige Vorgehensweise ist:

Die Ausgangssituation:


Was mir nun missfällt, ist, dass der Proxmox Hypervisor im gleichen Netz mit den VMs ist. Aus dem Grund wollte ich die VMs in ein eigenes Netz bringen.
Dies habe ich wie folgt umgesetzt:

In Proxmox:

1. Die Bridge auf VLAN aware gestellt
   
   (Ergeänzung, Proxmox ist mit seinen VMs im VLAN 40, es gibt nur einen NIC, enp6s0)
2. Die VM 1 mit dem VLAN Tag 60 versehen
   

In der Tomato, im Endeffekt ein Switch:

1. Das VM VLAN auf tagged gesetzt
   

In der Opnsense das entsprechende VLAN angelegt mit entsprechendem DHCP 192.168.41.10/24-192.168.41.250/24.

Das funktioniert auch, trotztdem kam mir das irgendwie zu schnell und zu einfach vor. Ist das die korrekte Vorgehensweise?
Noch zu erwähnen wäre, dass ich an dem Proxmox host nur einen NIC zur Verfügung habe.

Über eine kurze Rückmeldung ob das so richtig ist oder ob ich es mir zu einfach gemacht habe / es auch noch andere Lösungsmöglichkeiten gibt (ohne einen zusätzlichen Router in Proxmox zu virtualisieren) würde ich mich sehr freuen

Vielen Dank und einen schönen und stressfreien Abend allen.


P.S.: Aus meiner allerersten Frage hier im Forum - ich hatte unglaubliche Angst vor VLAN hopping - ich habe das hier nun getestet, der Alpine VM einen anderen Tag mitzugeben z.B. 40 (gleiches Netz wie Proxmox) Dies klappt nicht Gott sei Dank - ich bin mir aber noch unsicher, warum es nicht klappt Vielleicht kann mir jemand dafür eine Quelle nennen oder mich in die richtige Richtung schubsen, weshalb es nicht klappt?

Nachtrag: Die Lösung funktioniert auch, wenn Schritt 1, die Bridge auf VLAN aware stellen - der Schritt scheint ein Fehler von mir gewesen zu sein, da dies ja dann von dem Tomato Switch geregelt wird - liege ich richtig?

 

[blurrrr]

Was mir nun missfällt, ist, dass der Proxmox Hypervisor im gleichen Netz mit den VMs ist. Aus dem Grund wollte ich die VMs in ein eigenes Netz bringen.

Das ist schon mal recht vernünftig.

Die Lösung funktioniert auch, wenn Schritt 1, die Bridge auf VLAN aware stellen - der Schritt scheint ein Fehler von mir gewesen zu sein, da dies ja dann von dem Tomato Switch geregelt wird - liege ich richtig?

Dein Konstrukt ist für mich nicht wirklich ersichtlich aus den vermeintlichen Netzplänen, aber sei's drum. Ins VLAN geht es entweder via untagged Port, oder es wird ein Tag vergeben (im PVE-Szenario machst Du das in den VM-Einstellungen). Sollte ein Tag in der VM vorhanden sein, sollte da eigentlich vom Host einfach überschrieben werden (was ggf. auch Deine andere Frage klärt).

Alles andere muss entsprechend "durchkonfiguriert" werden. Setzt Du den Haken bei der Bridge bzgl. "VLAN-aware", werden die VLANs entsprechend weitergeleitet, ist der Haken nicht dort, sollte das VLAN-Tag theoretisch einfach verworfen werden. Beim Tomato muss der Host-Port als auch der Uplink mit dem jeweiligen VLAN (tagged) konfiguriert werden, bei der pfSense muss ebenfalls ein entsprechendes Interface für das VLAN erstellt werden (samt restlicher Config wie Firewall-Regeln, ggf. NAT und sonstigen Diensten wie DHCP/DNS).

Bzgl. VLAN-Hopping kannste in der VM ggf. noch mit QinQ testen (VLAN in VLAN), da es zumindestens mal so lief, dass Switche teilweise nur das äussere VLAN entfernt haben (somit ist das innere durchgekommen). Alternativ dazu kann man sich dann aber auch Dinge wie QinQ/VXLAN/etc. anschauen. Was die sonstige Sicherheit/Kontrolle angeht, so kann man sicherlich auch mal einen Blick auf "ebtables" werfen, das könnte dann aber schon etwas aufwändiger werden (je nach Anzahl der VMs und Regeln).

 

[learningNetworking]

Vielen Dank für die ausführliche Antwort. Ich war noch etwas unsicher ob das so richtig war - soweit ich das dann richtig sehe, müsste das genau so konfiguriert sein. Das mit QinQ testen ist ein sehr guter Einwand, den ich gar nicht mehr bedacht hatte. Das werde ich natürlich testen und berichten.
Jetzt im nachhinein betrachtet, ist die "Übersicht" tatsächlich nicht sehr aussagekräftig. Ich werde morgen eine ordentliche Ausführung davon anfertigen, damit vielleicht auch zukünftige Leser etwas damit anfangen können.
ebtables kannte ich noch gar nicht

 

[blurrrr]

Es macht durchaus Sinn, wenn man sich das grafisch einmal "physikalisch" und einmal "logisch" unterteilt. ebtables findet man auch nicht so häufig und sind eher etwas speziellerer Natur. Vielleicht erstmal etwas "Grund" in alles andere bringen, bevor man sich damit beschäftigt