Вторая сильная часть релиза — SDN-стек Proxmox VE 9.2 получил, возможно, самое серьёзное расширение с момента появления. В список поддерживаемых протоколов добавлены WireGuard и BGP — это означает, что построение защищённых туннелей между кластерами и динамическая маршрутизация становятся доступны прямо из GUI, без внешних маршрутизаторов и скриптов.

WireGuard даёт встроенный способ поднимать защищённые туннели между площадками без лишней внешней обвязки. BGP позволяет нормально анонсировать и переобъявлять маршруты между сегментами и площадками, чтобы сеть не приходилось держать на статике и ручных правках. А route maps и prefix lists нужны не «для галочки», а чтобы не разливать лишние маршруты куда не надо и тонко управлять тем, что именно уходит в сеть и соседние сегменты.

То есть ценность в том, что распределённая виртуальная инфраструктура становится не только связанной, но и более управляемой, предсказуемой и менее зависимой от ручной сетевой магии. Теперь практический сценарий выглядит так: администратор может поднять зашифрованный туннель между географически распределёнными площадками — и всё это без выхода из единого интерфейса управления. Для команд, которые сегодня склеивают такую функциональность из FRRouting, ручных конфигов и cron-скриптов, это радикальное сокращение операционной сложности и меньше точек, где можно ошибиться.

Выбор CPU-модели и дополнительные CPU flags для конкретной виртуальной машины были доступны в Proxmox и раньше. Администратор мог открыть настройки ВМ, перейти в Hardware → CPU/Processor, выбрать тип виртуального процессора и в расширенных параметрах включить или отключить отдельные флаги. Поэтому новизна Proxmox VE 9.2 не в самой возможности настроить CPU у ВМ через GUI.

Главное изменение — в том, что Proxmox вынес управление кастомными CPU-моделями на уровень веб-интерфейса и API. Раньше такие профили приходилось описывать вручную в /etc/pve/virtual-guest/cpu-models.conf: задавать базовую модель, набор флагов, reported-model, phys-bits, параметры скрытия гипервизора и другие свойства. После этого профиль можно было выбрать у нужной ВМ, но создание и сопровождение самих профилей оставалось ручной операцией.

В Proxmox VE 9.2 такие custom CPU profiles можно создавать, редактировать и удалять из интерфейса управления. Дополнительно появился более полезный CPU flags selector: он показывает, какие флаги поддерживаются на каждом узле кластера. Это помогает заранее увидеть несовместимость между хостами и снизить риск ситуации, когда ВМ с заданным CPU-профилем не стартует или не мигрирует на часть узлов.

Для сред со специфическими нагрузками — базами данных, приложениями с аппаратными оптимизациями, Windows-гостями, nested virtualization или лицензионно-чувствительным ПО — это уже не только про удобство, а инструмент снижения риска при миграциях и стандартизации CPU-профилей в кластере.

В Proxmox 9.2 добавлена новая функция HA arm/disarm для обслуживания кластера. Это важное отличие от прежних maintenance-практик, когда на время плановых работ HA-ресурсы часто приходилось снимать с управления или обходить работу HA вручную, а после обслуживания возвращать конфигурацию обратно.

Теперь HA можно временно перевести в disarmed-состояние на уровне всего кластера: HA Manager не выполняет нежелательные действия во время плановых работ, включая fencing, при этом поведение HA-ресурсов сохраняется. Это уже история про нормальную эксплуатацию: можно аккуратнее входить в maintenance-сценарии. Состояние ресурсов сохраняется и штатно восстанавливается после включения.

Важная оговорка для продуктового использования: CRS Load Balancer в документации Proxmox пока отмечен как превью новой функции. Поэтому это не «включили в пятницу вечером и забыли», а функция, которую сначала стоит испытать на тестовом стенде: проверить пороги, поведение HA-правил, частоту миграций и влияние на рабочие нагрузки.

• Сеть и SDN. Продолжается развитие программно-определяемых сетей: улучшена интеграция с OVN и EVPN, упрощены сценарии мультитенантности и изоляции трафика между кластерами и дата-центрами.
• Хранилища и Ceph. Для storage-слоя в Proxmox VE 9.2 заявлен Ceph Tentacle 20.2.1 как новый стабильный вариант по умолчанию, при этом Ceph Squid 19.2.3 остаётся доступным. Для кластеров, которые идут с Proxmox VE 8.4 и Ceph Reef, практический сценарий обновления: сначала Reef → Squid на 8.4, затем PVE 8.4 → 9.2, затем Squid → Tentacle.
• Резервное копирование. В релиз вошли точечные исправления сценариев восстановления, включая работу с бэкапами контейнеров из Proxmox Backup Server. Для эксплуатации такие исправления весьма важны, так как restore должен быть предсказуемым, особенно когда он нужен не в лаборатории, а во время инцидента.
• Веб-интерфейс. GUI получил большой пакет эксплуатационных доработок, и это не только косметика. В Tag View теперь можно запускать массовые действия по гостям с одним тегом, из resource tree — сбрасывать ВМ через контекстное меню, а global search перенесли в центр экрана и адаптировали под размер окна. Для крупных инсталляций важнее другое: исправлены сценарии, где интерфейс замедлялся при большом количестве гостей, а на summary-страницах датацентра, узла и гостя теперь разделены селекторы периода графика и типа агрегации. Это проще для чтения мониторинга и меньше раздражает при ежедневной эксплуатации.
• Отдельно доработали мобильный web UI: добавили вход через OpenID Connect realm, отображение pending changes в панелях hardware/options, редактирование VM options прямо с мобильного интерфейса и улучшили работу с мобильным Firefox. Плюс исправили ряд мелочей, которые в реальной эксплуатации быстро становятся не мелочами: поведение login-диалога после истечения сессии, отображение участников resource pool, сохранение горизонтального скролла в journal viewer, фильтрацию по name/node/VMID при добавлении гостей в resource pool и некорректное отображение changelog/package descriptions с non-ASCII символами.
• Для сред с Windows-гостями добавлен GUI-механизм enrollment сертификатов Windows UEFI CA 2023 — теперь не нужно для этого лезть в CLI.
• Безопасность. В релизе усилили гранулярность прав. Появилась отдельная привилегия Sys.AccessNetwork — теперь можно разрешить пользователю загружать ISO-образы без выдачи полного Sys.Modify, что принципиально для сред с делегированием прав. При смене пароля система запрашивает текущий — защита от сценария с открытой сессией. Ограничены атрибуты при LDAP-синхронизации, чтобы неожиданные записи в каталоге не ломали процесс. Новая пакетная база — это не только про свежие функции. Для эксплуатации не менее важно, что вместе с обновлением компонентов закрываются накопленные ошибки и известные уязвимости в базовой системе, ядре, гипервизоре, контейнерном стеке, хранилищах и сетевых сервисах. В этом смысле обновление стека — не формальность, а часть эксплуатационной гигиены и снижения рисков безопасности.