1. SDN : pourquoi, et comment il s'organise

Au chapitre 3, le réseau se construisait pont par pont : un vmbr sur chaque nœud, écrit à la main dans /etc/network/interfaces. Cela suffit sur un serveur seul. Mais maintenant que les trois nœuds forment un cluster, une nouvelle contrainte apparaît.

Un réseau virtuel utile doit exister à l'identique sur les trois nœuds. Sinon, une VM qui migre perd sa connectivité en changeant d'hôte.

C'est exactement ce que résout le SDN (Software-Defined Networking) de Proxmox VE. On déclare zones, VNets et subnets une seule fois, au niveau du Datacenter ; pmxcfs réplique la configuration sur tous les nœuds, et chaque Apply la transcrit en interfaces réseau réelles. C'est la raison pour laquelle le SDN est traité ici, une fois le cluster monté : c'est à plusieurs nœuds qu'il prend tout son sens.

Ce chapitre présente le SDN : à quoi il sert, comment il s'organise. Il détaille les deux zones les plus utiles, Simple et VXLAN (Virtual Extensible LAN, réseau de niveau 2 transporté sur IP). VXLAN est normalisé par une RFC (Request for Comments, document de norme de l'Internet), la 7348.

1.1 Pourquoi le SDN existe dans Proxmox

Les ponts classiques suffisent pour un seul hyperviseur. Mais une VM du nœud 1 doit parfois parler à une VM du nœud 3 comme sur un même commutateur, sans VLAN configuré à la main sur chaque nœud.

Le SDN déclare ce réseau une seule fois, au niveau du Datacenter, et Proxmox le reproduit sur tous les nœuds. Même sur un seul nœud, il crée simplement des réseaux isolés.

Dans la pile réseau de Proxmox, le pont vmbr0 reste le socle. La segmentation VLAN (chapitre 3) et le pare-feu (section 4) s'y ajoutent selon le besoin, et le SDN les orchestre.

Le SDN est inclus dans Proxmox VE depuis la version 8 : rien à installer. Sa configuration est rangée dans /etc/pve/sdn/ (zones.cfg, vnets.cfg, subnets.cfg), répliquée sur tous les nœuds par pmxcfs. Ces fichiers se lisent, ils ne s'éditent pas : on passe par l'interface ou par pvesh, sinon le prochain Apply écrase la modification.

1.2 Les trois objets fondamentaux du SDN

Le SDN Proxmox s'organise en trois niveaux hiérarchiques, du plus général au plus précis :

Les trois niveaux sont imbriqués : la zone contient le VNet, le VNet contient le subnet. Les invités se branchent sur un VNet comme sur un pont classique.

Les noms (zonedemo, vnetdemo) font huit caractères au maximum, sans tiret. Les objets, du contenant au contenu :

Un VNet n'existe que dans une zone, un subnet que dans un VNet. D'où l'ordre zone, VNet, subnet à la création, et l'ordre inverse à la suppression. Tant que la configuration n'est pas appliquée, rien n'est créé sur les nœuds : c'est l'état pending.

Où voir le SDN sur votre cluster :

1.3 Types de zones SDN : panorama

Le type d'une zone dit comment ses réseaux virtuels sont séparés les uns des autres, et comment ils passent d'un nœud à l'autre. Quatre types sont présentés ici.

Trois notions servent à les lire :

• Niveau 2 (L2 : Layer 2) : le réseau Ethernet. Les machines s'y trouvent par leur adresse MAC, comme branchées sur un même commutateur. Niveau 3 (L3 : Layer 3) : le réseau IP, où des routeurs relient des réseaux différents.
• Étiquette VLAN (tag) : le numéro ajouté à chaque trame Ethernet pour dire à quel réseau virtuel elle appartient. C'est la norme 802.1Q, vue au chapitre 3 (§2.1) : de 1 à 4094.
• Encapsuler : emballer une trame dans un autre paquet pour la transporter, puis la déballer à l'arrivée.

Le type de zone selon le besoin. Un lab ou un réseau de développement isolé : Simple. La segmentation d'un réseau d'entreprise : VLAN.

Un réseau étendu entre des nœuds reliés en IP : VXLAN. Et quand il faut router entre plusieurs datacenters (DC : datacenter, centre de données), avec BGP (Border Gateway Protocol, protocole de routage entre réseaux) : EVPN, l'étape suivante après VXLAN.

La zone Simple est la seule qui ne demande ni pair ni réglage du réseau physique : c'est par elle que commence la pratique.

• 📖 RFC 7348 — la norme VXLAN, pour qui veut lire le format de l'encapsulation avant la partie VXLAN

1.4 En pratique : créer, appliquer, étendre

Tout se fait dans Datacenter → SDN. On crée d'abord la zone (Zones → Add, type Simple), puis un VNet dans cette zone (VNets → Create), puis éventuellement un subnet avec sa passerelle et la case SNAT.

Rien n'existe sur les nœuds tant qu'on n'a pas cliqué sur Apply : les objets restent à l'état pending. Une fois appliqué, le VNet apparaît sur chaque nœud comme un pont, et une VM s'y branche en choisissant ce VNet comme Bridge de sa carte réseau.

À faire sur votre cluster : une zone Simple, puis sa suppression.

Dans l'interface web, menu Datacenter → SDN :

1. Zones → Add → Simple : ID zonetp, IPAM pve, puis Add. L'IPAM (IP Address Management, gestion des adresses IP) pve est celle de Proxmox : elle tient la liste des adresses attribuées dans les subnets.
2. VNets → Create : Name vnettp, Zone zonetp. Le champ Tag est grisé : une zone Simple n'a ni VLAN ni VXLAN.
3. Sélectionnez vnettp, puis Subnets → Create : Subnet 10.10.200.0/24, Gateway 10.10.200.1, case SNAT cochée.
4. Datacenter → SDN → Apply. Le tableau Status montre zonetp sur chacun des trois nœuds.

Dans le Shell du nœud 1 (interface web → votre nœud 1 → Shell) :

ip -br link show vnettp   # le pont du VNet, créé sur le nœud par l'Apply

Résultat attendu : vnettp UNKNOWN …. Le pont existe ; il est UNKNOWN tant qu'aucun invité n'y est branché. Avant l'Apply, la même commande répond Device "vnettp" does not exist.

On supprime ensuite dans l'ordre inverse de la création, car un subnet vit dans un VNet et un VNet dans une zone :

1. sélectionnez vnettp → panneau Subnets → le subnet → Remove ;
2. VNets → vnettp → Remove ;
3. Zones → zonetp → Remove ;
4. Datacenter → SDN → Apply.

Dans le Shell du nœud 1 :

ip -br link show vnettp   # le pont a-t-il disparu ?

Résultat attendu : Device "vnettp" does not exist. Le pont a disparu des nœuds.

Une zone VXLAN se crée de la même façon, avec la liste des adresses des nœuds (Peers). Un même réseau de niveau 2 est alors tendu entre les trois nœuds, et une VM qui migre garde sa connectivité. Les noms des zones et des VNets font huit caractères au plus, sans tiret.

• 📖 Documentation Proxmox — Software-Defined Network

À retenir : le SDN déclare les réseaux une seule fois, au niveau du Datacenter, et Proxmox les déploie sur tous les nœuds. Trois objets imbriqués : la zone (la technologie de transport), le VNet (le réseau des invités), le subnet (sa plage d'adresses) ; rien n'est créé avant l'Apply. Simple pour un réseau isolé par nœud, VXLAN pour un réseau tendu entre les nœuds.