VLAN-Setup: Router, Switch und Dienste auf einer Kiste konsolidieren

Es ist Samstagabend, der dritte Kaffee steht kalt und du starrst auf deinen Proxmox-Cluster aus drei Dell OptiPlex Micros. Nextcloud läuft, Immich sortiert Fotos, Plex streamt, Home Assistant hat die Rollläden heruntergefahren. Alles auf einem flachen Netzwerk – ein Subnetz für alles. Der TP-Link Archer AX55 macht WLAN, der kleine TL-SG108E verteilt die Kabel. Aber von VLANs, getrennten IoT-Netzen oder einem Gäste-WLAN keine Spur.

Der Gedanke, der dich seit Wochen begleitet: „Das muss sicherer gehen." Und dann der zweite, nicht weniger wichtige: „Aber ich will keine weiteren Geräte, die Strom ziehen und Platz im Regal beanspruchen. Ich habe doch schon drei Mini-PCs."

Genau an diesem Punkt steht, wer sein Homelab ernsthaft segmentieren will. Zwei grundlegend verschiedene Wege liegen vor dir: Entweder du konsolidierst Firewall, Routing und VLAN-Logik auf der Virtualisierungsumgebung, die du schon hast – OPNsense als VM, der managed Switch als Verteiler, alles in einem Rack. Oder du holst separates Netzwerk-Equipment, etwa aus dem UniFi-Ökosystem von Ubiquiti, und baust eine klassische, physisch getrennte Infrastruktur mit dediziertem Router.

Beide Wege funktionieren und beide haben ihre Gemeinde. Dieser Artikel hilft dir, den für dein Setup richtigen zu finden.

Inhaltsverzeichnis

Warum VLANs? Die unsichtbaren Mauern
Was du an Hardware wirklich brauchst
OPNsense als virtuelle Firewall unter Proxmox
Der managed Switch: Tagged, Untagged, PVID
Netzwerkdesign: Welche VLANs machen Sinn?
Die Konsolidierungs-Frage: Alles in eine Kiste?
FAQ
Fazit

Kurzantwort

VLAN-Segmentierung im Homelab: OPNsense als VM auf Proxmox oder dedizierte UniFi-Hardware? Ein praktischer Vergleich mit konkreten Entscheidungshilfen. Kurz gesagt: vlan setup: consolidating router+switch+services onto one box vs. unif ist vor allem dann relevant, wenn du schnell verstehen willst, was konkret dahinter steckt, welche Grenzen es gibt und welche Entscheidung daraus folgt. Die Details, Quellen und Einschränkungen stehen in den folgenden Abschnitten.

Warum VLANs? Die unsichtbaren Mauern

Ein flaches Netzwerk ist wie ein Haus ohne Innenwände: Jedes Gerät kann jedes andere sehen. Die smarte Glühbirne, die seit drei Jahren kein Update gesehen hat, sitzt im selben Raum wie dein NAS mit den Steuerdokumenten. Ein experimenteller Docker-Container scannt munter deine Proxmox-Management-Oberfläche – alles eine große, flache Party.

VLANs sind die Wände. Sie trennen Geräte logisch, selbst wenn sie am selben Kabel hängen. Die IoT-Steckdose erreicht den Fernseher nicht mehr. Das Gäste-WLAN sieht nur das Internet. Falls ein Gerät kompromittiert wird, ist der Schaden auf genau das Segment begrenzt, in dem es lebt.

Daniel Glover beschreibt das in seinem Home Lab Network Segmentation Guide vom April 2026 als „Containment" – Eindämmung. Jedes Segment bekommt explizite Regeln, wer mit wem sprechen darf. Die Philosophie: Vertraue keinem Gerät pauschal.

Neben Sicherheit bringt Segmentierung zwei praktische Vorteile. Erstens: Kontrolle über Broadcast-Domains. IoT-Geräte sind notorisch geschwätzig – mDNS, SSDP, Discovery-Protokolle rauschen im flachen Netz über jeden Port. Mit VLANs hältst du den Lärm dort, wo er hingehört. Zweitens: eine realistische Testumgebung. Wenn du beruflich mit IT zu tun hast, bildet dein Homelab plötzlich echte Architekturen ab – mit Firewall-Regeln, getrennten Subnetzen und nachvollziehbaren Logs.

vlan setup: consolidating router+switch+services onto one box vs. unif – Illustration 2

Was du an Hardware wirklich brauchst

Die gute Nachricht: Du hast das meiste schon. Dein TP-Link TL-SG108E ist ein VLAN-fähiger managed Switch. Er versteht 802.1Q-Tags, kann Ports als Tagged oder Untagged konfigurieren und unterstützt portbasiertes VLAN-Management. Acht Ports reichen für ein typisches Homelab – je einer für die Proxmox-Uplinks, die Access Points und ein paar reservierte Plätze.

Die spannendere Frage ist der Router. Hier stehen drei realistische Optionen im Raum, und jede hat ihren eigenen Charakter.

OPNsense als VM auf Proxmox. Dein bestehender Host bekommt eine zusätzliche VM, die den Router-Job übernimmt. Dafür brauchst du einen VLAN-Aware-Bridge und CPU-Reserven – aber kein zusätzliches Gerät. Ein Mini-PC mit Intel N305 (etwa ein Protectli VP2420 mit CPU-Upgrade) zieht im Leerlauf rund 11 Watt und liefert laut den Benchmarks von TechFuel HQ aus Mai 2026 mit aktiviertem Suricata-IDS 728 Mbit/s. Ohne IDS schafft derselbe Prozessor 941 Mbit/s – nahe der Gigabit-Grenze. Der sparsamere N100 kommt mit 7 Watt im Leerlauf aus, fällt mit IDS aber auf 461 Mbit/s zurück – für DSL-Anschlüsse mehr als genug, für Glasfaser mit IDS an der Grenze.

Dedizierte OPNsense-Box. Ein Protectli VP2420 oder N100-Mini-PC als separates Gerät. Gleiche Software, gleiche Fähigkeiten – aber unabhängig von Proxmox. Stromverbrauch: 7 bis 11 Watt. Der entscheidende Vorteil: Ein Proxmox-Neustart legt nicht das ganze Hausnetz lahm. Nachteil: ein weiteres Gerät, das Platz und Steckdose braucht.

UniFi Cloud Gateway. UniFi glänzt mit Integration: Router, Switch-Management und AP-Steuerung in einer aufgeräumten Oberfläche. Das Cloud Gateway Max mit aktueller Firmware schafft rund 720 Mbit/s mit aktiviertem IDS bei etwa 12 Watt. Der WireGuard-Durchsatz liegt bei rund 612 Mbit/s – besser als beim UDM-Pro (380 Mbit/s), aber immer noch unter dem Niveau offener Plattformen. Wer bereits UniFi-APs einsetzt, findet hier den geringsten Integrationsaufwand – aber auch die geringste Flexibilität bei Firewall-Regeln.

Für segmentierte WLANs brauchst du außerdem Access Points, die mehrere SSIDs mit unterschiedlichen VLAN-Tags ausstatten können. UniFi-APs und TP-Link-Omada-Geräte beherrschen das. Dein Archer AX55 im AP-Modus in der Regel nicht – Consumer-Router können selten zwischen SSID und VLAN-Tag unterscheiden.

OPNsense als virtuelle Firewall unter Proxmox

Die Virtualisierungsroute ist der spannendere Weg – den du vermutlich gehen willst, weil er keine neue Hardware verlangt. Aber er hat mehr bewegliche Teile, als man denkt.

Das Grundprinzip heißt „Router-on-a-Stick": Deine OPNsense-VM hat eine virtuelle Netzwerkschnittstelle, die als Trunk fungiert. Über diese Leitung laufen alle VLANs gebündelt – getrennt durch 802.1Q-Tags. Der managed Switch verteilt die Pakete dann an die richtigen Ports.

Damit das funktioniert, muss der Proxmox-Bridge VLAN-Aware sein. In der Weboberfläche aktivierst du für den entsprechenden Linux-Bridge die Option „VLAN aware". Das ist ein Klick – aber einer, den du nicht vergessen darfst. Für die OPNsense-VM selbst lässt du das VLAN-Tag im Netzwerkadapter bewusst leer. Das virtuelle Interface verhält sich dann als Trunk und reicht alle getaggten Pakete unverändert an OPNsense durch. Die eigentliche Zuordnung von VLAN-ID zu Interface passiert erst in OPNsense.

Dort erstellst du unter „Interfaces → Other Types → VLAN" für jedes deiner VLANs ein virtuelles Interface. Parent-Interface ist deine virtuelle Netzwerkkarte, VLAN-Tag die ID aus deinem Design. Danach weist du diese Interfaces zu, vergibst IP-Adressen als Gateway für das jeweilige Subnetz und richtest DHCP ein. Soweit die Mechanik.

Die eigentliche Segmentierung passiert in den Firewall-Regeln. Ohne Regeln sind VLANs nur hübsche Nummern – die Pakete fließen trotzdem quer durch den Router. Der bewährte Ansatz: Beginne mit einem strikten „Deny all between VLANs" und füge dann gezielt Ausnahmen hinzu. DNS zu OPNsense oder Pi-hole erlauben (Port 53), DHCP durchlassen (Port 67/68), Internetzugang für alle VLANs, die ihn brauchen – und dann für jede sinnvolle Inter-VLAN-Verbindung eine eigene Regel mit definiertem Quell- und Zielport.

Der Haken an der virtualisierten Lösung, und es ist ein echter: Ein Proxmox-Neustart reißt das gesamte Netzwerk mit. Kein DNS, kein DHCP, keine Firewall – bis die OPNsense-VM wieder hochgefahren ist. Konfiguriere den Autostart der VM mit hoher Boot-Priorität und stell sicher, dass der Proxmox-Host selbst ohne laufende OPNsense auf dem Management-VLAN über eine statische IP erreichbar bleibt. Sonst stehst du mit Tastatur und Monitor im Keller, wenn nach einem Kernel-Update nichts mehr geht.

Der managed Switch: Tagged, Untagged, PVID

Dein TL-SG108E ist das unscheinbarste Gerät im ganzen Setup – und dasjenige, an dem die meisten VLAN-Projekte scheitern. Drei Begriffe musst du verstehen, bevor du den ersten Port konfigurierst.

Tagged-Port (Trunk): Trägt alle VLANs gebündelt auf einer Leitung. Der Port, an dem dein Proxmox-Host oder deine OPNsense-Box hängt, sollte für sämtliche definierten VLANs tagged sein. Nur so erreichen die getaggten Pakete ihr Ziel, ohne dass der Switch sie verwirft.

Untagged-Port (Access): Gehört zu genau einem VLAN. Arbeitsrechner, Drucker, Fernseher – jedes normale Endgerät bekommt einen Port, der untagged im richtigen VLAN liegt. Der Switch entfernt beim Senden das VLAN-Tag; das Endgerät merkt von der ganzen Segmentierung nichts und verhält sich, als wäre es in einem normalen, flachen Netzwerk.

PVID (Port VLAN ID): Bestimmt, welchem VLAN eingehende, ungetaggte Pakete zugewiesen werden. Bei einem Access-Port setzt du die PVID auf die VLAN-ID, in der das Gerät leben soll. Hier liegt eine besonders fiese Falle: Du änderst die PVID eines Ports, an dem ein bereits konfiguriertes Gerät hängt, und zack – es ist aus deiner Sicht verschwunden. Es lebt jetzt in einem anderen VLAN, ohne dass du dort Routing oder eine passende IP-Adresse eingerichtet hast. Merksatz: Finger weg von der PVID an kritischen Ports, es sei denn, du hast einen zweiten, unabhängigen Zugangsweg.

Für dein konkretes Setup mit drei Proxmox-Knoten bedeutet das: Jeder Knoten erhält einen Tagged-Port auf dem Switch. Die OPNsense-VM, die auf einem der Knoten läuft, erreicht über diesen Trunk sämtliche VLANs. Die restlichen VMs und Container auf Proxmox bekommen ihre VLAN-ID direkt im virtuellen Netzwerkadapter mitgegeben – der VLAN-Aware-Bridge tagged transparent für dich. Dahinter steckt kein Hexenwerk, aber es ist eine Konfiguration, die man einmal in Ruhe macht und dann nie wieder anfassen will. Dokumentiere sie. Dein zukünftiges Ich, das um zwei Uhr nachts ein seltsames Netzwerkproblem debuggt, wird es dir danken.

Netzwerkdesign: Welche VLANs machen Sinn?

Die Versuchung ist groß, sofort fünfzehn VLANs aufzumachen und jedes Subsystem in eine eigene, perfekt abgeschottete Box zu packen. Widersteh ihr. Glover schreibt, er habe Leute gesehen, die mehr Zeit mit dem Debuggen von Firewall-Regeln verbringen als mit der Nutzung ihres Labs. Fang mit wenigen, klar definierten Segmenten an und teile später, wenn du einen konkreten Grund hast.

Aus deiner Ausgangslage – Nextcloud, Immich, Plex, das komplette *arr-Stack, Home Assistant mit Zigbee2MQTT über einen SLZB-06-Ethernet-Koordinator, Pi-hole, Tailscale, NPMplus und Proxmox Backup Server auf drei Dell OptiPlex Micros – ergeben sich vier sinnvolle Basis-VLANs:

Management-VLAN: Deine Proxmox-Hosts, die Switch-Management-IP, die OPNsense-Weboberfläche und eventuell vorhandene IPMI/iDRAC-Zugänge. Dieses VLAN ist tabu für alle anderen. Kein Client, kein Dienst, kein IoT-Gerät initiiert Verbindungen hierher. Nur du, über dein Trusted-VLAN, auf definierten Ports.

Trusted-VLAN: Deine persönlichen Geräte – Arbeitslaptop, Desktop, Smartphone im Heimnetz-WLAN. Dieses VLAN darf auf definierte Dienste im Servers-VLAN zugreifen: Nextcloud auf Port 443, SMB-Freigaben, die Proxmox-Weboberfläche auf 8006. Aber es darf nicht ins IoT-VLAN und schon gar nicht ins Management-VLAN. Es ist dein vertrautes Wohnzimmer, aber mit geschlossenen Türen zu den anderen Räumen.

IoT-VLAN: Alle smarten Geräte – Zigbee-Koordinator, Steckdosen, Lampen, Sensoren, die smarte Waschmaschine. Diese Geräte bekommen Internetzugang, weil die meisten ihn für Cloud-Dienste brauchen. Sie dürfen untereinander kommunizieren (die Hue-Bridge muss die Lampen erreichen können). Aber sie dürfen unter keinen Umständen ins Trusted- oder Servers-VLAN hinein. Home Assistant, das im Servers-VLAN läuft, erreichst du über eine spezifische Firewall-Regel für Port 8123 – und nur das.

Servers-VLAN: Deine zentralen Dienste – Nextcloud, Immich, Plex, Pi-hole, NPMplus, das *arr-Stack. Dieses VLAN hat Internetzugang und wird vom Trusted-VLAN aus auf sorgfältig definierten Ports erreicht. Eingehende Verbindungen aus dem IoT-VLAN sind grundsätzlich blockiert, mit der einzigen und bewusst gesetzten Ausnahme Home Assistant.

Zu diesen vier Basis-VLANs kommen zwei optionale, die du früher oder später haben willst: ein Gäste-VLAN, das ausschließlich Internetzugang hat und keinerlei interne Ressourcen sieht, und ein Kids-VLAN mit DNS-basierter Inhaltsfilterung über Pi-hole oder AdGuard Home.

Die Firewall-Regeln folgen einem immer gleichen Muster: DNS (UDP/TCP 53) von jedem VLAN zu OPNsense oder Pi-hole erlauben. DHCP (UDP 67/68) innerhalb jedes VLANs durchlassen. Internetzugang für alle VLANs, die ihn brauchen. Und dann die gezielten Brücken: Trusted → Servers auf definierten Ports. IoT → Home Assistant auf 8123. Nichts → Management. Das ist nicht kompliziert – es ist diszipliniert.

Die Konsolidierungs-Frage: Alles in eine Kiste?

Jetzt die Kernfrage: Solltest du OPNsense auf denselben Proxmox-Server packen, auf dem bereits Nextcloud, Plex und Home Assistant laufen?

Die kurze Antwort: Ja, das funktioniert. Die Benchmarks von TechFuel HQ zeigen OPNsense 26.1 auf einem Intel i3-N305 mit 941 Mbit/s NAT und 728 Mbit/s mit aktiviertem Suricata-IDS – mehr, als die meisten Heimanschlüsse liefern. Die Latenzwerte sind von physischer Hardware nicht zu unterscheiden.

Der Stromverbrauch spricht ebenfalls dafür: Ein zusätzlicher dedizierter Router zieht 7 bis 15 Watt dauerhaft, über ein Jahr 60 bis 130 Kilowattstunden.

Der Preis ist nicht Performance oder Geld. Es ist Abhängigkeit.

Ein Proxmox-Neustart – Kernel-Update, Stromausfall, Hardware-Arbeit – reißt den Router mit. Kein Internet. Kein DNS. Keine Firewall. Fürs ganze Haus. Deine Partnerin im Video-Meeting, die Kinder beim Streamen – niemand wird begeistert sein.

Das Gegenargument, und es hat Gewicht: Wie oft startest du Proxmox wirklich neu? Vielleicht vier, fünf Mal im Jahr. Ein moderner Host bootet in rund einer Minute, OPNsense mit Autostart-Priorität braucht nochmal dreißig Sekunden. Zwei Minuten Downtime – planbar und für alle im Haushalt vorhersehbar.

Schwieriger ist das Troubleshooting. Wenn die virtualisierte Firewall nicht hochkommt – sei es durch einen fehlerhaften Kernel, eine zerschossene Bridge oder ein schiefgegangenes OPNsense-Update – musst du über Proxmox debuggen. Ohne laufende Firewall erreichst du Proxmox nur lokal an der Konsole. Bei separater Hardware steckst du den Laptop direkt an die Management-Schnittstelle und bist unabhängig.

Meine Einschätzung: Für dein Setup mit drei bereits laufenden Dell OptiPlex Micros ist die Konsolidierung der pragmatisch richtige Weg. Du minimierst Geräte, Strom und Kosten. Du lernst deinen Netzwerkstack von Grund auf kennen. Die Ausfallrisiken sind im Homelab ohne Fünf-Neunen-Anspruch beherrschbar, solange du sie bewusst eingehen willst.

Wenn Ausfallsicherheit absolute Priorität hat: Ein N100-Mini-PC für rund hundert Euro, zwanzig Minuten Installation, und dein Netzwerk läuft entkoppelt. Die Konfiguration ziehst du per Backup in Minuten um.

Entscheidungshilfe: Wann ist das sinnvoll?

Eher sinnvoll, wenn du vlan setup: consolidating router+switch+services onto one box vs. unif nicht nur als Nachricht lesen willst, sondern eine praktische Einordnung brauchst: Was ändert sich, wen betrifft es und welche nächsten Schritte sind realistisch?

Eher abwarten, wenn die Quellenlage noch dünn ist, wichtige technische Details fehlen oder der Nutzen nur aus Hersteller- oder Projektversprechen besteht. Dann ist Beobachten besser als vorschnelles Umstellen.

Worauf du achten solltest: konkrete Verfügbarkeit, nachvollziehbare Kosten, offene Einschränkungen, Sicherheits- oder Datenschutzfolgen und belastbare Quellen statt bloßer Ankündigungen.

FAQ

Kann ich meinen Archer AX55 als Access Point mit VLANs nutzen?

Die Stock-Firmware von TP-Link unterstützt in aller Regel kein VLAN-Tagging pro SSID. Für segmentierte WLANs brauchst du Access Points, die mehrere WLAN-Namen auf unterschiedliche VLAN-IDs abbilden können. UniFi-APs und TP-Link-Omada-Geräte beherrschen das zuverlässig, ebenso wie Geräte mit OpenWrt.

Brauche ich zwingend einen managed Switch?

Ja. Unmanaged Switches verstehen 802.1Q-Tags entweder gar nicht oder verhalten sich je nach Hersteller und Modell inkonsistent – sie lassen Tags mal durch, mal entfernen sie sie, mal verwerfen sie getaggte Frames komplett. Für VLANs ist ein managed Switch zwingend. Dein TL-SG108E erfüllt diese Anforderung.

Wie viele VLANs sind zu viele?

Wenn du mehr Zeit mit dem Schreiben und Debuggen von Firewall-Regeln verbringst als mit der Nutzung deines Homelabs. Fang mit vier bis sechs VLANs an und teile später, wenn du einen konkreten, praktischen Grund dafür hast.

Was passiert bei einem Proxmox-Ausfall mit dem Internet?

Es ist weg. Das ist der unvermeidbare Hauptnachteil der Konsolidierungsroute. Stell sicher, dass die OPNsense-VM bei jedem Host-Start automatisch und mit hoher Priorität bootet, sodass kein manueller Eingriff nötig ist.

OPNsense oder pfSense?

Beide sind ausgereifte, stabile Plattformen. OPNsense hat die modernere Oberfläche und schnellere Updates (zwei Hauptversionen pro Jahr). pfSense Plus ist extrem stabil mit größerer Plugin-Auswahl. Für Einsteiger ist OPNsense zugänglicher. Die VLAN-Einrichtung unterscheidet sich kaum.

UniFi oder separates DIY-Routing?

UniFi bietet Integration und Komfort: ein Dashboard für Router, Switches und APs, automatische Topologie-Erkennung, grafisches VLAN-Setup. Der Preis: weniger Flexibilität bei komplexen Firewall-Regeln und Abhängigkeit vom Ubiquiti-Ökosystem. OPNsense ist die Wahl für maximale Kontrolle.

Reicht eine Netzwerkkarte pro Proxmox-Knoten für VLANs?

Ja. Genau das ist das Router-on-a-Stick-Prinzip: eine physische NIC, ein VLAN-Aware-Bridge, und alle VLANs laufen gebündelt über denselben Trunk. Der potenzielle Flaschenhals ist die Bandbreite dieser einen Netzwerkkarte. Bei Gigabit-Ethernet und typischem Heimnetz-Traffic ist das erfahrungsgemäß selten ein Problem.

Muss das Management-VLAN auf VLAN 1 bleiben?

Nein, aber es vereinfacht die Erstkonfiguration erheblich. VLAN 1 ist auf praktisch allen managed Switches das Default-VLAN für ungetaggte Pakete – wenn du neu anfängst und den Switch noch nicht umkonfiguriert hast, landen alle ungetaggten Verbindungen automatisch dort. Später kannst du das Management in ein eigenes VLAN migrieren. Mit etwas Planung und einem zweiten Zugangsweg ist das kein Problem.

Was ist der häufigste Konfigurationsfehler bei der VLAN-Einrichtung?

Doppeltes VLAN-Tagging. Wenn du VLAN-Tags sowohl im Proxmox-Netzwerkadapter setzt als auch in OPNsense VLAN-Interfaces auf demselben Tag erstellst, bekommst du doppelt getaggte Frames – und nichts funktioniert. Entscheide dich für genau einen Ort, an dem Tags gesetzt werden. Der Trunk-Weg – Tags ausschließlich in OPNsense – ist flexibler und in der Community weiter verbreitet.

Lohnt sich der Aufwand für ein reines Heimnetzwerk ohne Homelab?

Teilweise. IoT-Isolation allein rechtfertigt den Aufwand auch ohne Homelab – dass die Billig-IP-Kamera nicht auf dein NAS zugreifen kann, ist unabhängig von Proxmox sinnvoll. Aber ohne managed Switch und VLAN-fähigen Router kommst du nicht weit. Ob sich die Anschaffung nur für IoT-Isolation lohnt, hängt von deinem persönlichen Sicherheitsbedürfnis ab.

Fazit

Die Entscheidung, dein Homelab mit VLANs zu segmentieren, ist eine der wenigen auf dieser Skala, die kein Zurück kennt – im besten Sinne. Einmal eingerichtet, willst du nie wieder in den großen, flachen Raum zurück, in dem jedes Gerät jedes andere sieht und potenziell angreifen kann.

Die Konsolidierung von Router, Firewall und Diensten auf einer Kiste ist der schlankere, energieeffizientere und lehrreichere Weg. Du lernst Bridges, Trunks und Firewall-Regeln nicht aus einem Handbuch, sondern weil du sie selbst konfiguriert hast. Der Preis: Proxmox-Downtime wird zur Router-Downtime. Für ein Homelab ohne Fünf-Neunen-Anspruch ein fairer Deal.

Separate Hardware – ob aus dem UniFi-Regal oder eine dedizierte OPNsense-Box – entkoppelt und vereinfacht das Troubleshooting. Höherer Stromverbrauch und das zusätzliche Gerät sind die Gegenposten.

Wenn du deine drei Dell OptiPlex Micros ohnehin schon rund um die Uhr laufen hast und die Stromrechnung im Blick behalten willst: Starte mit dem virtualisierten OPNsense. Richte die VLANs ein, dokumentiere die Firewall-Regeln, lerne deinen Switch in- und auswendig. Falls dich die Downtime bei Proxmox-Updates in einem Jahr tatsächlich nervt, stellst du eine kleine dedizierte Box daneben – die Konfiguration aus der VM ziehst du per Backup in Minuten um. Andersherum – von separater Hardware zurück zur VM – geht das genauso schnell.

Der erste Schritt ist nicht die eine perfekte Entscheidung. Der erste Schritt ist anzufangen.

Passende Produktrecherchen

Wenn du die praktische Seite vertiefen möchtest, findest du hier passende Suchpfade zum Vergleichen. Keine Kaufpflicht, keine Rangliste, sondern thematisch passende Produktrecherchen:

Hinweis: Als Amazon-Partner verdient kalika.de an qualifizierten Verkäufen. Für dich ändert sich der Preis nicht.

Quellen

vlan setup: consolidating router+switch+services onto one box vs. unif – Illustration 3

VLAN-Setup: Router, Switch und Dienste auf einer Kiste konsolidieren – oder doch besser separates UniFi-Kit?

VLAN-Segmentierung im Homelab: OPNsense als VM auf Proxmox oder dedizierte UniFi-Hardware? Ein praktischer Vergleich mit konkreten Entscheidungshilfen.