senn-techNetzwerk-Grundlagen: VLANs & Jumbo Frames
VLANs und Jumbo Frames sind zwei Techniken, die jeder Proxmox-Administrator verstehen sollte. Die eine segmentiert, die andere beschleunigt — und beide können bei falscher Konfiguration subtile Probleme erzeugen.
VLANs: Warum segmentieren?
Ein flaches Netzwerk, in dem Management, Storage, Clients und Gäste-WLAN im selben Broadcast-Domain hängen, ist ein Sicherheitsalbtraum. VLANs trennen diese Welten auf Layer 2.
Unter Proxmox ist die Konfiguration direkt: Linux-Bridge mit VLAN-Aware-Flag, dann pro VM-Netzwerkkarte die VLAN-ID setzen.
iface vmbr0 inet manual
bridge-ports eno1
bridge-vlan-aware yes
Die VM-Netzwerkkarte bekommt beim Anlegen die VLAN-ID mit. Der Switch muss trunk-fähig sein — das ist heute selbst bei Einstiegsmodellen Standard.
Was wir separieren
- Management: Proxmox-Host, iDRAC/iLO, Switch-UI
- Storage: Ceph/LINSTOR/DRBD-Replikation, NFS
- DMZ: öffentlich erreichbare Dienste (Reverse Proxy)
- Intern: VMs, Clients, Drucker
Das kostet 10 Minuten Switch-Konfiguration und bringt jahrelang Sicherheit.
Proxmox SDN: VLANs clusterweit verwalten
Bei mehreren Knoten wird das Pflegen identischer Bridge-Configs auf jedem Host mühsam. Proxmox bringt unter Datacenter → SDN ein Software-Defined-Networking-Modul mit: VLAN- (und VXLAN-)Zonen werden zentral definiert und automatisch auf alle Cluster-Knoten ausgerollt. Eine VM, die migriert, findet ihr Netz auf dem Zielknoten unverändert vor.
Jumbo Frames: MTU 9000
Standard-Ethernet-Frames fassen 1500 Bytes. Jumbo Frames heben das auf 9000 — das reduziert die Anzahl der Frames bei grossen Transfers und senkt die CPU-Last auf beiden Seiten.
Wo es sich lohnt: Storage-Netzwerke (Ceph, NFS mit grossen IOs) und Backup-Netzwerke. Wo es nichts bringt: normaler Client-Traffic, Internet-Uplinks.
Bonds und LACP
Im Storage- und Backup-Netz lohnt sich neben Jumbo Frames ein Bond (LACP/802.3ad) über zwei NICs: mehr Durchsatz und Ausfallredundanz auf einmal. Wichtig ist nur, dass der Switch die LACP-Gruppe passend konfiguriert hat — sonst flappt das Interface.
Der Fallstrick
Alle Geräte im selben Layer-2-Segment müssen dieselbe MTU sprechen. Ein Switch mit MTU 1500 zwischen zwei Jumbo-Endpunkten führt zu fragmentierten oder verworfenen Paketen — und das Fehlerbild ist diffus: "manchmal langsam, manchmal Timeout".
Die Regel: Storage-VLAN bekommt MTU 9000, alles andere bleibt auf 1500. Und vor dem Produktivbetrieb mit ping -M do -s 8972 <ziel> testen.
Fazit
VLANs sind Pflicht ab dem zweiten Dienst und bilden die Grundlage für jeden HA-Cluster. Jumbo Frames sind optional, aber in Storage-Netzen ein einfacher Performance-Gewinn. Beide Techniken belohnen saubere Dokumentation.
Ab wann sind VLANs für uns Pflicht?+
Ab dem zweiten Dienst. Ein flaches Netz, in dem Management, Storage, Clients und Gäste-WLAN in derselben Broadcast-Domain hängen, ist ein Sicherheitsrisiko. Wir trennen mindestens Management, Storage, DMZ und den internen Bereich auf Layer 2. Unter Proxmox reicht eine VLAN-aware-Bridge plus VLAN-ID pro Netzwerkkarte — das kostet zehn Minuten Switch-Konfiguration und bringt jahrelang Sicherheit.
Wo bringen Jumbo Frames etwas und wo nicht?+
Nur in Storage- und Backup-Netzen — etwa bei Ceph-Replikation, NFS mit großen IOs oder Backup-Jobs. MTU 9000 reduziert die Frame-Anzahl und senkt die CPU-Last auf beiden Seiten. Bei normalem Client-Traffic oder Internet-Uplinks bringen sie nichts. Wichtig ist, dass alle Geräte im selben Layer-2-Segment dieselbe MTU sprechen, sonst gibt es fragmentierte Pakete und diffuse Timeouts.
Was ist der häufigste Fallstrick bei Jumbo Frames?+
Eine inkonsistente MTU. Steht zwischen zwei Jumbo-Endpunkten ein Switch mit MTU 1500, entstehen fragmentierte oder verworfene Pakete — das Fehlerbild ist diffus: mal langsam, mal Timeout. Die Regel lautet: Storage-VLAN bekommt MTU 9000, alles andere bleibt auf 1500. Vor dem Produktivbetrieb testen Sie mit einem Ping auf fester Paketgröße, damit solche Probleme sofort sichtbar werden.