Proxmox VLAN einrichten: Homelab mit OPNsense und Cisco-Switches segmentieren

Ein flaches Heimnetz ist bequem. Jedes Gerät sieht jedes andere Gerät. Genau das ist auch das Problem. Eine PoE-Kamera mit drei Jahre alter Firmware und Default-Passwort filmt nicht nur deine Einfahrt, sie ist ein Sprungbrett in alles andere. Die Antwort heißt Segmentierung: getrennte Netze, die nur über eine Firewall miteinander reden, die du kontrollierst.

Die konkrete Aufgabe: ein Heimnetz mit OPNsense als Router, zwei Cisco-Switches, PoE-Kameras, Access Points, einem Proxmox-Server und Consumer-Geräten wie TV, TV-Box und PS4. Aufteilen in VLANs, damit ein kompromittiertes Gerät in einem Segment den Rest nicht erreicht. Dieser Artikel zeigt die exakten Schritte: den VLAN-Plan, die OPNsense-Interfaces, die Cisco-Trunks und Access-Ports, die Proxmox-Bridge und die Firewall-Regeln. Danach, wie du prüfst, dass die Trennung wirklich hält.

Ein Hinweis vorweg: Proxmox VLAN einrichten ist nur ein Drittel der Arbeit. VLANs müssen auf drei Ebenen zusammenpassen, OPNsense, Switch und Hypervisor. Stimmt eine nicht, fließt der Traffic entweder gar nicht oder genau dort, wo er nicht hin soll.

Kurzantwort

Proxmox VLAN einrichten Schritt für Schritt: VLAN-Plan, OPNsense-Interfaces, Cisco-Trunks, Firewall-Regeln und Tests für ein sauber segmentiertes Homelab. Kurz gesagt: Proxmox VLAN einrichten ist vor allem dann relevant, wenn du schnell verstehen willst, was konkret dahinter steckt, welche Grenzen es gibt und welche Entscheidung daraus folgt. Die Details, Quellen und Einschränkungen stehen in den folgenden Abschnitten.

Die Ausgangslage: drei Entscheidungen, die den Rest bestimmen

Die typische Ausgangslage sieht so aus: Das ISP-Modem im Bridge-Modus geht an einen dedizierten PC mit OPNsense. Dahinter hängt Cisco-Switch 1 mit 24 Ports, daran die Access Points, die Rechner, die PoE-Kameras, der Proxmox-Server und ein weiterer Switch. Cisco-Switch 2 versorgt zwei Kameras und einen Access Point, ein TP-Link-Switch hängt TV, TV-Box und PS4 dran.

Bevor du irgendetwas konfigurierst, musst du drei Dinge klären, weil sie den ganzen Aufbau bestimmen.

Erstens: Ist der TP-Link-Switch managed oder unmanaged? Unmanaged Switches unterstützen kein VLAN und geben nur die einfachste Funktion 2. Hängen TV, TV-Box und PS4 an einem unmanaged Switch, liegen alle drei zwangsläufig im selben VLAN, egal was du weiter oben taggst. Du kannst sie dann nur als Gruppe trennen, nicht einzeln. Willst du sie einzeln segmentieren, brauchst du dort einen managed Switch.

Zweitens: Wo liegt die Management-IP des Proxmox-Hosts? Sie gehört in ein eigenes Management-VLAN, nicht ins untagged Netz der VMs. Sonst hängt dein Verwaltungszugang im selben Segment wie Gäste und Container, die du eigentlich isolieren willst.

Drittens: Welche Geräte brauchen wirklich Internet? Kameras und Management brauchen es in der Regel nicht. Je weniger Segmente ins Internet dürfen, desto kleiner ist die Angriffsfläche, die über die Firewall nach draußen führt.

Die Trennung planen, bevor du konfigurierst

VLANs zerlegen eine Broadcast-Domäne auf Layer 2. Ein 802.1Q-VLAN wird über eine 12-Bit-ID identifiziert, nutzbar sind die Werte 1 bis 4094, 0 und 4095 sind reserviert 3. Für ein Heimnetz decken fünf Segmente die üblichen Fälle ab, ohne dass die Konfiguration zum Vollzeitjob wird:

VLAN 10, Management: OPNsense, Switch-Management, die Management-IP des Proxmox-Hosts.
VLAN 20, Clients: deine Rechner und Geräte, denen du vertraust.
VLAN 30, Medien/IoT: TV, TV-Box, PS4, Streaming-Sticks.
VLAN 40, Kameras: PoE-Kameras, isoliert.
VLAN 50, Gast-WLAN.

Entscheidungskriterien statt Dogma. Kameras kommen in ein eigenes VLAN, weil sie ins Internet zeigen und oft veraltete Firmware laufen lassen; die Isolierung sorgt dafür, dass eine Kompromittierung im Kamera-VLAN endet 4. Die Media-Geräte trennst du vom Client-VLAN, weil sie nach Hause telefonieren und deine Rechner nicht erreichen müssen. Das Management-VLAN trägt Admin-Zugang; nur deine vertrauenswürdigen Clients erreichen es, und es berührt niemals Gast- oder IoT-Verkehr.

Das IP-Schema sollte die VLAN-ID einbetten, damit du das Netz an der Adresse ablesen kannst: 10.10.10.0/24 für VLAN 10, 10.10.20.0/24 für VLAN 20 und so weiter. Das ist eine Konvention, keine Pflicht, aber sie macht Fehler schnell sichtbar. Eine Kamera, die plötzlich eine 10.10.20.x-Adresse trägt, verrät ihren falschen Port auf den ersten Blick.

Proxmox VLAN einrichten – Illustration 2

OPNsense: VLAN-Interfaces anlegen

In OPNsense legst du jedes VLAN als eigenes Interface an. Der Weg, wie ihn auch das Thomas-Krenn-Wiki für OPNsense 25.1 beschreibt 3:

Interfaces → Devices → VLAN → +. Wähle das physische Parent-Interface (die LAN-NIC, etwa igc1), trage die VLAN-ID ein (10, 20, 30, 40, 50), Save, Apply.
Interfaces → Assignments. Weise jedes neue VLAN-Device als Interface zu und gib ihm eine sprechende Beschreibung wie igc1_vlan10_MGMT. Add.
Pro Interface: Enable Interface aktivieren, IPv4 Configuration Type auf Static IPv4, die Gateway-Adresse setzen, etwa 10.10.10.1/24.
Save, danach Apply changes.

Danach braucht jedes VLAN noch einen DHCP-Bereich, sonst bekommen die Geräte keine Adressen. Unter Services → DHCPv4 aktivierst du den Server pro Interface und vergibst einen Bereich, etwa 10.10.20.100 bis 10.10.20.200 für VLAN 20. Die OPNsense-Interface-IP ist gleichzeitig das Default-Gateway des jeweiligen VLANs.

Zwei Regeln aus der OPNsense-Dokumentation verhindern die klassischen Fehler 2. Erstens: Mische auf dem Trunk zwischen OPNsense und Switch keine tagged und untagged VLANs. Der sicherste Trunk trägt ausschließlich tagged VLANs, kein natives VLAN. Mischen lässt Router Advertisements, DHCP und CARP zwischen tagged und untagged Segmenten auslaufen. Zweitens: Brücke nicht zwei Ports Richtung desselben Switches, um Bandbreite zu gewinnen, das erzeugt eine Schleife. Wenn du mehr als ein Kabel willst, nutze ein LAGG mit LACP.

Das Parent-Interface bleibt unzugewiesen. Nur die VLAN-Sub-Interfaces bekommen IP-Adressen.

Cisco-Switches: Trunk und Access setzen

Jedes VLAN muss auch auf dem Switch existieren. Auf IOS und Cisco IOS XE ist das Muster identisch 5. Der Uplink zu OPNsense wird ein Trunk, beschnitten auf die nötigen VLANs:

interface GigabitEthernet1/0/24
 description Uplink-OPNsense
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30,40,50
 switchport trunk native vlan 999

Den Trunk auf die VLANs beschneiden, die er wirklich braucht, nennt die OPNsense-Dokumentation manuelles VLAN-Pruning 2. Wenn der Switch das Entfernen des untagged VLANs vom Trunk nicht zulässt, setze die native VLAN auf eine ungenutzte Blackhole-ID wie 999, damit verirrte untagged Frames ins Leere laufen 2. Auf älterem IOS kann vor switchport mode trunk noch switchport trunk encapsulation dot1q nötig sein; neueres IOS XE nutzt dot1q als Standard.

Access-Ports für Kameras und Endgeräte 5:

interface GigabitEthernet1/0/1
 description Kamera
 switchport mode access
 switchport access vlan 40

Der Port Richtung Proxmox wird ein Trunk, der nur die VLANs durchlässt, die deine VMs und Container brauchen:

interface GigabitEthernet1/0/23
 description Proxmox
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30,40,50

Der Port Richtung Access Point läuft im gemischten Modus: Management-VLAN des AP untagged, die SSID-VLANs tagged 2. Die meisten Access Points wollen ihr Management untagged. Dieselbe Konfiguration gilt für den Uplink zu Cisco-Switch 2, wenn du ihn als Trunk betreibst und dort die zwei Kameras in VLAN 40 und den AP weiterreichst.

Proxmox VLAN einrichten: die Bridge VLAN-aware machen

Proxmox kann VLANs direkt ab Werk, der VLAN-Tag ist Teil der Netzwerkkonfiguration des Gasts 1. Der saubere Weg für ein einzelnes Homelab ist eine VLAN-aware Linux-Bridge. In /etc/network/interfaces setzt du Awareness und die erlaubten VLAN-IDs 1:

auto vmbr0
iface vmbr0 inet manual
        bridge-ports eno1
        bridge-stp off
        bridge-fd 0
        bridge-vlan-aware yes
        bridge-vids 2-4094

Danach trägst du den VLAN-Tag am Netzwerkgerät der VM in der Proxmox-Oberfläche ein: Bridge = vmbr0, VLAN Tag = 40 für eine Kamera-VM, und so weiter.

Zwei Entscheidungen solltest du bewusst treffen. Erstens das Host-Management: Soll der Proxmox-Host selbst im Management-VLAN liegen, leg die Host-IP auf das Sub-Interface der VLAN-aware Bridge (vmbr0.10) statt auf die untagged Bridge, damit die Management-IP getaggt ist 1. Zweitens guest-configured VLANs: Proxmox erlaubt auch, das Tagging dem Gast zu überlassen. Das ist der einzige Weg, mehr als ein VLAN auf einer einzigen virtuellen NIC zu nutzen 1. Für die meisten Lab-VMs ist das Tagging in der Proxmox-UI einfacher und besser nachvollziehbar.

Der Vergleich der beiden Modi in Kurzform. VLAN-aware Bridge: eine Bridge, Tags werden in der UI pro VM gesetzt, minimaler Wartungsaufwand, gut für die meisten Homelabs. Traditionelle VLANs: eine eigene Bridge pro VLAN (vmbr0v10, vmbr0v20), erzeugt für jedes VLAN zusätzliche Interfaces, die bis zum Neustart bestehen bleiben 1. Der traditionelle Weg skaliert schlechter, wenn du viele VLANs hast, trennt aber die Netze auf Bridge-Ebene härter voneinander. Für einen einzelnen Proxmox-Host mit fünf bis acht VLANs ist VLAN-aware die Variante mit weniger Reibung.

Ein praktischer Unterschied aus der Proxmox-Doku, der oft übersehen wird: Die traditionelle Variante erstellt die Interfaces eno1.5 und vmbr0v5 erst beim Konfigurieren eines Gasts auf VLAN 5, und sie bleiben bis zum Reboot bestehen 1. Wer nach dem Löschen einer VM aufgeräumte Interfaces erwartet, wird dort überrascht. Die VLAN-aware Bridge kennt dieses Verhalten nicht.

Firewall-Regeln: getrennt ist nicht automatisch sicher

Ein VLAN schützt erst, wenn die Firewall-Regeln festlegen, wer mit wem reden darf. In OPNsense startet jedes neue VLAN-Interface mit standardmäßig blockiertem eingehendem Verkehr 3; du ergänzt Regeln pro Interface.

Minimales Regelwerk:

Management-VLAN 10: erlaube nur aus dem Client-VLAN 20, auf die Management-Dienste (SSH, HTTPS).
Client-VLAN 20: raus ins Internet, plus DNS zur OPNsense.
Medien/IoT-VLAN 30: ins Internet, blockiere nach 10/20/40.
Kamera-VLAN 40: blockiere alles Eingehende außer dem, was NVR oder Client brauchen; in der Regel kein direktes Internet.
Gast-VLAN 50: ins Internet, blockiere alle internen VLANs.

Die Reihenfolge der Regeln zählt: OPNsense arbeitet sie von oben nach unten ab, die erste passende Regel gewinnt. Lege zuerst die Block-Regeln für interne Ziele an, danach die Allow-Regeln für das Internet. Wer zuerst eine breite Allow-Regel setzt, hinterlässt ein Loch, das die Block-Regel danach nicht mehr stopft.

Für alles, was Internet darf, sind zwei Punkte fällig, die man gern vergisst. Erstens Outbound NAT: Unter Firewall → NAT → Outbound muss jedes neue VLAN in der automatischen NAT-Regel auftauchen. Fehlt es, geht der Verkehr raus, aber ohne gültige Rückadresse zurück. Zweitens DNS: Sollen Clients die OPNsense als Resolver nutzen, muss das jeweilige VLAN-Interface unter Services → Unbound DNS als Listening-Interface aktiv sein. Sonst laufen DNS-Anfragen ins Leere, und das sieht für den Nutzer nach kaputtem Internet aus.

Zwei Punkte macht die Dokumentation explizit, und genau die werden falsch gemacht. Erstens läuft Inter-VLAN-Routing über OPNsense als Gateway jedes VLANs 2. Wenn sich zwei VLANs nie begegnen sollen, musst du keine Regel weglassen, der Default-Block erledigt das bereits; Regeln fügst du nur für Verkehr hinzu, den du ausdrücklich willst. Zweitens reden Geräte im selben VLAN direkt über ARP/NDP miteinander, an der Firewall vorbei 2. Segmentierung schützt nur zwischen VLANs, nie innerhalb eines VLANs. Eine Kamera und ein PC im selben VLAN erreichen sich weiterhin direkt. Deshalb zählt die Geräteplatzierung genauso viel wie die Regeln.

Testen: beweisen, dass die Trennung hält

Konfiguration ist erst Segmentierung, wenn du sie verifiziert hast. Geh die Tests in dieser Reihenfolge durch.

Tag-Check am Trunk: show interfaces trunk listet auf dem Switch, welche VLANs auf jedem Trunk aktiv sind. Prüfe, dass der Uplink zu OPNsense nur die vorgesehenen VLANs trägt und kein natives VLAN außer der Blackhole-ID.
Adress-Check: Ein Client in VLAN 20 bekommt eine IP aus 10.10.20.0/24, eine Kamera in VLAN 40 aus 10.10.40.0/24. Landet ein Gerät im falschen Subnetz, ist das Access-VLAN des Ports falsch.
Isolationstest: Pinge von einem Client in VLAN 20 eine Kamera in VLAN 40 an. Das muss ins Leere laufen. Dann pinge vom selben Client die OPNsense-Interface-IP in VLAN 20 an, das muss antworten.
Gegentest: Pinge aus VLAN 40 zurück Richtung VLAN 20. Auch das muss blockiert sein. Nur weil eine Richtung dicht ist, heißt das nicht, dass beide es sind.
ARP-Check: Unter Diagnostics → ARP zeigt OPNsense, welche MACs in welchem VLAN aufgelöst wurden. Eine Kamera-MAC im VLAN 20 bedeutet einen falsch getaggten Port.

Auf dem Proxmox-Host kannst du Tags direkt am Interface mitverfolgen: tcpdump -i vmbr0 -e zeigt die VLAN-Header eingehender Frames und deckt auf, ob der Switch die erwarteten Tags liefert. Eine VM, die trotz gesetztem Tag eine Adresse aus dem falschen Subnetz zieht, deutet auf ein trunk-Problem am Uplink, nicht auf die Bridge selbst.

Die häufigsten Fehlerbilder und ihre Ursache:

DHCP geht, Internet nicht: Das VLAN-Interface hat eine IP, aber die ausgehende Firewall-Regel oder die ausgehende NAT fehlt.
VLAN-40-Geräte sind aus VLAN 20 erreichbar: Es gibt eine Regel, die das erlaubt, oder beide Geräte hängen tatsächlich im selben VLAN, weil ein Switch-Port nicht auf Access gesetzt wurde.
Alles läuft, aber ein VLAN ist unsichtbar: Das VLAN fehlt in der allowed-vlan-Liste des Trunks oder wurde auf dem Switch nicht angelegt.
Eine Proxmox-VM bekommt keine Adresse: Der VLAN-Tag der VM passt nicht zum VLAN am Switch-Trunk, oder bridge-vlan-aware ist nicht gesetzt.
Geräte hinter dem TP-Link-Switch landen praktisch alle im selben VLAN: Der TP-Link ist unmanaged und kann keine VLANs konfigurieren. Ungetaggte Geräte dahinter teilen sich eine Broadcast-Domäne und laufen im nativen VLAN des Uplink-Ports auf. (802.1Q-Tags reicht ein unmanaged Switch je nach Modell meist transparent durch, eine tag-basierte Trennung ist dort aber nicht konfigurierbar.)

Was diese Segmentierung nicht löst

VLAN-Segmentierung erhöht die Hürde für laterale Bewegung, ersetzt aber die Grundlagen nicht. Ein Gerät im vertrauenswürdigen VLAN 20 hat weiterhin vollen Zugriff auf deine Client-Rechner; dieses VLAN ist nur so sicher wie die Geräte darin. Default-Passwörter auf Kameras oder ein IoT-Gerät im falschen VLAN machen den Plan zunichte. Segmentierung schützt auch nicht gegen einen kompromittierten Proxmox-Host: Der Hypervisor erreicht jedes VLAN, das er trägt. Das Management-VLAN ist deshalb das Kronjuwel und braucht eigene Sorgfalt, starke Authentifizierung und keine Exposition gegenüber Gast-Verkehr.

Halte den Umfang realistisch. Der Plan oben reicht für ein Heimlab. Mehr VLANs, als der Verkehr tatsächlich rechtfertigt, bedeuten mehr Regeln, mehr Fehlerquellen und keine zusätzliche Sicherheit.

Passende Produktrecherchen

Wenn du die praktische Seite vertiefen möchtest, findest du hier passende Suchpfade zum Vergleichen. Keine Kaufpflicht, keine Rangliste, sondern thematisch passende Produktrecherchen:

Hinweis: Als Amazon-Partner verdient kalika.de an qualifizierten Verkäufen. Für dich ändert sich der Preis nicht.

Proxmox VLAN einrichten – Illustration 3

Weiterführende Artikel

Häufige Fragen

Was beantwortet dieser Beitrag zu Proxmox VLAN einrichten: Homelab mit OPNsense und Cisco-Switches segmentieren?

Er ordnet die genannten Quellen ein und übersetzt sie in Prüfpunkte für die eigene Entscheidung. Er ersetzt keine individuelle Planung, Beratung oder Wirtschaftlichkeitsrechnung.

Welche Angaben sollte ich vor einer Entscheidung selbst prüfen?

Entscheidend sind die eigenen Verbrauchs- und Nutzungsdaten, Kosten, technische Voraussetzungen und die aktuell geltenden Regeln. Die Quellen am Ende zeigen, welche Aussagen aus der Meldung stammen und wo die Grenzen der Einordnung liegen.

Sind die genannten Zahlen auf jeden Haushalt übertragbar?

Nein. Umfrage- und Marktwerte beschreiben Gruppen oder Zeitpunkte. Ob eine Maßnahme im Einzelfall passt, hängt von den konkreten Voraussetzungen vor Ort ab.

Grenzen der Einordnung

Die zitierten Daten beschreiben eine Erhebung beziehungsweise einen allgemeinen Markt- oder Regelungsstand. Sie ersetzen weder eine technische Prüfung noch eine individuelle Kostenrechnung. Änderungen bei Preisen, Förderung, Netzentgelten oder Vorgaben können das Ergebnis beeinflussen; daher sollten Leserinnen und Leser die Primärquellen vor einer konkreten Entscheidung erneut prüfen.

Transparenzhinweis

Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz erstellt und automatisiert auf Quellen, Fakten und Qualitätskriterien geprüft.

Quellen

[1] Proxmox VE Wiki: Network Configuration

[2] OPNsense Documentation: VLAN and LAGG Setup

[3] Thomas-Krenn-Wiki: VLAN einrichten unter OPNsense

[4] State of Surveillance: Home Network VLANs, Isolate IoT Devices

[5] Cisco: VLAN Configuration Guide, Catalyst 9300, IOS XE 17.18