Связь между виртуалками.

Много описывать. Для начала установить эти 3 ОС и приступить к настройке 1-ой (как шлюза). Можно объединить с помощью VPN или средствами Linux подсеть настроить.

Хостовая ОСь уже настроена. к ней привязан vmbr0 и имеется виртуалка которая должна стать шлюзом (vm1). И есть vm2, vm3 осталось сделать подсеть, ну и на vm1 настроить masquerade... Что ты имеешь ввиду под «средствами Linux подсеть настроить»?

DHCP, IPtables. Настраиваешь dhcp на vm1, создаешь правила в iptables, а так же поставь форвардинг пакетов.

но тогда у меня host, vm1, vm2 и vm3 будут по факту висеть на vmbr0, т.е. ты мне предлагаешь организовать vlan внутри vmbr0? а я думал, что там можно как-то добавить отдельный интерфейс, ну отдельный, типа как свитч только между vm1, vm2, vm3

Ну так свитч то полюбому нужен, как ты достучишься до виртуалки без шлюза между реалом и виртуалом?

Правильно думал.

Мост, к которому подключаются сетевые vm2, vm3, и вторая сетевая vm1.

Ну дык это ж да, но только по vmbr0 host тоже сможет передавать пакеты напрямую в подсеть vm1, vm2, vm3...

iptables не пойдет? man iptables Давай составим правило. Придумай схему какие пакеты и в каком направлении должны ходить.

Мостом? Эстеты могут потыкать Openvswitch

Спасибо! :)

iptables сам настроить умею :) Но iptables не так безопасно, как разделение на уровне подсетей, я думаю. Если iptables можно какие-то правила недопродумать и тем самым создать дыру, то в подсетях если и будет дыра, то только от разработчиков Proxmox или Debian.

Интересная штуковина... надо ковырять )

мост тут как раз и выступает как виртуальный свич. безопасность виртуализации обычно заключается в такой парадигме когда хост максимально безопасен, так как не делает ничего кроме как гонять ВМ, и защищать надо ВМ от друг друга или хост от них. Пробравшись на хост, можно как минимум поубивать ВМ, так что о возможности хоста видеть их траффик беспокоиться ни к чему - он это все равно может.

если очень не хочется видеть хост в одной сети с ВМ, достаточно не давать айпи мосту.

О! Спасибо за коммент! Попробую протестить такой вариант. )