Container und virtuelle Maschinen benötigen eine zuverlässige Netzwerkverbindung. Sie müssen untereinander kommunizieren, auf das Internet zugreifen oder Dienste im lokalen Netzwerk bereitstellen.

Incus übernimmt diese Aufgaben über ein eigenes Netzwerkmanagement. Bereits bei der Installation wird standardmäßig eine Bridge mit NAT eingerichtet. Für viele Szenarien reicht diese Konfiguration aus. Wer jedoch produktive Server oder komplexe Infrastrukturen betreibt, profitiert von den weiteren Netzwerktypen.

In diesem Beitrag stellen wir die wichtigsten Netzwerkkonzepte von Incus vor und zeigen ihre Einsatzmöglichkeiten.

Das Standardnetzwerk von Incus

Nach einer Standardinstallation erstellt Incus automatisch eine Netzwerk-Bridge.

Meist trägt sie den Namen:

incusbr0

Diese Bridge verbindet alle Container miteinander und stellt über NAT den Zugang zum Internet bereit.

Die Standardkonfiguration bietet bereits:

• IPv4-Unterstützung
• optional IPv6
• DHCP-Server
• DNS-Server
• NAT
• automatische Adressvergabe

Für viele Homelabs und kleinere Server ist keine weitere Konfiguration erforderlich.

Vorhandene Netzwerke anzeigen

Alle Netzwerke lassen sich mit folgendem Befehl anzeigen:

incus network list

Details eines Netzwerks:

incus network show incusbr0

Bridge-Netzwerke

Die Bridge ist der am häufigsten verwendete Netzwerktyp.

Sie funktioniert ähnlich wie ein virtueller Switch.

Alle angeschlossenen Container befinden sich im selben Netzwerksegment und können direkt miteinander kommunizieren.

Vorteile:

• einfache Einrichtung
• automatische Verwaltung
• DHCP integriert
• DNS integriert
• ideal für Homelabs
• funktioniert mit Containern und virtuellen Maschinen

Typische Einsatzgebiete:

• Webserver
• Datenbanken
• Entwicklungsumgebungen
• Testsysteme
• private Cloud

Neue Bridge erstellen:

incus network create meine-bridge

NAT

Standardmäßig nutzt Incus NAT (Network Address Translation).

Dabei erhalten Container private IP-Adressen.

Beispielsweise:

10.222.45.10

Der Host übersetzt diese Adressen beim Zugriff auf das Internet.

Vorteile:

• einfache Einrichtung
• keine Änderungen am Heimrouter
• hohe Sicherheit
• Container sind von außen zunächst nicht erreichbar

Für viele Server ist NAT vollkommen ausreichend.

Portweiterleitungen

Sollen Dienste von außen erreichbar sein, kann eine Portweiterleitung eingerichtet werden.

Beispielsweise:

• HTTP (80)
• HTTPS (443)
• SSH (22)

Alternativ empfiehlt sich der Einsatz eines Reverse Proxys wie Apache oder Nginx.

Dies vereinfacht die Verwaltung mehrerer Container erheblich.

MacVLAN

MacVLAN verfolgt einen anderen Ansatz.

Jeder Container erhält eine eigene MAC-Adresse und erscheint wie ein eigenständiges Gerät im lokalen Netzwerk.

Vorteile:

• eigene IP-Adresse im LAN
• keine NAT-Konfiguration
• Container direkt erreichbar
• einfache Integration bestehender Netzwerke

Geeignet für:

• DNS-Server
• DHCP-Server
• Home Assistant
• NAS-Dienste
• Netzwerkappliances

Nachteil:

Der Host kann standardmäßig nicht direkt mit den Containern kommunizieren.

MacVLAN eignet sich daher nur für bestimmte Einsatzszenarien.

OVN – Software Defined Networking

OVN (Open Virtual Network) ist die leistungsfähigste Netzwerklösung in Incus.

Sie ermöglicht komplexe virtuelle Netzwerke über mehrere Server hinweg.

Funktionen:

• virtuelle Switches
• virtuelle Router
• Netzsegmentierung
• ACLs
• Hochverfügbarkeit
• Overlay-Netzwerke

OVN eignet sich insbesondere für:

• Cluster
• Cloud-Plattformen
• Unternehmensnetzwerke
• Multi-Tenant-Umgebungen

Für kleine Einzelserver ist OVN meist nicht erforderlich.

IPv4

IPv4 ist weiterhin das am häufigsten verwendete Netzwerkprotokoll.

Standardmäßig erhält jeder Container automatisch eine private IPv4-Adresse.

Beispiel:

10.220.88.15

Adresse prüfen:

ip addr

oder

ip a

IPv6

Incus unterstützt IPv6 vollständig.

Je nach Netzwerkkonfiguration erhalten Container automatisch eine IPv6-Adresse.

Vorteile:

• großer Adressraum
• keine NAT-Probleme
• moderne Internetprotokolle

Ob IPv6 genutzt werden sollte, hängt von der vorhandenen Infrastruktur ab.

In vielen Heimnetzwerken ist IPv4 derzeit noch ausreichend.

DHCP

Der integrierte DHCP-Server weist Containern automatisch IP-Adressen zu.

Dadurch entfällt die manuelle Netzwerkkonfiguration.

Die Adresse wird beim Start automatisch vergeben.

Prüfen:

incus network show incusbr0

Innerhalb des Containers:

ip a

DNS

Auch DNS übernimmt Incus automatisch.

Die DNS-Einstellungen können geprüft werden.

cat /etc/resolv.conf

Beispiel:

nameserver 10.220.88.1

Alternativ lassen sich eigene DNS-Server verwenden.

Zum Beispiel:

• Pi-hole
• AdGuard Home
• Unbound
• Bind9

Firewall

Ein weiterer Vorteil der Standardkonfiguration:

Container sind zunächst nur über NAT erreichbar.

Dadurch entsteht bereits eine gewisse Schutzwirkung.

Zusätzlich empfiehlt sich eine Firewall.

Auf dem Host:

• nftables
• iptables
• UFW

Innerhalb des Containers:

sudo apt install ufw

Danach können gezielt nur benötigte Ports freigegeben werden.

Beispielsweise:

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

SSH:

sudo ufw allow 22/tcp

Welcher Netzwerktyp eignet sich wofür?

Bridge

Empfohlen für:

• Homelab
• Entwicklungsserver
• Testsysteme
• Produktivserver

NAT

Empfohlen für:

• sichere Standardinstallation
• Internetzugriff
• Container ohne öffentliche IP-Adresse

MacVLAN

Empfohlen für:

• Netzwerkdienste
• Appliances
• Server mit eigener LAN-IP

OVN

Empfohlen für:

• Cluster
• Unternehmen
• Cloud-Infrastruktur
• große Rechenzentren

Netzwerk testen

IP-Adresse prüfen:

ip a

Internetverbindung:

ping -c 4 debian.org

Gateway prüfen:

ip route

DNS testen:

ping open-how2.de

Best Practices

Für den produktiven Betrieb haben sich folgende Empfehlungen bewährt:

• Für Einzelserver die Standard-Bridge mit NAT verwenden.
• Für Netzwerkdienste MacVLAN einsetzen.
• OVN nur in größeren Infrastrukturen nutzen.
• IPv6 aktivieren, wenn die Infrastruktur dies unterstützt.
• Firewall-Regeln sowohl auf dem Host als auch in den Containern konfigurieren.
• Reverse Proxys für öffentlich erreichbare Webdienste verwenden.
• Keine unnötigen Ports freigeben.
• Netzwerke klar dokumentieren und feste Namenskonventionen verwenden.

Incus bietet für nahezu jedes Einsatzszenario den passenden Netzwerktyp. Die Standard-Bridge mit NAT genügt für viele Homelabs und kleinere Server bereits vollkommen. Wer Netzwerkdienste direkt im LAN bereitstellen möchte, greift zu MacVLAN. Für Cluster und komplexe Unternehmensumgebungen steht mit OVN eine leistungsfähige Software-Defined-Networking-Lösung zur Verfügung.

Durch die integrierte Unterstützung für IPv4, IPv6, DHCP, DNS und Firewall-Funktionen lassen sich Container und virtuelle Maschinen sicher und flexibel in bestehende Netzwerke integrieren.

Im nächsten Teil der Serie beschäftigen wir uns mit den Images in Incus. Du lernst, wie Images heruntergeladen, verwaltet, exportiert und aktualisiert werden und wie du sogar eigene Images für wiederkehrende Installationen erstellen kannst.