Proxmox installieren: sicher zum ersten Gast

Proxmox VE installieren Sie am sichersten nach einem vollständigen Backup und einem schriftlichen Netz- und Speicherplan. Prüfen Sie Virtualisierung, Installationsabbild und Zielplatte, vergeben Sie feste Managementdaten, wählen Sie Repository und Updates bewusst und erstellen Sie die erste VM erst nach Backup- und Wiederherstellungstest.

Der Installer ist nicht der schwierige Teil. Die riskanten Entscheidungen fallen davor: Welche Platte darf gelöscht werden, über welche Adresse bleibt der Host erreichbar, wo liegen Gastdaten und Sicherungen, und wie kommen Sie bei einem Netzfehler wieder an die Konsole?

Warnung: Die Bare-Metal-Installation löscht vorhandene Daten auf den ausgewählten Zielplatten. Trennen Sie nicht benötigte Datenträger, sichern Sie relevante Daten extern und prüfen Sie Modell, Seriennummer und Größe direkt am Server. Eine Vermutung ist hier kein Prüfverfahren.

Entscheiden Sie zwischen ISO und Debian

Das offizielle Proxmox-VE-ISO enthält ein vollständiges Debian-System, den Proxmox-Kernel sowie die benötigten Pakete. Der Hersteller empfiehlt diesen Weg für neue und bestehende Nutzer. Der Installer führt durch Datenträger, Zeitzone, Sprache und grundlegende Netzkonfiguration.

Die Installation auf einem bestehenden Debian-System ist möglich, richtet sich laut Dokumentation aber an fortgeschrittene Administratoren. Sie verlangt eine passende Debian-Basis, saubere Paketquellen, korrekte Namensauflösung und Kenntnis der Wechselwirkungen mit vorhandenen Diensten.

Wählen Sie Debian nicht, um eine Warnung oder Lizenzprüfung zu umgehen. Wählen Sie es nur, wenn die vorhandene Umgebung einen belegbaren technischen Grund liefert und ein Rückweg existiert.

Prüfen Sie Hardware und Firmware

Proxmox VE benötigt eine 64-Bit-Plattform. Für vollständige KVM-Virtualisierung müssen Intel VT-x oder AMD-V von Prozessor, Hauptplatine und Firmware unterstützt und aktiviert sein. Prüfen Sie den tatsächlichen Zustand, statt nur das Datenblatt des Prozessors zu lesen.

Arbeitsspeicher muss Host, Dateisystem und alle gleichzeitig laufenden Gäste tragen. Speicherbedarf entsteht außerdem durch Cache, Verwaltungsdienste und gewählte Storage-Funktionen. Eine universelle RAM-Formel wäre unseriös; messen Sie die geplante Gastlast und halten Sie Reserve für Wartung und Ausfälle.

IOMMU ist kein Pflichtschalter für jede Installation. Intel VT-d oder AMD-Vi wird relevant, wenn PCIe-Geräte an Gäste durchgereicht werden sollen. Firmware-Namen, Kernelparameter und IOMMU-Gruppen hängen von Plattform und Gerät ab. Planen Sie Passthrough erst nach Prüfung der offiziellen Proxmox- und Hardwaredokumentation.

Prüfen Sie außerdem Netzwerkkarten, Bootmodus, Controllerunterstützung und einen unabhängigen Konsolenzugang. Fragen Sie nach dem Ausfallpfad: Wenn die Managementadresse nach dem Neustart nicht antwortet, brauchen Sie lokale Konsole, IPMI oder einen vergleichbaren Weg.

Verifizieren Sie das Installationsabbild

Laden Sie ISO, Prüfsumme und Signatur nur aus dem offiziellen Proxmox-Downloadbereich. Vergleichen Sie zunächst die SHA-256-Prüfsumme mit der dort veröffentlichten Angabe:

sha256sum /PATH/TO/proxmox-ve_VERSION.iso

Eine passende Prüfsumme erkennt Übertragungsfehler, bestätigt aber allein noch nicht den Herausgeber. Proxmox veröffentlicht zusätzlich eine abgetrennte OpenPGP-Signatur und den passenden Release-Schlüssel samt Fingerabdruck. Prüfen Sie zuerst den Fingerabdruck über den offiziellen Kanal und danach die Signatur:

gpgv --keyring /PATH/TO/proxmox-release-KEY.gpg \
  /PATH/TO/proxmox-ve_VERSION.iso.asc \
  /PATH/TO/proxmox-ve_VERSION.iso

Die Platzhalter stehen für die tatsächlich geladene Version und Dateien. Kopieren Sie keine aktuelle Prüfsumme aus einem alten Artikel; die offizielle Downloadseite ist für jede Version maßgeblich.

Schreiben Sie das geprüfte Abbild mit einem Werkzeug auf den Installationsdatenträger, das ISO-Hybrid-Abbilder unverändert überträgt. Prüfen Sie Zielgerät und Quelle zweimal. Ein versehentlich überschriebenes Arbeitslaufwerk ist kein Installationsproblem, sondern Datenverlust.

Schreiben Sie den Netzplan vor dem Neustart

Der Host braucht einen eindeutigen Namen, eine feste Managementadresse, Präfix, Gateway und funktionierende DNS-Auflösung. Der vollständige Hostname sollte vorwärts zur Managementadresse auflösbar sein; die Adresse darf nicht dynamisch an ein anderes Gerät vergeben werden.

Notieren Sie diese Werte außerhalb des Servers:

• Hostname und Domäne: konsistent mit DNS und Zertifikatsplanung.
• Management-IP: statisch, erreichbar und nicht im dynamischen Adresspool.
• Gateway: nur das tatsächlich zuständige Standardgateway.
• DNS-Server: aus dem Managementnetz erreichbar.
• Physische NIC: anhand Linkstatus und Switch-Port geprüft.
• VLAN: Tagging am Host, an der Bridge oder im Gast bewusst festgelegt.

Proxmox verbindet Gäste typischerweise über eine Linux Bridge wie vmbr0. Sie arbeitet wie ein virtueller Switch zwischen physischer Schnittstelle und Gast-NICs. Eine VLAN-fähige Bridge kann Gastverkehr anhand von Tags trennen, setzt aber eine passende Konfiguration am Switch voraus.

Ändern Sie Management-VLAN und Bridge nicht ohne Konsolenzugang. Ein Tippfehler kann den Host sofort abschneiden. Betrieb schlägt Prospekt; Erreichbarkeit wird von einem zweiten Gerät im vorgesehenen Netz geprüft.

Wählen Sie Storage nach dem Ausfallbild

Der Installer bietet je nach Hardware mehrere Layouts. LVM-thin ist für lokale Gastplatten unkompliziert. ZFS bringt Prüfsummen, Snapshots, Clones und Redundanzoptionen, verlangt aber eine bewusste Auswahl von Platten, Topologie, Arbeitsspeicher und Austauschverfahren.

Ein ZFS-Mirror ist kein Backup. Er kann den Ausfall eines Datenträgers abfangen, repliziert aber Löschen, Fehlkonfiguration und beschädigte Gastdaten. Sicherungen gehören auf ein getrenntes Ziel mit eigener Aufbewahrung und getesteter Wiederherstellung.

Vermeiden Sie pauschale ZFS-Empfehlungen. Prüfen Sie Controller, direkte Sicht auf Laufwerke, gleiche Fehlerdomäne, Ersatzstrategie und Überwachung. Ein einzelner großer Pool kann bequem sein und zugleich alle Gäste an denselben Ausfallpfad binden.

Trennen Sie nach Möglichkeit System, Gastdaten, ISO-Abbilder und Backups logisch. Dokumentieren Sie, welche Content-Typen jedes Storage aufnehmen darf. Freier Platz muss für Snapshots, Migration und Wiederherstellung reichen, nicht nur für den ersten Gast.

Betrieb schlägt Prospekt: Der erste Gast kommt erst, wenn Platte, Netz und Rückweg geklärt sind.

Sichern Sie den ersten Zugriff

Öffnen Sie die Verwaltungsoberfläche nur aus einem vertrauenswürdigen Managementnetz. Verwenden Sie ein langes, einmaliges Kennwort, richten Sie einen persönlichen Administrationsnutzer und Mehrfaktor-Authentifizierung ein und reduzieren Sie die tägliche Nutzung des direkten Root-Zugangs.

Prüfen Sie die Zertifikatswarnung nicht blind weg. Für den ersten Zugriff kann ein selbst signiertes Zertifikat erwartet werden; vergleichen Sie Zielname und Fingerabdruck über den direkten Konsolenzugang. Planen Sie anschließend ein gültiges Zertifikat und korrekte DNS-Namen.

Kontrollieren Sie Zeit, Zeitzone und Namensauflösung vor Cluster-, Zertifikats- oder Backup-Konfiguration. Abweichende Zeit verursacht schwer verständliche Fehler bei Authentifizierung und Protokollen.

Wählen Sie Repository und Updates bewusst

Das Enterprise-Repository ist für Abonnenten vorgesehen, enthält die am stärksten getesteten Pakete und wird für Produktion empfohlen. Ohne gültiges Abonnement konfigurieren Sie das öffentliche No-Subscription-Repository gemäß Dokumentation. Das ist ein vorgesehener Betriebsweg, kein Lizenztrick; Support und Testtiefe unterscheiden sich.

Aktivieren Sie nicht gleichzeitig widersprüchliche Proxmox-Quellen und verwenden Sie das Test-Repository nicht ungeprüft für Produktion. Die Verwaltungsoberfläche zeigt konfigurierte Quellen und typische Fehler an.

Nach einer frischen ISO-Installation empfiehlt Proxmox ein Update auf aktuelle Pakete. Lesen Sie Hinweise und prüfen Sie den Konsolenzugang, bevor Sie Kernel oder Netzwerkkomponenten aktualisieren:

apt update
apt dist-upgrade

Starten Sie danach kontrolliert neu, wenn das Update es verlangt. Prüfen Sie Hostversion, Dienste, Storage, Bridge und Erreichbarkeit, bevor Gäste produktiv werden.

Erstellen Sie einen kleinen Testgast

Beginnen Sie mit einer kleinen Test-VM oder einem Container, nicht mit der wichtigsten Arbeitslast. Eine VM virtualisiert eigene Hardware und einen eigenen Kernel; ein Container teilt den Hostkernel und ist daher leichter, aber nicht für jeden Isolation- oder Kernelbedarf passend.

Legen Sie CPU, RAM und Disk klein, aber realistisch an. Verbinden Sie die Gast-NIC mit der vorgesehenen Bridge und setzen Sie ein VLAN-Tag nur, wenn der Switchpfad geprüft ist. Installieren Sie ein vertrauenswürdiges Gastabbild und kontrollieren Sie DHCP oder statische Adresse, DNS, Gateway und ausgehenden Verkehr.

Testen Sie danach Stopp, Start, Neustart, Snapshot nur bei passendem Storage sowie ein reguläres Backup. Stellen Sie dieses Backup unter einer neuen Gast-ID wieder her und prüfen Sie Boot, Netzwerk und Anwendung. Erst diese Übung zeigt, ob Storage und Rückweg zusammenpassen.

Planen Sie Rollback und Wiederanlauf

Ein Host-Snapshot ersetzt keinen Wiederanlaufplan. Sichern Sie Gastdaten, Gastkonfigurationen und die relevanten Hosteinstellungen getrennt. Halten Sie Installationsabbild, Netzplan, Storage-Zuordnung und Zugang zum Backup-Ziel außerhalb des Hosts bereit.

Dokumentieren Sie, wie ein leerer Ersatzhost installiert, aktualisiert und mit dem Backup-Ziel verbunden wird. Messen Sie die Wiederherstellung eines Testgasts. Reaktionszeit zählt in Minuten; eine ungetestete Anleitung zählt gar nicht.

Die Installation ist abgeschlossen, wenn der Host aktualisiert und erreichbar ist, der Testgast das vorgesehene Netz nutzt und eine Wiederherstellung funktioniert. Alles davor ist nur ein erfolgreicher Installerlauf.