En esta guía aprenderás a conectar Proxmox VE a una red VLAN de forma segura, entendiendo qué debes configurar en Proxmox, qué depende del switch gestionable y qué debe permitir el firewall. El objetivo es segmentar la red sin perder el acceso al panel de administración ni dejar servicios expuestos por accidente.
Importante: la configuración de VLAN depende de tu router/firewall, del switch y de cómo estén conectados. Antes de tocar una interfaz de red de Proxmox, asegúrate de tener acceso físico al equipo o una vía de recuperación. Un error en la VLAN de gestión puede dejarte sin acceso al panel web.
1. Qué es una VLAN y para qué sirve
Una VLAN (Virtual LAN) permite dividir una red física en varias redes lógicas. Así puedes separar equipos aunque estén conectados al mismo switch, aplicando reglas distintas entre grupos.
| Ejemplo de VLAN | Uso | Ejemplos de dispositivos |
|---|---|---|
| VLAN 10 — LAN | Red principal | PC, portátiles y móviles de confianza |
| VLAN 20 — Cámaras | Videovigilancia | Cámaras IP y grabador |
| VLAN 30 — IoT | Domótica y dispositivos conectados | Enchufes, sensores y asistentes |
| VLAN 40 — Invitados | Acceso temporal a Internet | Móviles de visitas |
| VLAN 99 — Gestión | Administración de infraestructura | Interfaces de gestión de switches y servidores |
Estos números son un ejemplo de diseño, no una configuración universal. Puedes utilizar otros identificadores, siempre que coincidan en todos los equipos que participan en esa red.
2. Cómo viaja el tráfico VLAN
En una red con VLAN encontrarás principalmente dos tipos de puertos:
- Access: transporta normalmente una sola VLAN sin etiqueta hacia el dispositivo final. Se usa habitualmente para un PC o una cámara que no gestiona VLAN.
- Trunk: puede transportar varias VLAN identificadas mediante etiquetas 802.1Q. Se usa entre equipos de red o hacia un hipervisor que debe recibir tráfico de varias VLAN.
Para que una VLAN funcione de extremo a extremo, el identificador debe estar permitido en todos los enlaces necesarios: switch, interfaz física del servidor, bridge de Proxmox, máquina virtual y router/firewall. Crear una VLAN en un único sitio no basta.
3. Antes de cambiar nada: identifica tu red actual
Entra en la interfaz web de Proxmox y selecciona el nodo. En System → Network revisa las interfaces, bridges y direcciones existentes. En muchas instalaciones encontrarás un bridge llamado vmbr0, conectado a la interfaz física y utilizado para la administración y las máquinas virtuales.
Apunta antes de modificar:
- La dirección IP y la máscara de Proxmox.
- La puerta de enlace predeterminada.
- El nombre del bridge de gestión, por ejemplo
vmbr0. - La interfaz física conectada al switch.
- El puerto del switch al que está conectado el servidor y las VLAN permitidas en él.
- Qué VLAN debe utilizar el propio host y cuáles se asignarán a las máquinas virtuales.
No cambies la IP, la puerta de enlace ni la VLAN de gestión a la vez. Si algo falla, modificar una sola variable facilita recuperar el acceso.
4. Prepara el switch gestionable y el firewall
Antes de configurar Proxmox, crea las VLAN en el router/firewall y en el switch, si esos equipos son los encargados de gestionarlas. Configura el puerto del switch conectado al servidor como trunk/tagged para las VLAN que deban llegar al hipervisor. Conserva la VLAN nativa o sin etiquetar que utiliza la instalación actual hasta confirmar cómo está configurada.
En el firewall, define las redes IP de cada VLAN y sus reglas de acceso. Por ejemplo, una VLAN de cámaras normalmente no debería iniciar conexiones hacia la LAN de usuarios ni hacia la red de gestión. Permite únicamente los servicios necesarios y el acceso administrativo desde los equipos de confianza.
Los nombres de los menús cambian según el fabricante. Si tu switch ofrece opciones como Tagged, Untagged, Native VLAN o PVID, verifica en la documentación del fabricante cómo se relacionan. No asignes una VLAN como untagged en un extremo y esperes recibirla etiquetada en el otro sin una configuración compatible.
5. Opción sencilla: asignar una VLAN a una máquina virtual
Si tu objetivo es que una máquina virtual esté en una VLAN concreta, normalmente puedes mantener el host Proxmox y su bridge como están, y asignar el tag VLAN desde la configuración de la tarjeta de red virtual. Es la opción más sencilla para empezar, porque evita cambiar la interfaz de administración del propio hipervisor.
- En la interfaz de Proxmox, selecciona la máquina virtual.
- Abre Hardware y selecciona su dispositivo Network Device.
- Pulsa Edit.
- Comprueba que el bridge es el correcto, normalmente
vmbr0si ese bridge llega al trunk del switch. - En el campo VLAN Tag, introduce el identificador de la VLAN, por ejemplo
30. - Guarda y reinicia la máquina virtual si el sistema operativo no renueva automáticamente su configuración de red.
El campo VLAN Tag hace que Proxmox etiquete el tráfico de esa interfaz virtual para la VLAN indicada. El switch debe permitir esa VLAN en el puerto del servidor. Si el sistema invitado también etiqueta paquetes, estarías creando una configuración distinta y más avanzada; no actives ambas opciones sin tener claro dónde se aplica la etiqueta.
6. ¿Y si necesito que el host Proxmox use una VLAN etiquetada?
Este caso requiere más cuidado porque afecta a la IP de administración del propio nodo. Proxmox admite bridges VLAN-aware y también configuraciones con una interfaz VLAN dedicada, pero la opción adecuada depende de tu diseño actual y de la versión instalada.
En términos generales, un bridge VLAN-aware puede transportar varias VLAN y permite asignar tags a las tarjetas virtuales. Si la gestión del host debe circular etiquetada por una VLAN concreta, la interfaz que contiene la IP de gestión debe configurarse de acuerdo con ese diseño, y el puerto del switch debe coincidir. No basta con marcar VLAN-aware si la dirección IP del host sigue configurada en una interfaz que no corresponde a la VLAN esperada.
Antes de aplicar cambios, guarda una copia de la configuración de red y confirma que conoces la dirección IP, la puerta de enlace y el puerto físico implicado. Aplica los cambios desde la consola local si es posible, o utiliza una ventana de mantenimiento con acceso alternativo. Evita copiar configuraciones de Internet sin adaptarlas a los nombres de interfaces y al esquema real de tu equipo.
7. Comprueba la conectividad después del cambio
Desde la consola de Proxmox, puedes consultar la configuración actual con estos comandos de solo lectura:
ip -br address
ip route
cat /etc/network/interfacesComprueba que la interfaz de gestión conserva la IP prevista y que existe una ruta por defecto válida. Después prueba la conectividad hacia la puerta de enlace y vuelve a abrir la interfaz web de Proxmox desde un equipo autorizado.
En una máquina virtual conectada a la VLAN, verifica que recibe una dirección IP de la subred correcta, que tiene la puerta de enlace esperada y que puede alcanzar únicamente los servicios que las reglas del firewall permiten. Si utiliza DHCP, comprueba también que el servidor DHCP está disponible en esa VLAN.
8. Problemas habituales y cómo diagnosticarlos
| Síntoma | Causa posible | Qué revisar |
|---|---|---|
| La VM no obtiene IP | La VLAN no llega al servidor o no hay DHCP | Tag de la VM, VLAN permitida en el trunk, DHCP y subred |
| La VM tiene IP, pero no llega a Internet | Falta ruta, NAT o regla de firewall | Puerta de enlace, reglas entre VLAN y salida a Internet |
| Se pierde el panel de Proxmox | Se ha cambiado la VLAN o bridge de gestión incorrectamente | Consola local, IP, bridge, gateway y configuración del puerto del switch |
| Una VLAN funciona y otra no | La segunda VLAN no está permitida en algún enlace | Configuración tagged/untagged y lista de VLAN permitidas |
| Los equipos de distintas VLAN se comunican libremente | Las reglas de inter-VLAN son demasiado permisivas | Políticas del firewall y reglas de acceso entre subredes |
9. Buenas prácticas de seguridad
- Mantén la administración de Proxmox en una red de confianza y limita qué equipos pueden acceder al puerto de gestión.
- No expongas directamente el panel de Proxmox a Internet.
- Aplica el principio de mínimo privilegio entre VLAN: bloquea por defecto el tráfico innecesario y permite solo lo requerido.
- Documenta el identificador, subred, gateway, DHCP y propósito de cada VLAN.
- Guarda una copia de la configuración antes de cambiar la red y realiza los cambios de gestión con una vía de recuperación.
- Prueba primero con una VM de laboratorio antes de mover servicios importantes o dispositivos de producción.
10. Lista de comprobación final
- La VLAN está creada en el equipo de capa 3 y en el switch.
- El puerto conectado a Proxmox permite las VLAN necesarias.
- El bridge de Proxmox está conectado a la interfaz física correcta.
- La tarjeta virtual tiene asignado el VLAN Tag adecuado.
- La VM recibe una IP de la subred correcta y tiene la puerta de enlace correcta.
- Las reglas del firewall limitan el tráfico entre redes.
- El panel de administración de Proxmox sigue accesible desde la red autorizada.
Con esto ya tienes la base para segmentar máquinas virtuales con VLAN sin empezar por cambios arriesgados en la red de gestión. En el siguiente tutorial veremos cómo crear copias de seguridad de las máquinas virtuales en Proxmox y cómo restaurarlas cuando sea necesario.