Proxmox服务器保留公网桥接网络并新增带NAT的内部私有网络配置咨询

嗨，我完全懂你的困扰——你要的不是VLAN，而是在Proxmox主机上新增一个纯内部网桥+NAT转发的组合，既能保留原有VM的公网桥接配置，又能让新的内部VM通过主机访问外网。下面给你一步步的实操方案：

核心思路 #

我们要新增一个不绑定物理网卡的内部网桥（比如vmbr1），把它作为内部VM的网关，然后通过iptables的地址伪装（MASQUERADE）规则，让内部私有网段的流量通过公网网桥（vmbr0）转发到外网，同时开启主机的IP转发功能。

步骤1：修改Proxmox网络配置文件 #

编辑/etc/network/interfaces，在原有配置基础上新增内部网桥的配置，注意不要改动原有的vmbr0和物理网卡配置：

auto lo
iface lo inet loopback

iface eno1 inet manual

# 原有公网网桥配置，完全保留不动
auto vmbr0
iface vmbr0 inet static
    address 200.0.0.32/24
    gateway 200.0.0.1
    bridge-ports eno1
    bridge-stp off
    bridge-fd 0

# 新增的内部NAT网桥配置
auto vmbr1
iface vmbr1 inet static
    address 10.0.95.1/24  # 这个是内部VM的默认网关地址
    bridge-ports none     # 不绑定物理网卡，纯内部虚拟网桥
    bridge-stp off
    bridge-fd 0

    # 开启IPv4转发，让主机能转发内部流量到外网
    post-up echo 1 > /proc/sys/net/ipv4/ip_forward
    # 配置NAT地址伪装，把内部网段的流量伪装成主机公网IP
    post-up iptables -t nat -A POSTROUTING -s '10.0.95.0/24' -o vmbr0 -j MASQUERADE
    # 停止网桥时删除对应的NAT规则
    post-down iptables -t nat -D POSTROUTING -s '10.0.95.0/24' -o vmbr0 -j MASQUERADE

步骤2：应用配置并验证 #

1. 重新加载网络配置，不用重启主机：

   ifreload -a
   

2. 检查内部网桥是否正常启动：

   ip addr show vmbr1
   

   你应该能看到10.0.95.1/24的地址已绑定到vmbr1。
3. 确认IP转发已开启：

   cat /proc/sys/net/ipv4/ip_forward
   

   返回1即为正常开启。

步骤3：配置内部VM的网络 #

给新创建的VM（或需要迁移到内部网络的VM）设置网络接口为vmbr1，然后在VM内部配置网络：

• 静态IP：比如10.0.95.10/24（网段内任意未被占用的IP）
• 默认网关：10.0.95.1
• DNS服务器：可以用公共DNS（如8.8.8.8）或者主机的公网IP/内部IP

如果内部VM较多，也可以在Proxmox上安装dnsmasq来搭建DHCP服务器，自动给VM分配IP地址。

补充说明 #

• 为什么不用VLAN？VLAN是二层隔离技术，用来划分同一物理网络的广播域，但你需要的是三层NAT转发，让私有网段的流量通过主机访问外网，所以纯内部网桥+iptables NAT的方案更贴合你的需求。
• 持久化NAT规则：上面的配置会在每次启动vmbr1时添加NAT规则，但重启主机后会丢失。如果想持久保存规则，可以安装iptables-persistent：

  apt update && apt install -y iptables-persistent
  

  安装过程中会提示保存现有规则，确认即可，之后重启主机规则会自动加载。

备注：内容来源于stack exchange，提问作者Otto Winter