+7 (495) 320-70-49
- Назад
- Телефоны
- +7 (495) 320-70-49
- Заказать звонок
info@proxmox.su
Москва, Бакунинская улица, 69с1
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

VM получает весь трафик из VLAN, если VLAN также существует в SDN, Proxmox Виртуальная Среда

romrider

Guest

17.11.2025 13:27:00

Когда виртуальной машине назначен мостовой интерфейс (поддерживающий VLAN) с VLAN-тегом на интерфейсе, и при этом этот VLAN также существует как VNET (тот же мост и тот же VLAN-тег), И при этом назначен виртуальной машине, а виртуальные машины распределены по разным хостам, то виртуальная машина с назначенным мостом напрямую получает весь трафик VLAN того хоста, на котором она запущена.

Тестовый случай:
3 хоста в кластере pve (LACP bond0 – дочерний интерфейс VLAN-aware моста vmbr0)
SDN-зона типа VLAN (мост vmbr0) с VNET, работающим на VLAN 1234, под названием test
3 виртуальные машины (test1, test2, test3) с одним интерфейсом каждая
Между test2 и test3 выполняется ping
На test1 запущен tcpdump

Случай 1:
Все ВМ запущены на одном хосте и используют смесь из vmbr0+VLAN1234 или VNET
Результат: проблем нет, независимо от конфигурации сетевых интерфейсов.
Каждая из них получает только свой трафик, независимо от того, назначен ли им VNET или vmbr0+VLAN1234 напрямую.

Случай 2:
Все ВМ распределены по кластеру и либо ВСЕ используют напрямую vmbr0+VLAN1234, либо ВСЕ используют VNET
Результат: проблем нет, ВМ получают только свой собственный трафик.

Случай 3:
Все ВМ распределены по кластеру
На одном хосте: test1 использует vmbr0+VLAN1234, а test3 использует VNET (если оба ВМ используют vmbr0+VLAN1234, этого не происходит)
На другом хосте: test2 использует VNET
Результат: ВМ test1, которая использует интерфейс моста+VLAN, видит echo request от test2 (другой хост) к test3 (тот же хост)

Это довольно неожиданное поведение, и я думаю, что это может быть багом. Как дальше действовать?

romrider Guest	#2 0 10.12.2025 18:05:00 Привет! Хотел узнать, учли ли эту проблему и можно ли ждать каких-то исправлений или обновлений в будущем? Если нет, подскажите, что ещё можно сделать, чтобы её всё-таки исправили? Спасибо!

shanreich

Guest

10.12.2025 18:12:00

Да, я сейчас занимаюсь исправлением этой проблемы, но не могу гарантировать, когда именно оно будет готово. В качестве временного решения вы всегда можете использовать либо SDN VNets для VLAN тегов, либо *не* использовать VNets и маркировать сетевые устройства напрямую — но не смешивайте оба варианта.

romrider Guest	#4 0 10.12.2025 18:54:00 Отлично, спасибо!

Cyberishf

Guest

11.12.2025 07:54:00

https://vincent.bernat.ch/en/blog/2017-linux-bridge-isolation Здесь подробно объяснены некоторые моменты и предложено несколько решений, возможно, это даст вам идеи. И ещё, для тех, кто случайно наткнётся на этот обходной путь через гугл: если у вас есть мост с VLAN-интерфейсом И вы создаёте VNet с таким же VLAN, это перезапишет конфигурацию вашего моста — нет никакой защиты от этого (спросите, откуда я знаю). Один из сценариев, когда это может случиться, — если вы хотите добавить виртуальную машину в ваш Proxmox management VLAN по какой-то причине и решаете, что эта VM должна использовать SDN-конфигурацию, а не подключаться напрямую к мосту управления сетью.

shanreich Guest	#6 0 12.12.2025 17:03:00 Моя первоначальная идея для обходного решения заключалась в том, чтобы просто использовать veth для соединения родительского моста с мостом vnet, вместо того чтобы создавать VLAN-субинтерфейс вроде vmbr1.1234 — именно это и вызывает проблему. Но с VLAN-ориентированными VNet это не работает, и такое «исправление» нарушит существующие настройки. Поэтому сейчас есть два варианта, чтобы избежать этой проблемы: не смешивать VLAN-ориентированные мосты с тегированием сетевых устройств и VLAN-зонами, или отключить mac-learning на соответствующем мосту (добавив bridge-disable-mac-learning 1 в конфигурацию моста в /etc/network/interfaces).

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры