あの設定、毎回何となく選んでいませんか？

Proxmoxで新しいVMを作成するとき、ネットワークの設定画面でこんな項目が出てきます。

Bridge: vmbr0

特に変える理由も思い浮かばないので、そのままNextを押す。
ほとんどの人がそうしています。筆者もそうしていました。
でも、この「そのまま」が積み重なると、気づかないうちに危険な構成が出来上がっています。

vmbr0って何をしているのか

vmbr0はProxmoxがインストール時に自動で作成するLinux Bridgeです。

物理的なスイッチに例えると分かりやすいです。スイッチにケーブルを挿すと同じネットワークに繋がるように、vmbr0に接続したVMは全て同じネットワークに繋がります。

vmbr0（スイッチのイメージ）
├── VM-A（Webサーバー）
├── VM-B（データベース）
├── VM-C（開発環境）
└── Proxmoxホスト自身の管理画面（8006番ポート）

ここで少し考えてみてください。

全部同じスイッチに繋がっているということは、全部が同じネットワークにいるということです。

普段使いでは何も問題ありません。VMからVMへのアクセスも、ホストの管理画面へのアクセスも、普通に動きます。

問題が起きるのは、この中の1台をインターネットに公開したときです。

例えばVM-A（Webサーバー）を外部に公開したとします。そのWebアプリに脆弱性があり、何者かにそのVMの中に入られてしまったとします。

入られた後、攻撃者は同じネットワーク上にいる他のホストを探し始めます。例えばLinuxではip nコマンドで簡単に表示できます。

VM-Aの中から見えるもの：
├── VM-B（データベース）→ 見える
├── VM-C（開発環境）  → 見える
└── Proxmox管理画面  → 見える ← ここが特にまずい

Webサーバーを1台公開しただけのつもりが、Proxmox自体の管理画面まで同じネットワークに晒されているわけです。

Proxmoxの管理画面を乗っ取られると、その上で動いている全てのVMを操作できます。つまり影響範囲は「そのWebサーバー1台」では済まなくなります。

それこそランサムウェアで攻撃されたら、全VM人質対象となることでしょう。このような場合、被害範囲の局所化は非常に重要になります。

上記例ではProxmoxホスト上のVMだけ記載していますが、実際にはvmbr0と同じネットワークに居る全ての他の機器も丸見えとなります。

「VLANで分ければいいのでは」という話になりがちですが、スイッチの設定とかトランクポートとか、急に難しい話になります。「そんな難しいのは嫌だ、もっと簡単に分けられないの？」という人、安心してください。あります。

商用Webサイトでは当然必要です。ただ、開発環境で毎回そこまで実施するのは現実的ではありません。

実はProxmox 8.x以降には、この問題を解決する機能が標準搭載されています。**SDN（Software Defined Network）**です。

SDNのVXLAN Zoneを使うと、vmbr0の隣に独立したL2セグメント（VNet）を追加できます。
シングルノード運用の場合はSimple Zoneでも、別のLinux Bridgeでも構いません。

vnetpub（公開VM専用）
└── VM-A（Webサーバー・外部公開）

vnetdev（開発・内部用）
├── VM-B（データベース）
└── VM-C（開発環境）

vmbr0（管理用）
└── Proxmoxホスト管理画面

これでVM-Aが侵害されても、適切にVNet間通信を遮断しておけば、vnetpubの外へ横展開しにくくなります。データベースも、開発環境も、Proxmoxの管理画面も、別のネットワークにいるので探索できません。

大丈夫です。VNetは既存のvmbr0構成の横に追加していく形で作れます。既存VMを止めずに、新しく作るVMから順番にVNetに移していけばOKです。今からでも遅くはありません。
既存VMも、Bridge設定をVNetに変更したうえで一度停止→起動すれば移行できます。

vmbr0のままでも動きます。でも「動く」と「安全に動かせる」は別の話です。

次にVMを作るとき、Bridge欄をもう一度見てみてください。

ここまでの説明では簡単に見えますが、実際に安全な分離環境を作るには、VNetの設計、VXLAN GWの設計、IPアドレス設計、Firewallルール、管理プレーンへの到達制御、VPN経路、戻り経路などを慎重に確認する必要があります。

特に複数プロジェクト・複数メンバー・クラスタ構成では、「本当に意図した範囲だけ通信できるか」の検証も含めて、かなり神経を使う作業になります。

VNet・ファイアウォールルール・プロジェクト専用VPNをまとめて自動構築するツールとして MSL Setup を公開しています。