Proxmox VE auf Debian 12 (Bookworm) installieren & Routed Network (vmbr0/vmbr1) einrichten

Auf Mietservern (z. B. bei Hetzner oder OVH) wird häufig ein Standard-Debian-Image vorinstalliert. In diesem Leitfaden installieren wir Proxmox VE 8 sauber nach und strukturieren das Netzwerk so um, dass der gesamte Datenverkehr der virtuellen Maschinen über eine zentrale Firewall geführt werden kann.

1. Hostnamen & /etc/hosts anpassen (Voraussetzung)

Proxmox verlangt zwingend, dass der Hostname auf eine feste IP-Adresse (nicht auf 127.0.1.1) auflöst. Prüfe deine /etc/hosts:

127.0.0.1 localhost
195.201.x.y pve.tessmann.dev pve

# Die folgende Zeile MUSS gelöscht oder auskommentiert werden, falls vorhanden:
# 127.0.1.1 pve

Testen mit: hostname --fqdn (muss pve.tessmann.dev zurückgeben).

2. Proxmox VE Repository & GPG-Key einbinden

# GPG-Schlüssel laden
wget https://enterprise.proxmox.com/debian/proxmox-release-bookworm.gpg -O /etc/apt/trusted.gpg.d/proxmox-release-pve.gpg

# No-Subscription Repository für Bookworm hinzufügen
echo "deb [arch=amd64] http://download.proxmox.com/debian/pve bookworm pve-no-subscription" > /etc/apt/sources.list.d/pve-install-repo.list

# Paketlisten aktualisieren & System upgraden
apt update && apt full-upgrade -y

3. Proxmox VE Kernel & Pakete installieren

apt install proxmox-ve postfix open-iscsi chrony -y

Hinweis bei Postfix: Wähle im Installationsdialog Local only, falls der Host keine Mails direkt versenden muss.

Nach Abschluss den Standard-Debian-Kernel entfernen und den Server neu starten, um in den optimierten Proxmox-Kernel zu booten:

apt remove linux-image-amd64 'linux-image-6.1*' -y
update-grub
reboot

4. IPv4 Kernel Forwarding aktivieren

Damit der Linux-Host IP-Pakete zwischen der physischen Netzwerkkarte und den internen Bridges routen kann:

cat < /etc/sysctl.d/99-networking.conf
net.ipv4.ip_forward = 1
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0
net.ipv4.conf.all.accept_redirects = 0
EOF

# Änderungen sofort ohne Neustart laden
sysctl --system

5. Die Netzwerk-Architektur (/etc/network/interfaces)

Wir erstellen zwei Bridges:

vmbr0: Ist direkt mit der physischen Netzwerkkarte (z. B. enp7s0) verbunden und hält die öffentliche IP.
vmbr1: Ein komplett isoliertes, internes Switch-Segment ohne physischen Uplink (Private Cloud).

auto lo
iface lo inet loopback

iface enp7s0 inet manual

# vmbr0: Öffentliches Interface (WAN)
auto vmbr0
iface vmbr0 inet static
    address 195.201.x.y/27
    gateway 195.201.x.1
    bridge-ports enp7s0
    bridge-stp off
    bridge-fd 0

# vmbr1: Internes LAN (Hinter der OPNsense-Firewall)
auto vmbr1
iface vmbr1 inet manual
    bridge-ports none
    bridge-stp off
    bridge-fd 0