WZ-IT unterstützt bei Setup und Netzwerkplanung für Proxmox auf IONOS. Gespräch vereinbaren.
Stand: Oktober 2026. Produktbedingungen vor Änderungen erneut prüfen.
Inhalt
- Privates VM-Netz ist nicht gleich IONOS Private Network
- Produktlinie vor Bridging prüfen
- Private Bridge und NAT planen
- Prüfung und Abgrenzung zu öffentlichen IPs
Privates VM-Netz ist nicht gleich IONOS Private Network
Eine lokale private Bridge verbindet Gäste auf einem Proxmox-Host. Ein IONOS Private Network verbindet zugewiesene Dedicated Server im Cloud Panel über tagged VLANs. Es liefert allein keinen Internetzugang für private Gäste. Die Proxmox-Netzwerkdokumentation unterscheidet Bridge, Routing und Masquerading.
Dieser Artikel behandelt Gäste hinter einer öffentlichen IPv4. Das vorhandene Cluster-Netzwerk-Howto behandelt den Provider-VLAN-Aufbau.
Produktlinie vor Bridging prüfen
Die älteren IONOS-Virtualisierungshinweise gelten ausdrücklich für die dort genannten, in der Serververwaltung geführten Produkte: unerlaubte Gast-MACs im öffentlichen Netz können eine Sperre auslösen; vorgesehen ist NAT statt direktem Bridging. Das ist keine pauschale Regel für jedes heutige IONOS-Produkt.
Die Cloud-Panel-Dokumentation beschreibt Dedicated Server mit einem öffentlichen Netz, in dem mehrere MAC-Adressen möglich sind. Klären Sie deshalb zuerst Vertrag, Verwaltungsoberfläche und Netzbedingungen. Die IONOS Cloud mit Data Center Designer ist ebenfalls kein austauschbares Konfigurationsziel.
Private Bridge und NAT planen
Masquerading ist der dokumentierte Proxmox-Mechanismus, um private Gäste über die Host-IP nach außen kommunizieren zu lassen. Planen Sie für einen einzelnen Host:
- Bestehenden Uplink, Default-Route, DNS und Management-Zugang aufnehmen. Konsolenzugang und Rückbau vor einer Netzänderung prüfen.
- Ein nicht überlappendes privates Subnetz wählen. Die lokale VM-Bridge ohne physischen Uplink anlegen; dem Host dort eine Gateway-Adresse geben.
- Private Gäste an diese Bridge hängen und das Host-Gateway sowie einen erreichbaren DNS-Resolver eintragen.
- Forwarding, Quell-NAT und Forward-Filter passend zum aktiven Firewall-Backend einrichten. Nur geplante Ziele und Dienste zulassen.
- Eingehende Dienste einzeln über DNAT oder einen vorgesehenen Proxy veröffentlichen. Ausgehendes NAT ist keine automatische Freigabe eingehender Dienste.
Beispielkonfiguration. Der Aufbau folgt dem Masquerading-Muster der Proxmox-Dokumentation. <uplink> ist die Schnittstelle mit der öffentlichen IP (zu finden mit ip -br link und ip route); Subnetz und Adressen sind Platzhalter:
# /etc/sysctl.d/ip-forwarding.conf
net.ipv4.ip_forward = 1
# /etc/network/interfaces, zusätzlich zur vorhandenen Uplink-Konfiguration
auto vmbr1
iface vmbr1 inet static
address 10.20.0.1/24
bridge-ports none
bridge-stp off
bridge-fd 0
post-up iptables -t nat -A POSTROUTING -s 10.20.0.0/24 -o <uplink> -j MASQUERADE
post-down iptables -t nat -D POSTROUTING -s 10.20.0.0/24 -o <uplink> -j MASQUERADE
# Beispiel: HTTPS-Dienst einer VM veröffentlichen
post-up iptables -t nat -A PREROUTING -i <uplink> -p tcp --dport 443 -j DNAT --to-destination 10.20.0.20:443
post-down iptables -t nat -D PREROUTING -i <uplink> -p tcp --dport 443 -j DNAT --to-destination 10.20.0.20:443
Die Gäste erhalten Adressen aus 10.20.0.0/24, als Gateway 10.20.0.1 und einen erreichbaren DNS-Resolver. Die weiteren Hinweise zu Konsolenzugang, Neustart der Netzwerkkonfiguration und Firewall-Backend entsprechen dem Beispiel in Proxmox auf Hetzner mit einer IP und Firewall-VM; die Konfiguration unterscheidet sich nur im Uplink-Namen und in der Produktprüfung oben.
Prüfen Sie nach dem Anwenden:
sysctl net.ipv4.ip_forward # erwartet: 1
iptables -t nat -L -n -v # MASQUERADE- und DNAT-Regeln mit Zählern
# im Gast:
ip route # Default-Route über 10.20.0.1
curl -4 ifconfig.me # soll die öffentliche Host-IP zeigen
Für mehrere Hosts erst das Provider-VLAN nach IONOS-Anleitung zuweisen und die tatsächliche VLAN-ID verwenden. Die lokale Bridge ohne Uplink spannt allein kein Netz zwischen Servern auf.
Prüfung und Abgrenzung zu öffentlichen IPs
Für die Abnahme empfehlen wir eine dokumentierte Matrix: Gast erreicht Gateway, DNS und vorgesehene externe Dienste; außen erscheint die erwartete Host-IP; nur ausdrücklich veröffentlichte Dienste sind von außen erreichbar. Prüfen Sie das Verhalten nach Host-Neustart und bei gesperrtem Forwarding. Bei mehreren Hosts zusätzlich VLAN-Erreichbarkeit und mögliche Adresskonflikte prüfen.
Management, Cluster-Kommunikation und Gastverkehr erhalten getrennte Regeln. Eine zusätzlich bestellte öffentliche IP ist ein anderes Szenario: Dafür müssen Zuteilung, Routing und Rückweg geprüft werden. Private Adressen nicht einfach durch öffentliche ersetzen.
Weiterführende Guides
- Proxmox Cluster Netzwerk auf IONOS: Privates Netzwerk mit VLAN (802.1Q)
- Proxmox auf IONOS: mehrere öffentliche IPs und Routing
WZ-IT unterstützt bei Setup und Netzwerkplanung für Proxmox auf IONOS. Gespräch vereinbaren.
