B2-21 Virtualiser avec Proxmox VE

1. Proxmox VE : un hyperviseur de type 1 complet

Dans la fiche B2-20, tu as utilisé VirtualBox, un hyperviseur de type 2 : une application qui tourne sur ton poste. Un serveur d'entreprise utilise un hyperviseur de type 1, installé directement sur la machine : toutes les ressources vont aux VM, et personne n'a besoin d'ouvrir une session Windows pour qu'elles tournent.

Proxmox VE (Virtual Environment) est l'un des plus répandus en PME et dans l'enseignement : libre, gratuit, et très complet. La version 9 repose sur Debian 13, le système que tu administres déjà. Un serveur Proxmox est donc un Debian auquel on ajoute plusieurs briques.

• KVMModule du noyau Linux qui utilise VT-x / AMD-V : il permet à une VM d'exécuter ses instructions presque à pleine vitesse.
• QEMUProgramme qui simule la machine autour du processeur : carte mère, disque, carte réseau, écran. Il lance un processus par VM, relié à KVM.
• LXCConteneurs système : ils partagent le noyau de l'hôte mais ont leurs propres processus, fichiers et réseau. Très légers.
• Interface web et APIService pveproxy sur le port 8006 (HTTPS). Tout ce que fait l'interface passe par une API, utilisable aussi en ligne de commande.
• StockageDossiers, LVM, ZFS, partages NFS ou SMB, serveur de sauvegarde : Proxmox sait tous les utiliser (partie 4).
• ClusterPlusieurs serveurs gérés ensemble par une seule interface, avec configuration partagée (partie 2).

2. Nœud, cluster et quorum

Un serveur Proxmox seul s'appelle un nœud (node), nommé par exemple pve1. Plusieurs nœuds reliés forment un cluster : une seule interface web pour tous, une configuration commune, et la possibilité de déplacer une VM d'un nœud à un autre. La vue globale s'appelle le Datacenter.

La configuration (VM, stockages, utilisateurs) est stockée dans /etc/pve, un dossier synchronisé entre tous les nœuds par corosync. Pour éviter que deux moitiés d'un cluster coupé en deux modifient chacune leur copie, Proxmox exige le quorum.

3. L'interface web sur le port 8006

Un nœud Proxmox s'administre depuis un navigateur, à l'adresse https://adresse-du-nœud:8006. Le navigateur affiche d'abord un avertissement de sécurité : le certificat du serveur est signé par lui-même et non par une autorité reconnue. Au labo, c'est normal ; en entreprise, on installe un certificat de l'entreprise (ou Let's Encrypt) pour que l'avertissement disparaisse.

3.1 Se connecter depuis le portail

Tu n'as pas à retenir les adresses : la page Mes serveurs et VM du portail rassemble tout ce qu'il te faut pour te connecter à ton pool. Chaque ligne de la carte « Mon pool Proxmox » correspond à un champ de l'écran de connexion.

• Mon poolLe nom de ton pool de ressources : l'ensemble des VM et conteneurs qui t'appartiennent. Tu ne vois que lui dans l'interface (partie 10).
• IdentifiantTon nom d'utilisateur Proxmox, à recopier dans le champ Nom d'utilisateur de l'écran de connexion.
• Royaume (realm)À choisir dans la liste de l'écran de connexion : PVE (Proxmox VE authentication server), la base de comptes de Proxmox. Le royaume Linux PAM désigne les comptes système du serveur, réservés à l'administrateur.
• Mot de passeAffiché sur la page, uniquement pour toi. Il ne se partage pas : toute action faite avec ton compte t'est attribuée.
• LangueFrançais : la liste de langue de l'écran de connexion doit l'afficher. Sinon, les noms de boutons de cette fiche ont leur équivalent anglais.
• J'accède à mon ProxmoxLe bouton ouvre l'écran de connexion dans un nouvel onglet. Pense à cocher Enregistrer le nom d'utilisateur.

3.2 Les cinq zones de l'écran

4. Les stockages

Proxmox range tout dans des stockages (storage). Chaque stockage a un type et accepte certains contenus : images ISO d'installation, disques de VM, volumes de conteneurs, modèles de conteneurs, sauvegardes. Quand tu crées une VM, l'assistant te demande dans quel stockage placer le disque, et dans quel autre aller chercher l'ISO.

Dans l'interface, la même information est dans l'arbre : clique sur un stockage puis sur l'onglet Résumé (espace utilisé) ou Contenu (ISO, disques, sauvegardes). Tu ne vois que les stockages sur lesquels ton compte a des droits (partie 10).

5. Le réseau : pont vmbr0 et VLAN

Dans Proxmox, les cartes réseau des VM se branchent sur un pont Linux (Linux bridge) : un commutateur virtuel logiciel. Le pont installé par défaut s'appelle vmbr0. La carte physique du serveur (eno1, par exemple) est l'un de ses ports et relie le pont au vrai commutateur de la salle serveur.

Si le pont est sensible aux VLAN (VLAN aware), il comprend les étiquettes 802.1Q : chaque carte de VM reçoit un numéro de VLAN, et le lien vers le commutateur est un trunk. Une seule carte physique suffit alors à servir plusieurs réseaux (B2-03).

Dans l'onglet Matériel d'une VM, la carte réseau (Network Device) se règle avec les champs suivants.

• Pont (Bridge)Le commutateur virtuel où brancher la carte : vmbr0 en général.
• Étiquette de VLAN (VLAN Tag)Le numéro du VLAN de la VM (50, par exemple). Vide : la trame part sans étiquette, dans le VLAN natif du lien.
• Modèle (Model)VirtIO : carte paravirtualisée, la plus rapide. Intel E1000 ne sert que si le système n'a pas le pilote VirtIO.
• Adresse MACGénérée automatiquement et unique : un clone reçoit toujours une nouvelle adresse (plus de conflit comme sous VirtualBox).
• Pare-feu (Firewall)Active le pare-feu de Proxmox sur cette carte. Il filtre sans rien installer dans la VM.
• Limite de débit (Rate limit)Plafonne le débit de la carte (en Mo/s) pour qu'une VM ne monopolise pas le lien.

auto vmbr0
iface vmbr0 inet manual
    bridge-ports eno1
    bridge-stp off
    bridge-fd 0
    bridge-vlan-aware yes
    bridge-vids 2-4094

auto vmbr0.99
iface vmbr0.99 inet static
    address 172.16.99.41/24
    gateway 172.16.99.254

6. Créer une machine virtuelle pas à pas

Le bouton Créer une VM (en haut à droite) ouvre un assistant de huit onglets. Avance avec les boutons Suivant et Retour du bas : rien n'est créé avant le clic sur Terminer. Les noms de champs ci-dessous sont donnés en français, avec l'équivalent anglais de Proxmox quand il peut aider.

Six réglages font la différence entre une VM correcte et une VM lente ou fragile. Ce sont ceux que le jury et le responsable informatique regardent.

• Contrôleur VirtIO SCSI singleLe contrôleur de disque paravirtualisé : la VM sait qu'elle est virtuelle et parle directement à l'hôte. Debian le reconnaît seul ; Windows demande un pilote (partie 7).
• Type de processeur : hostLa VM voit exactement les fonctions du processeur réel : performances maximales. Contrepartie : migrer à chaud vers un serveur au processeur différent peut échouer. Le type par défaut (x86-64-v2-AES) est plus portable.
• Cœurs1 à 2 pour un serveur de test. La somme des cœurs de toutes les VM allumées peut dépasser ceux de l'hôte (surbooking), mais une VM ne doit jamais en avoir plus que lui.
• Mémoire et ballooningLe maximum est ce que la VM peut utiliser ; le minimum est ce qu'elle garde toujours. Le ballooning permet à l'hôte de reprendre l'écart entre les deux quand il manque de mémoire. Minimum égal au maximum : ballooning désactivé.
• Disque : Discard et IO threadDiscard informe le stockage des blocs libérés (il rétrécit vraiment) ; IO thread donne au disque son propre fil d'exécution, utile avec VirtIO SCSI single.
• Carte réseau VirtIOPlus rapide que les cartes émulées (E1000) et incluse dans le noyau Linux. Pense à l'étiquette VLAN.

7. Pilotes VirtIO et agent QEMU

7.1 Pourquoi VirtIO ?

Pour qu'un système croie avoir un vrai matériel, QEMU peut émuler une carte Intel ou un contrôleur de disque classique : c'est universel mais lent, car chaque opération est traduite. Avec VirtIO, le système invité sait qu'il est virtuel : un pilote spécial échange les données avec l'hôte par une file partagée, sans traduction.

7.2 Debian et Windows

Debian embarque les pilotes VirtIO dans son noyau : rien à installer pour le disque et le réseau. Windows ne les connaît pas. On monte alors une seconde image, virtio-win.iso (publiée par le projet Fedora), sur un deuxième lecteur de CD de la VM.

1. Avant l'installation : ajoute le lecteur CD avec virtio-win.iso (onglet Matériel → Ajouter → Lecteur CD/DVD).
2. Au choix du disque, l'installateur de Windows ne voit aucun disque : clique sur Charger un pilote et choisis le dossier vioscsi du CD, sous-dossier de ta version (w11, 2k25). Le disque apparaît.
3. Après l'installation : lance virtio-win-guest-tools.exe depuis le CD. Il installe les pilotes réseau (NetKVM), le ballooning (Balloon) et l'agent QEMU.
4. Ensuite : retire le CD virtio-win.iso si tu n'en as plus besoin.

7.3 L'agent QEMU

L'agent QEMU (QEMU Guest Agent) est un petit service installé dans la VM qui permet à Proxmox de lui parler. Il joue le rôle des Additions invité de VirtualBox.

• Adresse IP visibleProxmox lit l'adresse de la VM et l'affiche dans le Résumé, sans passer par la console.
• Arrêt propreLe bouton Arrêter (shutdown) demande au système de s'éteindre correctement.
• Instantanés et sauvegardes cohérentsL'agent fige brièvement le système de fichiers : les données écrites sur le disque sont complètes au moment de la copie.
• SynchronisationL'heure de la VM est remise à jour après un instantané avec mémoire ou une migration.

Il faut deux conditions : la case Agent QEMU cochée (onglet Options ou assistant) et le service installé dans la VM. Sur Debian :

8. Un conteneur LXC à partir d'un modèle

Un conteneur se crée avec le bouton Créer un conteneur. Il ne s'installe pas depuis une ISO : on part d'un modèle de conteneur (template), une archive prête à l'emploi, par exemple debian-13-standard, rangée dans un stockage qui accepte les modèles (local). L'assistant ressemble à celui des VM, avec des champs propres aux conteneurs.

• Nom d'hôte et IDLe nom (ct-test) devient le nom de la machine. L'ID est partagé avec les VM : un numéro ne sert qu'une fois.
• Conteneur non privilégié (Unprivileged)Coché par défaut, à garder : l'utilisateur root du conteneur correspond à un utilisateur sans droits sur l'hôte. Un échappement du conteneur reste sans gravité.
• Mot de passe et clé SSHLe mot de passe de root dans le conteneur, ou une clé publique pour SSH. C'est le seul accès tant que le réseau n'est pas réglé.
• ModèleLe stockage des modèles puis le modèle : debian-13-standard. L'archive est déjà un Debian presque complet.
• Disque (rootfs)Stockage local-lvm, 4 à 8 Gio suffisent pour un service Linux léger.
• Processeur et mémoireCœurs (1 ou 2), mémoire (512 Mio à 1 Gio) et swap. Le conteneur n'utilise que ce qu'il consomme, le reste reste à l'hôte.
• RéseauNom eth0, pont vmbr0, étiquette VLAN, puis l'adresse : DHCP, ou statique en notation CIDR (172.16.50.35/24) avec la passerelle.

9. Instantanés, sauvegardes, modèles et clones

Comme avec VirtualBox (B2-20), une VM Proxmox peut être photographiée, copiée et dupliquée. Mais en entreprise, on distingue soigneusement l'instantané, qui sert à annuler une manipulation, et la sauvegarde, qui sert à survivre à une panne.

9.1 Instantané ou sauvegarde ?

Dans l'onglet Instantanés, le bouton Créer un instantané demande un nom (sans espace) et propose d'inclure la mémoire (Inclure la mémoire vive). Avec la RAM, la VM reprend exactement là où elle en était, programmes ouverts compris ; sans elle, seul le disque est restauré et la VM redémarre proprement. Pour un serveur, l'instantané sans RAM est le plus simple, surtout avec l'agent QEMU qui garantit un disque cohérent.

9.2 Modèles et clones

Pour fabriquer plusieurs serveurs identiques, on prépare une VM propre, on la convertit en modèle (clic droit → Convertir en modèle), puis on la clone. Un modèle ne démarre plus : c'est un moule en lecture seule. La conversion est définitive.

Le clic droit sur le modèle puis Cloner ouvre une petite fenêtre : mode (clone lié ou complet), nom, ID, pool, et pour un clone complet le stockage cible. Proxmox génère une nouvelle adresse MAC à chaque clone.

10. Pools, utilisateurs et droits

Dans un cluster partagé par plusieurs personnes, chacun ne doit voir et modifier que ses propres machines. Proxmox y arrive avec quatre notions, que tu retrouves dans ton compte de labo (page Mes serveurs et VM).

• UtilisateurUn compte, écrit identifiant@royaume : par exemple lea@pve. Le royaume dit où est vérifié le mot de passe (pve = base de Proxmox).
• Pool de ressourcesUn dossier logique qui regroupe des VM, des conteneurs et des stockages. Donner un droit sur le pool le donne sur tout ce qu'il contient, y compris les futures VM.
• RôleUn ensemble de privilèges : PVEVMAdmin (administrer les VM), PVEVMUser (les utiliser), PVEDatastoreUser (créer des disques), PVEAuditor (lire seulement)…
• PermissionL'association d'un utilisateur, d'un rôle et d'un chemin (/pool/POOL_LEA, /storage/local-lvm, /vms/100). Sans permission, l'élément reste invisible.

Les droits réels sont des privilèges précis, que les rôles regroupent. Quand une action est refusée, le journal des tâches donne le chemin et le privilège manquants, sous la forme Permission check failed (chemin, privilège). Voici ceux dont tu as besoin pour ce que fait cette fiche.

11. Les commandes qm et pct, et la migration

11.1 En ligne de commande

Tout ce que fait l'interface web existe en ligne de commande, ce qui permet d'écrire des scripts. qm pilote les machines virtuelles (QEMU Manager), pct les conteneurs (Proxmox Container Toolkit). Ces commandes s'exécutent sur le nœud, avec un compte administrateur : au TP, tu les liras sans les taper, car ton compte se limite à l'interface web.

11.2 La migration, en principe

Dans un cluster, on peut déplacer une VM d'un nœud à l'autre, par exemple pour vider un serveur avant une maintenance. La migration à chaud (live migration) copie la mémoire par le réseau pendant que la VM tourne, puis la fait basculer en une fraction de seconde. Les utilisateurs ne remarquent rien.

Un conteneur ne migre pas à chaud : Proxmox l'arrête, le déplace et le redémarre. En commande : qm migrate 101 pve2 --online pour une VM, pct migrate 120 pve2 --restart pour un conteneur. La fiche B2-25 va plus loin : la haute disponibilité relance seule les VM d'un nœud tombé en panne.

12. Dépanner Proxmox VE

Premier réflexe, toujours : ouvrir le journal des tâches en bas de l'écran, double-cliquer sur la ligne en erreur et lire la dernière ligne, qui donne la cause. Deuxième réflexe : l'onglet Matériel de la machine, qui montre ce que Proxmox a réellement configuré.

12.1 Entraîne-toi : les tickets du support

Tu aides les techniciens de Brocéliande Logistique et tes camarades avec leur Proxmox. Six tickets arrivent les uns après les autres : lis le message, observe le relevé, puis choisis la cause.

Carte réseau (net0) : virtio=BC:24:11:3A:9E:01,bridge=vmbr0,firewall=1
$ ip -br a
lo      UNKNOWN   127.0.0.1/8
ens18   UP        fe80::be24:11ff:fe3a:9e01/64

TASK ERROR: Permission check failed (/sdn/zones/localnetwork/vmbr0, SDN.Use)

Aucun lecteur n'a été trouvé. Pour obtenir un pilote de stockage,
cliquez sur Charger un pilote.
(Matériel de la VM : contrôleur VirtIO SCSI single, disque scsi0 de 60 Gio)

TASK ERROR: can't remove VM 9000: base volume 'base-9000-disk-0'
is still in use by linked clones: 101, 102

TASK ERROR: VM quit/powerdown failed - got timeout
qmp command 'guest-ping' failed - got timeout

$ systemctl status qemu-guest-agent
Unit qemu-guest-agent.service could not be found.

web1 $ hostname ; cat /etc/machine-id
deb13-base
3f5a9c1e0b7d4e6aa1c2d3e4f5061728
web2 $ hostname ; cat /etc/machine-id
deb13-base
3f5a9c1e0b7d4e6aa1c2d3e4f5061728

13. À l'examen et en entreprise

14. L'essentiel

1. Proxmox VE est un hyperviseur de type 1 libre, basé sur Debian 13 : VM avec KVM/QEMU, conteneurs avec LXC.
2. VM = son propre noyau, tout système, isolation forte ; conteneur = noyau de l'hôte, Linux seulement, très léger.
3. Un nœud est un serveur ; plusieurs nœuds forment un cluster. Le quorum est la majorité des voix : 3 nœuds, ou 2 plus un témoin.
4. L'interface web est sur https://IP:8006, royaume PVE ; le journal des tâches donne la cause de toute erreur.
5. Stockages : local (ISO, modèles), local-lvm et ZFS (disques), NFS/SMB et PBS (partage, sauvegardes).
6. Réseau : la carte de la VM se branche sur le pont vmbr0 ; VLAN aware + étiquette sur la carte ; sans étiquette, pas de réseau.
7. Une VM propre : VirtIO SCSI, CPU host, mémoire avec ballooning, carte VirtIO, agent QEMU coché et installé.
8. Windows a besoin de virtio-win.iso ; Debian a déjà les pilotes, il manque seulement le paquet qemu-guest-agent.
9. Instantané = retour arrière, même stockage ; sauvegarde = copie ailleurs. Modèle + clone lié (rapide) ou complet (indépendant).
10. Droits = utilisateur + rôle + chemin (pool, stockage, pont) ; Permission check failed nomme le droit manquant ; qm pilote les VM, pct les conteneurs.

Les commandes clés

Tout cela tient sur une page : utilise le bouton Mémo à imprimer en haut de la fiche.

15. Quiz noté

16. Exercices : à toi de répondre

Écris ta réponse sous chaque énoncé et envoie-la à ton professeur. Quand il l'a validée, le corrigé s'affiche à la place du cadenas ; s'il te la renvoie « à revoir », lis son commentaire et corrige. Justifie chaque choix.

17. Au labo : une VM, un conteneur, un modèle et des clones dans ton pool