> For the complete documentation index, see [llms.txt](https://docs.verge.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.verge.io/learn-the-platform/de/modul-4-netzwerke/02-external-networks.md).

# Externe Netzwerke

## Was sind externe Netzwerke?

Externe Netzwerke sind die Brücke zwischen Ihrer VergeOS-Umgebung und der Außenwelt. Sie verbinden VergeOS mit der physischen Upstream-Infrastruktur — Ihrem Unternehmens-LAN, WAN-Verbindungen, dem Internet oder jedem Netzwerk, das außerhalb von VergeOS existiert.

Jedes VergeOS-System benötigt mindestens ein externes Netzwerk, das in der Regel während der Erstinstallation erstellt wird. Nach der Installation können Sie zusätzliche externe Netzwerke erstellen, um mehrere Uplinks, VLANs, separate Verwaltungsnetzwerke oder mandantenspezifische WAN-Verbindungen zu unterstützen.

Externe Netzwerke liegen zwischen **physischen Netzwerken** (Layer-2-Switch-Verbindungen) und der **DMZ** (dem Layer-3-Routing-Backbone). Datenverkehr von VMs zum Internet muss über ein externes Netzwerk laufen, um die physische Infrastruktur zu erreichen.

```mermaid
graph LR
    DMZ["DMZ-Netzwerk<br/>(Routing-Backbone)"]
    EXT["Externes Netzwerk<br/>(Ihre Konfiguration)"]
    PHY["Physisches Netzwerk<br/>(Switch-Verbindung)"]
    UP["Upstream<br/>Router / Internet"]

    DMZ -->|"Route / NAT"| EXT
    EXT -->|"VLAN / Bond"| PHY
    PHY -->|"Physisches Kabel"| UP

    style DMZ fill:#fce4ec,stroke:#c62828
    style EXT fill:#f3e5f5,stroke:#6a1b9a
    style PHY fill:#e3f2fd,stroke:#1565c0
    style UP fill:#f5f5f5,stroke:#616161
```

## Erstellen eines externen Netzwerks

Um ein neues externes Netzwerk zu erstellen, navigieren Sie zu **Netzwerke → Neu extern** in der VergeOS-Benutzeroberfläche. Das Erstellungsformular umfasst drei Hauptbereiche: Netzwerkidentität, Layer-2-Konfiguration und IP-Adressierung.

### Netzwerkidentität

| Feld             | Beschreibung                                                                                                             |
| ---------------- | ------------------------------------------------------------------------------------------------------------------------ |
| **Namen**        | Ein beschreibender Name (z. B., `WAN1`, `MGMT-LAN`). Leerzeichen sind nicht zulässig.                                    |
| **Beschreibung** | Optionale Notizen für die spätere Verwaltung.                                                                            |
| **HA-Gruppe**    | Einer Hochverfügbarkeitsgruppe zuweisen, damit das System Netzwerkinstanzen über verschiedene physische Knoten verteilt. |

### Layer-2-Konfiguration

Das **Layer-2-Typ** bestimmt, wie das externe Netzwerk mit der physischen Infrastruktur verbunden wird:

| Layer-2-Typ        | Anwendungsfall                                                                                                                                                                                                                                                  |
| ------------------ | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **VLAN**           | Am gebräuchlichsten — markiert Datenverkehr mit einer 802.1Q-VLAN-ID im ausgewählten physischen Netzwerk                                                                                                                                                        |
| **Bond**           | Primäres/aktives Mitglied einer LAG-Gruppe auf Switch-Seite; mit einem Bond-Secondary-Eintrag für das sekundäre Mitglied kombinieren. Für softwarebasiertes Active-Backup-Bonding über physische Netzwerke siehe [Bonded Interfaces](#bonded-interfaces) unten. |
| **Bond Secondary** | Sekundäres Mitglied einer LAG-Gruppe auf Switch-Seite; wird mit einem `Bond` Master-Eintrag kombiniert (kein softwarebasiertes Active-Backup-Bonding)                                                                                                           |
| **none**           | Direkte Verbindung ohne VLAN-Tagging — verwendet für ungetaggte/native VLAN-Verbindungen                                                                                                                                                                        |
| **VXLAN**          | VXLAN-Overlay — geben Sie eine VXLAN-Netzwerk-ID (VNI) im Feld Layer-2-ID an                                                                                                                                                                                    |

Nachdem Sie den Layer-2-Typ ausgewählt haben:

* **Layer-2-ID** — Geben Sie die VLAN- oder VXLAN-ID ein (falls zutreffend)
* **MTU** — Typischerweise `1500` für externe Netzwerke (fortgeschrittene Benutzer können dies für Jumbo Frames anpassen)
* **Schnittstellennetzwerk** — Wählen Sie das physische Netzwerk aus, dem dieses externe Netzwerk zugeordnet wird (z. B., `Externer Switch`). Wenn Sie hier ein anderes externes Netzwerk auswählen, wird **Q-in-Q** (VLAN in VLAN)-Konfigurationen aktiviert.

### IP-Adresskonfiguration

Das **IP-Adress-Typ** bestimmt, wie der Router des externen Netzwerks seine Adresse erhält:

| IP-Adress-Typ | Beschreibung                                                                                                           |
| ------------- | ---------------------------------------------------------------------------------------------------------------------- |
| **Statisch**  | IP, Netzwerk-CIDR, Gateway und DNS manuell angeben. Am gebräuchlichsten für produktive Bereitstellungen.               |
| **Dynamisch** | Eine Adresse per DHCP beziehen. Auf eine einzelne Adresse begrenzt — nur für kleine Test- oder Archivsysteme geeignet. |
| **BGP/OSPF**  | Integration eines dynamischen Routing-Protokolls für Unternehmensumgebungen.                                           |
| **Keine**     | Nur-Layer-2-Verbindung ohne IP-Zuweisung auf dem VergeOS-Router.                                                       |

Für **statisch** Konfigurationen angeben:

* **IP-Adresse** — Die Adresse für den Router dieses Netzwerks (z. B., `192.168.212.2`)
* **Netzwerkadresse** — Das Subnetz im CIDR-Format (z. B., `192.168.212.0/24`)
* **DNS-Server** — Durch Kommas getrennte Liste (z. B., `10.10.25.3, 10.10.25.4`)
* **Gateway-Überwachung** — Empfohlen. Ermöglicht die Erkennung eines Verlusts der Upstream-Konnektivität, damit VergeOS auf Ausfälle reagieren kann.

## VLAN-Konfiguration

VLANs sind die gebräuchlichste Layer-2-Konfiguration für externe Netzwerke. Jedes externe Netzwerk kann einem bestimmten 802.1Q-VLAN-Tag auf einem physischen Netzwerk zugeordnet werden, wodurch Netzsegmentierung ohne zusätzliche physische Verkabelung möglich ist.

**Beispiel:** Erstellen Sie ein externes Netzwerk mit dem Namen `WAN1` auf VLAN 50:

1. Navigieren Sie zu **Netzwerke → Neu extern**
2. Setzen Sie **Namen** in `WAN1`
3. Setzen Sie **Layer-2-Typ** in `VLAN`
4. Setzen Sie **Layer-2-ID** in `50`
5. Setzen Sie **Schnittstellennetzwerk** in `Externer Switch`
6. IP-Adressierung konfigurieren (statisch oder dynamisch)
7. Klicken Sie auf **Senden**

### Q-in-Q (VLAN innerhalb VLAN)

Für Umgebungen, die Double-Tagging erfordern (z. B. im Service-Provider-Edge-Bereich), wählen Sie ein **externen Netzwerk** (statt eines physischen Netzwerks) als **Schnittstellennetzwerk**. Dadurch wird ein zweites VLAN-Tag über das vorhandene gelegt und ein Q-in-Q-Tunnel erstellt.

## Bonded Interfaces

Bonding bietet NIC-Redundanz für die externe Konnektivität. Die allgemeine Empfehlung für externe Netzwerke ist **LACP (802.3ad)** wenn der Upstream-Switch dies unterstützt, mit **Active-Backup** als Alternative für Bare-Metal-Installationen mit 2 NICs, bei denen beide NICs den Core-Fabric-Datenverkehr tragen und die externe Verbindung dieselben physischen Schnittstellen über VLANs nutzen muss. LAG/MLAG gilt nur für externe Netzwerke — niemals für die Core Fabric.

### Erstellen eines gebondeten externen Netzwerks

1. Navigieren Sie zu den **Bearbeiten** Einstellungen
2. Setzen Sie **Layer-2-Typ** in `VLAN` des externen Netzwerks und geben Sie die passende VLAN-ID ein
3. Aktivieren Sie den **Bonding** Kontrollkästchen
4. Unter **Bond-Interfaces**, wählen Sie die physischen Netzwerke aus, die teilnehmen sollen:
   * Wählen Sie bestimmte Fabrics aus (z. B., `core-fabric-1 Switch`, `core-fabric-2 Switch`), oder
   * Wählen Sie **Alle** um über alle verfügbaren Schnittstellen zu bonden
5. Klicken Sie auf **Senden**

### Testen des Bond-Failovers

Nach der Konfiguration eines Bonds validieren Sie das Failover-Verhalten:

1. Navigieren Sie zum Dashboard des externen Netzwerks und wählen Sie **NICs**
2. Trennen Sie ein Netzwerkkabel physisch
3. Prüfen Sie, ob die Benutzeroberfläche die getrennte NIC als **Down**
4. Bestätigen Sie, dass die externe Konnektivität über die Backup-NIC erhalten bleibt
5. Schließen Sie das Kabel wieder an und prüfen Sie, ob die NIC zu **Up** Status

{% hint style="warning" %}
Vergewissern Sie sich immer, dass die Redundanz des Kernnetzwerks vorhanden ist, bevor Sie ein Netzwerkkabel trennen. Führen Sie das Testen des Bond-Failovers mit lokaler Konsole oder IPMI-Zugriff als Fallback durch.
{% endhint %}

## Die Standard-Routing-Regel

Nach dem Erstellen eines externen Netzwerks, **wird der Datenverkehr nicht fließen, bis Sie eine Standard-Routing-Regel hinzufügen**. Dies ist ein kritischer Schritt nach der Erstellung, der leicht übersehen wird.

So fügen Sie die Standardroute hinzu:

1. Klicken Sie im Dashboard des externen Netzwerks auf **Regeln**
2. Klicken Sie auf **Neu**
3. Konfigurieren Sie die Regel:
   * **Name:** `Standardroute`
   * **Aktion:** `Route`
   * **Richtung:** `Ausgehend`
   * **Quelle:** `Beliebig`
   * **Ziel:** `Standard`
   * **Zieltyp:** `IP/Benutzerdefiniert`
   * **Ziel-IP:** Ihr Upstream-Gateway (z. B., `192.168.212.1`)
4. Klicken Sie auf **Senden**, dann **Regeln anwenden**

Ohne diese Regel läuft das externe Netzwerk zwar, kann jedoch keinen Datenverkehr zum Upstream-Gateway routen.

## HA-Gruppen

HA-Gruppen bieten Hochverfügbarkeit für externe Netzwerke, indem sie Netzwerkinstanzen über verschiedene physische Knoten verteilen. Wenn zwei oder mehr Netzwerke derselben HA-Gruppe zugewiesen sind, versucht das System, sie nach Möglichkeit auf separaten Knoten zu betreiben — dadurch verringert sich die Wahrscheinlichkeit, dass ein einzelner Knotenausfall die gesamte externe Konnektivität unterbricht.

Zur Konfiguration:

1. Wenn Sie ein externes Netzwerk erstellen oder bearbeiten, setzen Sie das **HA-Gruppe** Feld auf einen Gruppennamen
2. Weisen Sie verwandten externen Netzwerken denselben Gruppennamen zu
3. Optional setzen Sie einen **Bevorzugter Knoten** oder **Failover-Cluster** für eine feinere Platzierungskontrolle

## DHCP-Server-Konfiguration

Externe Netzwerke können einen integrierten DHCP-Server ausführen, um Adressen an Clients im Netzwerk zu vergeben (z. B. Mandanten, VMs mit direktem externem Zugriff oder PXE-bootende Knoten).

| Einstellung               | Beschreibung                                                                             |
| ------------------------- | ---------------------------------------------------------------------------------------- |
| **Domänenname**           | Optionale Domain für den DHCP-Bereich                                                    |
| **Gateway**               | Das an DHCP-Clients beworbene Standard-Gateway                                           |
| **Hostnamen**             | Hostname für den Router dieses Netzwerks                                                 |
| **Dynamisches DHCP**      | Aktivieren, um einen Start-/Stopp-Adressbereich für die dynamische Zuweisung festzulegen |
| **Sequenzielle Adressen** | Wenn aktiviert, werden Adressen fortlaufend statt pseudozufällig zugewiesen              |

## Zusätzliche Netzwerkoptionen

### Cluster-Affinität

Optional das Netzwerk an ein bestimmtes **Cluster** und **Failover-Cluster** binden, um zu steuern, wo das VNet in Multi-Cluster-Umgebungen läuft.

### PXE-Boot

Aktivieren Sie PXE-Boot im externen Netzwerk, wenn VergeOS-Knoten von diesem Netzwerk per PXE booten sollen. Standardmäßig deaktiviert.

### Bei Stromausfall

Steuert das Verhalten nach einem Stromausfall eines physischen Knotens oder einem Power-Cycle des Mandanten: **Letzter Zustand** (vorherigen Zustand wiederherstellen), **Aus lassen**, oder **Einschalten**.

### Ratenbegrenzung

Aktivieren Sie die Ratenbegrenzung für das Routing, um den gesamten Netzwerkverkehr zu drosseln. Konfigurieren Sie den Wert der Ratenbegrenzung, den Raten-Typ (Pakete/Sek., MB/Tag, Bytes/Stunde usw.) und die Burst-Zulassung.

### Statistikverfolgung

**Statistiken für alle Regeln verfolgen** aktiviert das automatische Zählen von Paketen/Bytes für jede Regel. **DMZ-Statistiken verfolgen** überwacht den gesamten Datenverkehr zwischen diesem Netzwerk und der DMZ.

### DNS-Konfiguration

Wählen Sie **Deaktiviert** (kein DNS), **Bind** (autoritativer DNS), oder **Einfach** (DNS-Weiterleitung ohne lokale Einträge).

## Schritt-für-Schritt-Anleitung: Erstellen eines vollständigen externen Netzwerks

Dieses End-to-End-Beispiel erstellt ein VLAN-getaggtes externes Netzwerk mit statischer IP und Standardroute.

```mermaid
graph TD
    A["Navigieren Sie zu Netzwerke → Neu extern"] --> B["Name, VLAN-ID, Schnittstellennetzwerk festlegen"]
    B --> C["Statische IP, CIDR, Gateway, DNS konfigurieren"]
    C --> D["Gateway-Überwachung aktivieren"]
    D --> E["Auf Senden klicken → Netzwerk wird eingeschaltet"]
    E --> F["Auf Regeln → Neu klicken"]
    F --> G["Standardroutenregel erstellen"]
    G --> H["Regeln anwenden → Datenverkehr fließt"]

    style A fill:#e3f2fd,stroke:#1565c0
    style E fill:#e8f5e9,stroke:#2e7d32
    style H fill:#e8f5e9,stroke:#2e7d32
```

**Schritt für Schritt:**

1. **Navigieren Sie** in **Netzwerke → Neu extern**
2. **Name:** `WAN1`
3. **Layer-2-Typ:** `VLAN`, **Layer-2-ID:** `50`
4. **MTU:** `1500`
5. **Schnittstellennetzwerk:** `Externer Switch`
6. **IP-Adress-Typ:** `Statisch`
7. **IP-Adresse:** `192.168.212.2`
8. **Netzwerkadresse:** `192.168.212.0/24`
9. **DNS:** `10.10.25.3, 10.10.25.4`
10. **Gateway-Überwachung:** Aktiviert
11. Klicken Sie auf **Senden** — warten, bis das Netzwerk **Wird ausgeführt**
12. Klicken Sie auf **Regeln → Neu**
13. **Regelname:** `Standardroute`, **Aktion:** `Route`, **Richtung:** `Ausgehend`
14. **Ziel:** `Standard`, **Zieltyp:** `IP/Benutzerdefiniert`, **Ziel-IP:** `192.168.212.1`
15. Klicken Sie auf **Senden**, dann **Regeln anwenden**

Ihr externes Netzwerk ist jetzt betriebsbereit und leitet Datenverkehr zum Upstream-Gateway weiter.

## Mehrere externe Netzwerke

Produktivbereitstellungen verwenden oft mehr als ein externes Netzwerk:

* **Getrenntes WAN und LAN** — Ein externes Netzwerk für den Internetzugang und ein weiteres für die Unternehmens-LAN-Konnektivität vorsehen
* **Verwaltungsnetzwerk** — Verwaltungstraffic (IPMI, UI-Zugriff) auf ein eigenes externes Netzwerk und VLAN isolieren
* **Mandantenspezifische Externe** — Mandanten ein eigenes VLAN oder ein eigenes Layer-2-externes Netzwerk für direkten Upstream-Zugriff bereitstellen
* **Redundante ISP-Verbindungen** — Mehrere externe Netzwerke, die mit verschiedenen Upstream-Anbietern verbunden sind, für Failover

Jedes externe Netzwerk kann denselben oder unterschiedlichen physischen Netzwerken zugeordnet werden und dabei unterschiedliche VLANs, IP-Bereiche und Routing-Regeln verwenden.

{% hint style="info" %}
**VMware Bridge**

Kommt von VMware? VergeOS externe Netzwerke kombinieren VLAN-Tagging, statische Routen, NIC-Teaming, HA und netzwerkbezogene Ratenbegrenzung in einem einzigen Konfigurationsformular — kein separates vDS, NSX Edge oder externer Load Balancer erforderlich.
{% endhint %}

{% hint style="info" %}
**Nutanix Bridge**

Kommt von Nutanix AHV? VergeOS setzt VLANs auf Netzwerkebene, integriert DHCP/DNS/NAT/Routing in jedes externe Netzwerk, stellt Active-Backup-Bonding als Kontrollkästchen bereit und überwacht die Gateway-Gesundheit automatisch.
{% endhint %}

## Wichtige Erkenntnisse

| Konzept                 | Zusammenfassung                                                                                                         |
| ----------------------- | ----------------------------------------------------------------------------------------------------------------------- |
| **Zweck**               | Externe Netzwerke verbinden VergeOS mit Upstream-LAN-, WAN- und Internet-Infrastruktur                                  |
| **Layer-2-Typen**       | VLAN (am gebräuchlichsten), Bond, Bond Secondary, kein (direkte Verbindung), VXLAN                                      |
| **IP-Typen**            | Statisch, Dynamisch/DHCP, BGP/OSPF, Kein (nur Layer 2)                                                                  |
| **Standardroute**       | Nach der Erstellung erforderlich — ohne sie läuft das Netzwerk zwar, kann aber keinen Datenverkehr routen               |
| **Bonding**             | LACP (802.3ad) wird für externe Netzwerke bevorzugt; Active-Backup ist die Alternative für Bare-Metal-Knoten mit 2 NICs |
| **HA-Gruppen**          | Netzwerkinstanzen zur Hochverfügbarkeit über Knoten verteilen                                                           |
| **Gateway-Überwachung** | Verlust der Upstream-Konnektivität erkennen — für die Produktion immer empfohlen                                        |
| **DHCP**                | Optionaler integrierter DHCP-Server mit dynamischer oder sequenzieller Adresszuweisung                                  |
| **Q-in-Q**              | Doppelte VLAN-Tagging durch Auswahl eines externen (nicht physischen) Netzwerks als Schnittstellennetzwerk              |

## Nächste Schritte

Da externe Netzwerke VergeOS mit der Upstream-Infrastruktur verbinden, behandelt das nächste Thema, wie isolierte virtuelle Netzwerke für Ihre Workloads erstellt werden: [**Interne Netzwerke & DHCP/DNS →**](/learn-the-platform/de/modul-4-netzwerke/03-internal-networks.md)


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://docs.verge.io/learn-the-platform/de/modul-4-netzwerke/02-external-networks.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.