VMware ESXi 6.5 / vSphere: Windows-VM betreiben mit nur EINER Public IP?

[Rick7]

Hallo zusammen,

zur Frage geht es unten (fett gedruckt), ansonsten kurz mal was ich vor habe:
Ich möchte einen Gaming-Server betreiben und hierzu (teilweise virtualisiert) Windows 7, Windows 10 und Ubuntu laufen lassen (aber nicht parallel). Eben je nachdem welches Betriebssystem für den jeweiligen Gaming-Server hierzu besser geeignet ist (und nein, unter Linux / Ubuntu laufen eben nicht alle Gaming-Server gut - Eigene Erfahrung).

Hierzu habe ich mir nun einen dedicated Server gemietet, auf diesem kann ich entweder Ubuntu & Co installieren lassen oder vSphere. Also könnte ich auf Ubuntu per VM (KVM / VirtualBox) Win7/10 laufen lassen, ist aber etwas schwierig wenn man nur die Server-Version hat und alles über SSH machen muss, sprich erst mal Client installieren, dann xRDP oder VNC um überhaupt auf die Maschine zu kommen, dann KVM / VirtualBox, die brauchen auch noch X Sachen usw... Hat mich nicht so wirklich überzeugt.

Also habe ich mich für vSphere entschieden, da die Virtualisierung direkt auf Hardware-Ebene läuft, was ja zumindest für Windows dann performanter laufen sollte (da der "Vermittlungs-Client" als Ubuntu weg fällt). Also bin ich wie folgt vorgangen:
- Neue Portgruppe erstellt (da sich die Standard-Portgruppe nicht der VM zuweisen lässt)
- ISO (Win10) hochgeladen
- VM erstellt (mit ISO Win10)
- Standard-Settings gelassen, außer HDD mit Thin Provisioning
- VM hochgefahren

In Windows erscheint beim Netzwerk "Kein Internetzugriff", der Zugriff funktioniert im IE trotzdem auf wenige Seiten wie test.de, wenn man aber eine Zeit lang nichts mehr anklickt, dauert das nächste Laden ca. 1 Minute lang (als ob der Router oder so im Standby wäre).

Frage:
Wie gehe ich in ESXi 6.5 (Webinterface, Client gibt es hier nicht mehr) vor, um eine Windows-VM zu erstellen, die Internet-Zugriff hat. Ich habe nur eine Public IP-Adresse und kann aktuell auch keine zweite bekommen. Den dedicated Server an sich kann ich von "Server-IP" auf "Virtualisierungs-IP" umstellen, das hatte aber an der fehlenden Internet-Verbindung (s.o.) nichts geändert. Die VMs sind ja immer briged, sprich die VM selbst hat eine eigene LAN IP-Adresse, Port-Forwarding habe ich unter ESXi ebenfalls nicht finden können, hilft aber wohl auch nicht bei dem Internet-Problem (brauche ich aber dann für den Gaming-Server). Ich möchte ja nur eine VM laufen haben, die entsprechend über die Public IP erreichbar ist, wäre das möglich? Würde ja Richtung NAT gehen, habe aber keine Einstellungen hierfür finden können.

Danke euch

 

[SGCGoliath]

Dafür müsstest du eine Firewall bzw. Router vor dem ESXi haben

 

[Rick7]

Verstehe, Danke. Nun da werde ich wohl keine Möglichkeit zu haben (die werden wohl nicht pro Server einen Router haben). Also lässt sich mein Vorhaben mit vSphere gar nicht umsetzen oder? Zumindest nicht ohne zusätzliche Public IP.

 

[snaxilian]

Korrekt, nicht mit vSphere. Das kann eben "nur" Virtualisierung. Dieses zwar sehr gut aber eben nix zusätzliches wie eben notwendiges Routing und was du sonst noch für dein Vorhaben benötigst.
Wenn du dir die reine Administration von KVM per SSH nicht zutraust, wirf mal einen Blick auf Proxmox. Da hast ein Webinterface zwecks Administration und kannst entsprechende VMs und LXCs verwalten. Netzwerk musst natürlich an deine Bedürfnisse anpassen, Rudimentäre Anleitungen gibt es im Wiki und so im Netz.

 

[iSource]

Mir ist nicht ganz klar, wie manche hier drauf kommen, dass das Vorhaben in einer vSphere-Umgebung bzw. mit einem ESXi Hypervisor nicht umzusetzen ist...

Gut möglich, dass ich dein Szenario - oder besser gesagt deine Gegebenheiten - falsch verstanden habe, aber: Wieso erstellt du (neben deinen VMs für die Services) nicht eine VM, welche das Routing übernimmt? Diese erhält dann die öffentliche IP-Adresse und kann darüber hinaus das Port Forwarding für die übrigen Maschinen übernehmen (und bei Bedarf auch noch so Themen wie Firewall, interne Namensauflösung & Co.).

Klar ist, dass das deiner "Ich möchte nur eine VM"-Sache widerspricht. Aber zumindest wäre das eine Möglichkeit dein Vorhaben umzusetzen, sofern du von dieser Vorgabe abweichen kannst/möchtest.

 

[Rick7]

Das Problem bei SSH ist, dass ich vorher bei mir lokal erst mal eine VM über KVM erstellen müsste und alle Einstellungen (wie RDP) vornehmen müsste, die dann ja erst mal nur bei mir lokal funktionieren. Wenn ich per SSH die VM dann starte, kann ich im Fehlerfall nicht auf das Windows in der VM zugreifen (da keine GUI). Also ich war so weit, dass ich den Client nachinstalliert habe und per xRDP auf Ubuntu war. Hier meine Win-VM erstellt habe und diese lief. Bei einem Test konnte ich nichts eingeben (Tastatur) und kam nicht weiter und bei dem anderen Test hat mein Portforwarding nicht funktioniert. Da ich kein Linux / Ubuntu lokal installiert habe, hatte ich es wie folgt getestet:
Lokal (Win10) > VMWare > Ubuntu-VM > KVM > Win7-VM

Nun habe ich den RDP Port von der Win7-VM geändert (von 3389 auf 3399) und konnte mich auch verbinden (direkt per Win7-VM LAN IP).
Also hab ich per Portforwarding den Port (3399) von der Ubuntu-VM auf Win7-VM umgeleitet (das würde ich auf dem Server ja auch so machen, damit ich mich weiterhin per xRDP auf Ubuntu verbinden kann). Wenn ich jetzt versuche per RDP:3399 auf die Ubuntu-VM zu kommen (denn DIE soll ja die Anfrage weiterleiten) geht es nicht. Vielleicht hab ich auch einen Denkfehler, aber im Router funktioniert das doch auch so: Ich sende eine Anfrage an 90.90.90.90:123, dem Router sag ich an welche LAN-Adresse die Anfrage von Port 123 gesendet werden soll.

Proxmox kann ich leider nicht verwenden (außer wenn ich das wiederum per VM mache, dann hätte ich aber noch eine VM dazwischen ) Ich kann nur folgendes installieren lassen:
CentOS 7
Debian 7.0
Debian 8.0
Debian 9.0
openSUSE 42.3
Ubuntu 14.04
Ubuntu 16.04
vSphere 6.0.0
vSphere 6.5.0

Ergänzung (25. Februar 2018)

Mir ist nicht ganz klar, wie manche hier drauf kommen, dass das Vorhaben in einer vSphere-Umgebung bzw. mit einem ESXi Hypervisor nicht umzusetzen ist...

Gut möglich, dass ich dein Szenario - oder besser gesagt deine Gegebenheiten - falsch verstanden habe, aber: Wieso erstellt du (neben deinen VMs für die Services) nicht eine VM, welche das Routing übernimmt? Diese erhält dann die öffentliche IP-Adresse und kann darüber hinaus das Port Forwarding für die übrigen Maschinen übernehmen (und bei Bedarf auch noch so Themen wie Firewall, interne Namensauflösung & Co.).

Klar ist, dass das deiner "Ich möchte nur eine VM"-Sache widerspricht. Aber zumindest wäre das eine Möglichkeit dein Vorhaben umzusetzen, sofern du von dieser Vorgabe abweichen kannst/möchtest.

Klingt interessant, ich hätte kein Problem damit eine VM für das Routing zu haben (die sollte ja sehr wenig Leistung brauchen). Ich wüsste aber nicht wie ich dieser VM die Public IP zuweisen kann, da diese ja eigentlich für das ESXi genutzt wird (?). Bzw. dann könnte ich ja auch die Public IP direkt meiner Gaming-VM zuweisen (da nur EINE gleichzeitig laufen würde).

 

[iSource]

Ich wüsste aber nicht wie ich dieser VM die Public IP zuweisen kann, da diese ja eigentlich für das ESXi genutzt wird (?).

Okay, das erklärt dann natürlich etwas besser das Dilemma. Ich bin davon ausgegangen, dass du die Administration des ESXi über einen anderen vom Anbieter zur Verfügung gestellten Weg durchführen kannst, der Hypervisor selbst also nicht zwingend die öffentliche IP-Adresse erhalten muss.

Wenn du auf den ESXi selbst also nur direkt und über die eine IP-Adresse kommst, wird es blöd.

Bietet der Provider denn IPv6 (also neben der öffentlichen IPv4-Adresse)? Dann könntest du ja ein Service Mapping betreiben und so bspw. die Administration des ESXi über IPv6 und der Routing- bzw. Gaming-VM die IPv4-Adresse geben.

 

[snaxilian]

@iScource: Und an den vSphere selbst kommt der TE dann wie genau? Also ja, das geht schon wenn man den VMKernel Port des ESXi auf ne Private IP stellt und diese über die entsprechende Router-VM erreichbar macht. Das alles remote einzurichten ist zwar ne Herausforderung, aber machbar. ESXi Management als auch die VMs müssen dann nur am gleichen vSwitch hängen.

@Rick7: Proxmox ist defacto ein Aufsatz für Debian. Du kannst dir also vom Anbieter Debian 9 installieren lassen, richtest die Proxmox Paketquellen ein, installiert dieses und *tadaa*.

Zuweisen der IP für die Router-VM: Zuerst installierst die Router-VM mit ner Dummy-WAN-IP und richtest LAN-seitig alles so weit ein, dass du dich hinterher nicht aussperrst und noch an den ESXi kommst. Dann müsstest du mehr oder weniger gleichzeitig, z.B. per Script, die WAN-IP der Router-VM auf die Public IP ändern und den ESXi auf eine LAN-IP, die über die Router-VM erreichbar ist.

 

[Rick7]

@15iSource:

Bietet der Provider denn IPv6 (also neben der öffentlichen IPv4-Adresse)? Dann könntest du ja ein Service Mapping betreiben und so bspw. die Administration des ESXi über IPv6 und der Routing- bzw. Gaming-VM die IPv4-Adresse geben.

Ich habe IPv4 und IPv6, hatte auch mal versucht die IPv6 in der Win-VM direkt dem Adapter zuzuweisen (denn IPv4 und IPv6 sind ja zwei unterschiedliche IP-Adressen), aber ohne Erfolg. Hab aber auch noch nie ne öffentliche IP direkt zugewiesen, geht das überhaupt? Ja leider komme ich auf die ESXi WebGUI eben genau über meine Public IP drauf :/ Ich schaue gleich noch mal, ich hätte wohl die Möglichkeit die RDNS (Reverse DNS) Einstellung für IPv4 und IPv6 zu ändern.

@20snaxilian:

Proxmox ist defacto ein Aufsatz für Debian. Du kannst dir also vom Anbieter Debian 9 installieren lassen, richtest die Proxmox Paketquellen ein, installiert dieses und *tadaa*.

Aufsatz klingt gut, werde ich mal unabhängig von ESXi testen. An das ESXi brauche ich auch nicht mehr "dran kommen", weil Debian dann direkt auf den Server (anstelle des vSphere / ESXi) installiert wird

 

[iSource]

Hab aber auch noch nie ne öffentliche IP direkt zugewiesen, geht das überhaupt?

Genau so würde das funktionieren, ja. Wichtig ist dabei, dass die vNIC der VM im Bridged Mode betrieben wird (also kein NAT oder etwas dergleichen).

Ja leider komme ich auf die ESXi WebGUI eben genau über meine Public IP drauf

Die IPv6-Adresse ist ja ziemlich sicher ebenfalls öffentlich. Aus Kompatibilitätsgründen würde ich dir aber empfehlen, nicht die IPv6-Adresse für deine Gaming-VMs zu verwenden, sondern wie beschrieben für den ESXi und die IPv4-Adresse für deine VMs.

Eigentlich müsstest du doch so bereits über IPv6 auf deinen ESXi kommen, oder nicht? Der Anbieter wird ja mit Übergabe der zwei IPs die Kiste mit beiden IPs für dich erreichbar gemacht haben. Wenn dem so ist, müsstest du als nächstes nur noch die IPv4-Adresse vom ESXi "wegnehmen" und hättest sie für deine übrigen VMs. Ob dann mit oder ohne Routing-VM bleibt dir überlassen (also ob du wirklich jedes Mal die eine VM runterfahren, die andere hochfahren, IP ändern, ..., willst).

 

[Rick7]

Genau so würde das funktionieren, ja. Wichtig ist dabei, dass die vNIC der VM im Bridged Mode betrieben wird (also kein NAT oder etwas dergleichen).


Die IPv6-Adresse ist ja ziemlich sicher ebenfalls öffentlich. Aus Kompatibilitätsgründen würde ich dir aber empfehlen, nicht die IPv6-Adresse für deine Gaming-VMs zu verwenden, sondern wie beschrieben für den ESXi und die IPv4-Adresse für deine VMs.

Eigentlich müsstest du doch so bereits über IPv6 auf deinen ESXi kommen, oder nicht? Der Anbieter wird ja mit Übergabe der zwei IPs die Kiste mit beiden IPs für dich erreichbar gemacht haben.

Wollte ich auch so machen (IPv6 sollte für ESXi ja ausreichen). IPv6 ist im RDNS noch nicht eingestellt, ich schaue mir das gleich mal an, muss noch mal ein paar Sachen vorher austesten und sichern Melde mich aber in jedem Fall noch mal.

Ergänzung (25. Februar 2018)

die vNIC der VM im Bridged Mode betrieben wird

Habe mal nachgeschaut, vmnic0 ist scheinbar der echte LAN-Port, hier kann ich leider nichts ändern, außer die Geschwindigkeit. Unter "Peer-Geräte-Funktionen" steht aber folgendes:
Router Ja
Transparente Bridge Nein
Quell-Route-Bridge Nein
Netzwerk-Switch Nein

--------------

Also die RDNS Einstellungen funktionieren nicht, hab jetzt ca. eine halbe Stunde gewartet. Habe folgendes probiert:

[RDNS IPv4]
IP-Adresse > Reverse-DNS Eintrag
Vorher: 91.92.93.94 > MeinHost.Tld
Nachher: 91.92.93.94 > [Leer]
Resultat: Ich kann über MeinHost.Tld auf die ESXi WebGUI zugreifen und der Ping auf MeinHost.Tld gibt 91.92.93.94 zurück.

[RDNS IPv6]
Auswahl IPv6 Adresse > IP-Adresse > Reverse-DNS Eintrag
Vorher: 2001:FFA4:ABCD:1234 > [Leer] > [Leer]
Nachher: 2001:FFA4:ABCD:1234 > 2001:FFA4:ABCD:1234 > MeinHost.Tld
Resultat: Er speichert die Adresse als "2001:FFA4:ABCD:1234:2001:FFA4:ABCD:1234" ab, die Auswahl kann aber nicht geändert werden und das Feld IP-Adresse ist ein Pflichtfeld (und kann nur im IPv6 Format gespeichert werden). Ich kann über MeinHost.Tld auf die ESXi WebGUI zugreifen und der Ping auf MeinHost.Tld gibt 91.92.93.94 zurück. Server-Neustart ändert nichts. 2001:FFA4:ABCD:1234:2001 kann ich aber auch nicht pingen...

Solange die ESXi WebGUI über die Public IP verfügbar ist, kann ich die Adresse ja nicht verwenden... Fällt also wohl flach

Hab mir jetzt parallel auch mal ne Debian VM (VMware) gemacht ohne Client (da ich den beim ded. server auch nicht hätte). Habe soweit alles installiert (https://pve.proxmox.com/wiki/Install_Proxmox_VE_on_Debian_Stretch), was für mich immer ein Krampf ist über SSH weil ich jeden kleinen Pickel aufgrund fehlender GUI erst mal googlen muss (wie root Zugriff über SSH, Paket A fehlt, Paket B fehlt, usw...) - Ende vom Lied, installiert ist alles aber komme nicht auf die WebGUI drauf (http://Lan-IP:8006).

 

[snaxilian]

Installiert hast du also alles, aber hast du die entsprechenden Dienste auch gestartet? Vermutlich nicht, ein Reboot der VM sollte helfen. Ein Windows Programm startet ja auch nicht automatisch nur weil du es installiert hast...
Wenn du aber (offensichtlich) so wenig Kenntnisse im Bereich Serveradministration hast, dann solltest du dir ernsthaft überlegen ob du wirklich einen öffentlich erreichbaren Server betreiben willst.
Du bist verantwortlich den Server abzusichern gegen Zugriff Dritter und zwar nicht nur bei der Installation sondern langfristig. In einer Woche, in einem Monat und auch in einem Jahr. Ja auch dann wenn du eigentlich keine Zeit dafür hast weil du gerade im Urlaub ist oder umziehst oder sonstwas.
Kapert jemand dein System und versendet damit Spam > Du bist verantwortlich.
Kapert jemand dein System und betreibt nen Tor Exit Node > Gut für diejenigen, die darauf angewiesen sind, blöd für dich wenn darüber nicht-legales geschieht, denn du bist ja verantwortlich.
Kapert jemand dein System und vertreibt von da aus "illegale Raubmordtodeskopien" > Du ahnst es, genau du bist verantwortlich.

Sinnvolle Lektüre zu dem Thema: Admins haften

Ich will dir das nicht ausreden, nur denken eben viele: Installiert ist es halbwegs schnell. An die dauerhaften Aufgaben wie eben Wartung und Pflege denkt eben niemand und oft genug passiert nichts aber naja es haben auch schon Leute im Lotto gewonnen und Hobby-Server-Admins wurden abgemahnt (und schlimmeres).

Lies es dir bitte durch und überlege ob es wirklich ein eigener Server sein soll oder ob nicht einer der vielen unzähligen Gameserver, wo man die entsprechenden Slots mietet, nicht auch tut.

 

[Rick7]

Sobald man seinen (privaten) PC ans Netz hängt hat man ein gewisses Risiko, da ich mich u.a. auch mit Trojanern beschäftige, weiß ich auch wie einfach man Firewall / AVs austricksen kann. Und rate mal, auch da bist letztendlich Du verantwortlich wenn über deinen PC was böses passiert

Natürlich habe ich die Dienste und auch die Maschine an sich neugestartet, ganz so weit weg von der IT bin ich dann auch nicht...

Das Thema sollte man nicht unterschätzen, da geb ich Dir Recht, aber Thema Sicherheit, Firewall, Ports zu machen, etc. kann ich ja erst machen, wenn der Server an sich steht und erreichbar ist. Fange ich mit Firewall etc. VORHER an, weiß ich nachher nicht ob nicht die Firewall gerade blockt.

Die Probleme die ich hatte kamen wohl aus der VMware, denn da ich den Server nicht zu müllen wollte, habe ich hierzu bei mir lokal VMs genutzt. Sprich:
Windows 10 (Host) > VMware mit Ubuntu Server > Desktop nachinstalliert > RDP installiert (denn auf den richtigen Server muss ich ja auch was sehen, wenn ich die Win-VM installiere)
Darauf dann KVM und VirtualBox mit einer Windows 7 VM... Und genau hier gab es Probleme (BlueScreen in Win-VM), vermutlich weil die Hardware bereits vírtualisiert war (VMware)...

Naja vorzeitiges Ende vom Lied: Das ganze auf dem Server ausprobiert und beides läuft (KVM und VirtualBox).
Sprich Dedicated Server > Ubuntu > KVM/VBOX > Win7

Die Ports werden von Ubuntu (Public IP) an die Win7 VM weitergeleitet, Performance-Tests stehen noch aus.

Unabhängig davon bin ich noch mit dem Support dran wegen IPv6 und IPv4 bzgl. des VMware ESXi, da ich hier auf (noch) bessere Performance hoffe (da Virtualisierung direkt auf Hardware-Ebene). Vielleicht ist es aber auch umgekehrt und ich habe mir die ganze Mühe umsonst gemacht, wir werden sehen

Danke noch mal an alle, werde erst mal auf Ubuntu bleiben und ESXi noch mal testen, sobald ich eine freie IPv4 Adresse habe.

 

[snaxilian]

Das ist richtig, aber ein reiner PC bietet erst einmal keine öffentlich erreichbaren Dienste an und ist somit nicht direkt erreichbar. Dies minimiert das Risiko deutlich.

Ob eine Firewall blockt, kann man prüfen. Entweder man lässt dies entsprechend in eine Logdatei schreiben oder man erstellt eine LOG Chain und anstatt Pakete zu droppen leitet man diese in die LOG Chain und verwirft die Pakete erst dort und lässt es in ein Logfile schreiben. Ist je nach Aufwand des Regelwerks etwas einfacher und übersichtlicher.

Ubuntu ist btw ziemlich überladen und bringt haufenweise Zeugs mit, dass niemand benötigt. Noch dazu wenn man es mit einem X-Server etc belädt. Ich werde dir jetzt schon sagen können, dass der ESXi eine bessere Leistung liefert als dein Ubuntu. Selbst ein abgespecktes Cent OS mit KVM wird weniger Leistung liefern als ein ESXi.
"Hardware Virtualisierung" nutzen übrigens beide und nennt sich vt-x bzw. amd-v, was du vermutlich meinst ist Typ 1 und 2 Hypervisor.

 

[Rick7]

Das ist richtig, aber ein reiner PC bietet erst einmal keine öffentlich erreichbaren Dienste an und ist somit nicht direkt erreichbar. Dies minimiert das Risiko deutlich.

Aber der Router ist öffentlich erreichbar und verarbeitet erstmal jede Port-Anfrage, und der Router ist ja in den meisten Fällen auch nichts anderes als eine kleine Linux Maschine. Auch wenn der Router sicherlich besser abgesichert ist als eine Standard Ubuntu/Win-Installation

Ubuntu ist btw ziemlich überladen und bringt haufenweise Zeugs mit, dass niemand benötigt. Noch dazu wenn man es mit einem X-Server etc belädt.

Was wäre die Alternative? Ich habe nur eine Auswahl (s.o.) an Linux-Distributionen und benötige eine GUI um die Windows-VM zu erstellen. Im Falle des KVMs reicht die Server-Variante, da man remote über den VirtManager die VM erstellen / managen kann. Allerdings ergab mein Performance-Test (auf dem Server, als auch lokal in einer VM), dass VirtualBox besser / schneller ist: Zeit zum Starten des Gaming-Servers und auch die Ping-Zeit auf dem Server selbst (was vermutlich an den NAT-Settings direkt in der VBOX liegt, ggü dem Standard Portforwarding über Ubuntu).

Ich werde dir jetzt schon sagen können, dass der ESXi eine bessere Leistung liefert

So pauschal ohne die Hardware zu kennen? Hätte ich nur 2-4 GB zur Verfügung wäre ESXi vermutlich je nach Anwendung langsamer (der Gaming-Server braucht viel RAM), da ESXi rund 2 GB RAM für sich selbst benötigt. Aber zum Glück habe ich 32 GB

Meine Idee war folgende:
Ich bestelle 2 weitere IP-Adressen (leider dauert es noch paar Tage bis man die bestellen kann )
#1) ESXi [IP#1] > Linux* [IP#2] > WebServer + TeamSpeak (dauerhaft an)
#2) ESXi [IP#1] > Linux* [IP#3] > Gaming-Server (nur an, wenn #3 aus ist)
#3) ESXi [IP#1] > Windows [IP#3] > Gaming-Server (nur an, wenn #2 aus ist)

* Entweder Linux oder eine vergleichbare Server-Distro

Die IP würde ich doch dann einfach innerhalb der VM (Linux / Win) dem Netzwerk-Adapter (so wie man es mit Netzwerk-IPs machen kann) zuweisen oder? Bzw. muss ich dem ESXi wahrscheinlich erst mal sagen, dass er weitere IP-Adressen hat, da muss ich noch mal schauen.

 

[snaxilian]

Es gibt einige Abhandlungen zur Performance KVM vs ESXi in den letzten Jahren, teils auch wissenschaftliche Arbeiten (typisches BA/MA Material) und da ist der ESXi idR vorne beim Ergebnis. Natürlich ist das keine pauschale Antwort und XEN und KVM haben auch ihre Daseinsberechtigung. Die werden ja nicht grundlos gerade von den großen Cloud-Anbietern gern genutzt aber diese sind auch stark optimiert und angepasst.
Gute und schlanke Alternativen: Debian oder Cent OS und nein du brauchst keine Klickibunti GUI auf dem Server. Du machst von deinem PC aus einen SSH Tunnel zum Server und tunnelst die VNC Konsole durch diese SSH-Verbindung zurück zu dir.
Alternativ einen SSH Client mit x-Server und dann x-Forwarding durch den SSH Tunnel betreiben. Damit kannst du einzelne grafische Programme, z.B. die GUI für KVM durchtunneln und bei dir darstellen lassen und auf dem Server muss weder eine GUI laufen noch muss der Server für Management-Zwecke von extern über weitere Protokolle erreichbar sein.

Ansonsten gibt es sehr viele webbasierte Management-Oberflächen für KVM (https://www.linux-kvm.org/page/Management_Tools). Genau so wie SSH oder sonstige Zugänge müssen diese natürlich passend und sicher konfiguriert werden aber sind immer noch besser als RDP quer durchs Internet.
Oder die unsaubere aber auch gangbare Lösung: RDP durch SSH tunneln.

Ja, die IPs konfigurierst du innerhalb der VMs. Doppelte IPs, wenn auch nie gleichzeitig genutzt, können aber zu Problemen führen: Entweder meckert dein Serveranbieter wegen MAC Flapping (gleiche IP, unterschiedliche MACs) oder du musst für IP#3 beiden VMs die gleiche MAC geben. ESXi meckert dann zumindest immer, Verhalten bei KVM unklar, da ich den Fall noch nicht hatte.
Bei ESXi musst da auch nix durchreichen wie bei deiner Idee, sondern die VMs hängen direkt am Netz. Musst dann natürlich alle drei VMs vernünftig absichern gegen Missbrauch etc.

 

[Rick7]

IP-Adressen sind endlich da und ich konnte einige Performance-Tests machen...
VirtualBox (auf Ubuntu) hat eine bessere Performance als KVM, zum einen CPU-Performance und zum anderen auch Netzwerk-Performance (Ingame-Ping zum Gaming-Server). Der Unterschied zwischen VirtualBox und ESXi ist tatsächlich relativ gleich, je nachdem welche CPU Config ich nutze (Kerne, Sockets, Hardware-Virtualisierung) etc... Das sind aber reine Messwerte, das kann sich "in echt" (mit vielen Playern online etc.) natürlich noch ändern.

Also Ende vom Lied: Mit ESXi kann ich relativ schön meine VMs verwalten und die Performance ist auch gut. VirtualBox würde aber wohl auch reichen.

Achja Thema IPv6 für ESXi und IPv4 für die VM nutzen: Davon wurde mir vom Anbieter dringen abgeraten und scheinbar gab es dafür auch keine Konfiguration (obwohl ich immer noch glaube, dass hätte problemlos funktioniert).

Wegen Sicherheit: Ich habe mir ein Script gebaut, dass mir nur bei Bedarf RDP aktiviert (Aktivierung + Firewall-Regel aktivieren). Den Port habe ich aus Sicherheitsgründen auch geändert. Somit aktiviere ich mir über ESXi RDP nur, wenn ich es wirklich brauche (Zwischenablage zum Beispiel). Ansonsten läuft da nur das, was man auch wirklich benötigt (u.a. WebServer), aber mit entsprechenden Firewall-Regeln. Alles läuft unter einer User-Instanz ohne Admin-Rechte, der Admin-Account wird nicht aktiv genutzt (nur bei Ausführung als Admin mit entsprechendem Passwort).

Noch mal Danke an alle.