Proxmox: VLAN 1 funktioniert nicht

23.08.2026 · 4 Min. Lesezeit

Ein unscheinbarer Konfigurationsfehler mit großer Wirkung

Bei der Einrichtung einer virtuellen Maschine unter Proxmox kann die Fehlersuche bei VLAN-Problemen schnell in die falsche Richtung gehen. Besonders irritierend wird es, wenn die VM eine korrekte IP-Adresse besitzt, aber trotzdem keinerlei Kommunikation mit dem Gateway möglich ist - wenn nicht einmal eine ARP-Auflösung funktioniert.

Genau dieses Verhalten kann auftreten, wenn VLAN 1 auf der Proxmox-Bridge nicht als erlaubtes VLAN konfiguriert ist - was im default der Fall ist.

Das Szenario

In meinem Fall war der Aufbau grundsätzlich korrekt:

• Der Proxmox Server ist über einen Juniper EX Switch an das LAn angebunden.
• Der Switchport ist als Trunk konfiguriert und transportiert alle relevanten VLANs, auch VLAN 1.
• Für die betroffene VM wurde in Proxmox eine zusätzliche virtuelle Netzwerkkarte angelegt.
• Diese Netzwerkkarte wurde mit VLAN ID = 1 konfiguriert.

Die VM selbst hat eine IP-Adresse aus dem korrekten IP Netz.

Trotzdem war das Ergebnis ernüchternd: Das Gateway war nicht erreichbar und selbst eine MAC-Adresse konnte per ARP nicht aufgelöst werden.

Damit war schnell klar, dass das Problem vermutlich nicht bei Routing oder Firewalling lag, sondern bereits auf Layer 2.

Die Ursache: bridge-vids 2-4096

Die entscheidende Stelle fand sich schließlich in der Netzwerkkonfiguration des Proxmox-Hosts.

Die verwendete VLAN-aware Bridge enthielt:

bridge-vlan-aware yes
bridge-vids 2-4096

Auf den ersten Blick sieht 2-4096 nach einer großzügigen VLAN-Freigabe aus. Tatsächlich ist VLAN 1 darin aber nicht enthalten.

Die Bridge erlaubt damit VLANs ab ID 2, während VLAN 1 verworfen wird.

Das erklärt auch, warum die VM selbst zunächst völlig normal aussieht: Die virtuelle Netzwerkkarte existiert, die IP-Adresse lässt sich konfigurieren und die VM kann Frames erzeugen. Die Frames mit VLAN 1 gelangen aber nicht über die Proxmox-Bridge bis zur physischen Netzwerkkarte.

Die notwendige Änderung

Die Einschränkung muss entfernt oder so angepasst werden, dass VLAN 1 ebenfalls erlaubt ist.

Eine Möglichkeit ist beispielsweise:

bridge-vlan-aware yes
bridge-vids 1-4096

Wenn keine Einschränkung der erlaubten VLANs erforderlich ist, kann die bridge-vids-Zeile auch vollständig entfallen.

Wenn dagegen nur bestimmte VLANs erlaubt werden sollen, sollte VLAN 1 explizit aufgenommen werden, beispielsweise:

bridge-vlan-aware yes
bridge-vids 1 10 20 30 40

Welche Variante sinnvoll ist, ist am Ende Geschmackssache. Ich persönlich empfinde es richtiger nur die VLANs auf Trunks zu transportieren, die nötig sind.

Konfiguration anschließend neu laden

Nach der Änderung muss die Netzwerkkonfiguration auf dem Proxmox-Host neu eingelesen werden.

Dafür kann beispielsweise verwendet werden:

ifreload -a

Anschließend lässt sich mit

bridge vlan show

kontrollieren, welche VLANs auf der Bridge und den zugehörigen Interfaces tatsächlich zugelassen sind.

Gerade bei einem entfernten Proxmox-Host sollte man bei Änderungen an der Netzwerk-Konfiguration vorsichtig sein. Ein unbedachtes Neustarten des kompletten Netzwerk-Stacks kann im ungünstigsten Fall die Verbindung zum Host unterbrechen. (Ich spreche natürlich nicht aus Erfahrung…)

Der Juniper-Switch war nicht das Problem

Der verwendete Juniper EX Switch war in diesem Fall korrekt konfiguriert. Der Trunk transportierte VLAN 1 ebenso wie die anderen VLANs.

Das ist ein wichtiger Punkt bei der Fehlersuche: Nur weil VLAN 1 auf dem Switch als Bestandteil des Trunks konfiguriert ist, bedeutet das nicht automatisch, dass es auf dem gesamten Weg bis zur VM erlaubt ist.

Der Datenpfad sieht vereinfacht so aus:

VM
 │
 │ VLAN 1
 ▼
Proxmox VM NIC
 │
 ▼
VLAN-aware vmbr
 │
 │ VLAN 1
 ▼
physische NIC
 │
 ▼
Juniper EX

Wenn die Proxmox-Bridge VLAN 1 mit bridge-vids 2-4096 ausschließt, endet der Datenpfad bereits innerhalb des Proxmox-Hosts.

Warum ARP ein guter Hinweis ist

Bei solchen Problemen lohnt es sich, zunächst bewusst auf Layer 2 zu testen.

Ein einfacher Test ist:

arping -I <interface> <gateway-ip>

Wenn dabei keine Antwort kommt, obwohl Gateway und IP-Konfiguration stimmen, sollte man zunächst VLAN, Bridge, Switchport und MAC-Learning untersuchen, bevor man sich mit Routing oder Firewall-Regeln beschäftigt.

Auch ein Mitschnitt mit tcpdump kann helfen:

tcpdump -eni <interface> arp

Damit lässt sich feststellen, ob die ARP-Anfragen die jeweilige Schnittstelle überhaupt erreichen.

Fazit

Der Fehler war letztlich eine einzige, unscheinbare Zeile:

bridge-vids 2-4096

Sie sah nach einer großzügigen VLAN-Freigabe aus, schloss aber ausgerechnet VLAN 1 aus.

Die Lösung bestand darin, VLAN 1 wieder für die VLAN-aware Proxmox-Bridge freizugeben beziehungsweise die bridge-vids-Einschränkung zu entfernen.

Merksatz für die Fehlersuche: Wenn eine VM mit VLAN-Tag zwar eine IP-Adresse besitzt, aber bereits ARP zum Gateway nicht funktioniert, lohnt sich ein Blick auf die VLAN-Filter der Proxmox-Bridge. Insbesondere bridge-vids sollte dabei nicht übersehen werden.