Quick wins for a faster PC:
Scan for outdated or missing drivers - takes under a minuteDriver Scan →Clear out junk files and repair common Windows errorsFree Scan →Fix the driver behind crashes, sound loss and screen glitchesFind Drivers →Split-Brain entsteht, wenn zwei Teile eines HA-Clusters jeweils glauben, sie seien allein zuständig, und denselben Gast gleichzeitig starten. Verhindert wird das nicht durch eine einzelne Einstellung, sondern durch das Zusammenspiel von Mehrheits-Quorum, stabiler Corosync-Kommunikation und Fencing des isolierten Knotens. Ein QDevice (Quorum-Device) liefert bei gerader Knotenzahl, vor allem im Zwei-Knoten-Cluster, eine zusätzliche Stimme. Es ersetzt weder ein zuverlässiges Netz noch Fencing.
Die Aussagen stützen sich auf die Proxmox-VE-8-Administrationsdokumentation sowie auf offizielle Proxmox-Wiki-Seiten und die pmxcfs-Referenz. Befehle, Paketnamen und Zeitwerte können sich zwischen Versionen ändern. Gleiche sie vor dem Einsatz mit der Dokumentation der Version ab, die du tatsächlich betreibst.
As an Amazon Associate I earn from qualifying purchases.
Die fünf Bausteine und was jeder davon leistet
Im Alltag werden Quorum, Corosync, Fencing, Storage und QDevice oft in einem Atemzug genannt. Sie lösen aber unterschiedliche Probleme. Wer nur einen dieser Bausteine konfiguriert, hat das Split-Brain-Risiko nicht beseitigt.
| Baustein | Aufgabe | Was er allein nicht leistet |
|---|---|---|
| Mehrheits-Quorum | Entscheidet, welche Partition Clusteroperationen fortsetzen darf | Stoppt keine Gäste auf einem abgetrennten Knoten |
| Corosync-Kommunikation | Hält Mitgliedschaft und Zustandsmeldungen zwischen den Knoten synchron | Ändert durch redundante Netze nichts an den Quorumregeln |
| Fencing | Bringt einen isolierten HA-Knoten zum Stillstand, bevor Gäste anderswo starten | Sorgt nicht dafür, dass Gastdaten am Zielknoten vorhanden sind |
| Storage-Verfügbarkeit | Stellt VM-Disks und benötigte Geräte am wiederherstellenden Knoten bereit | Liefert keine Stimme und keine Mehrheit |
| QDevice | Liefert bei gerader Knotenzahl eine zusätzliche Stimme | Ersetzt weder ein belastbares Netz noch Fencing |
Quorum: Die Mehrheit entscheidet, nicht der einzelne Knoten
Ein Proxmox-Cluster kann Operationen nur fortsetzen, wenn eine Partition genug Stimmen auf sich vereinigt. Fällt ein Knoten aus, ist das für einen Cluster mit drei oder mehr Knoten meist unkritisch, weil die verbleibenden Knoten weiterhin die Mehrheit bilden. Bei zwei Knoten ist die Lage anders: Fällt einer aus, bleibt dem anderen eine Stimme von zwei. Ohne weitere Stimme hat er keine Mehrheit.
#1 Best Overall
Bei Quorumverlust wird das Clusterdateisystem pmxcfs schreibgeschützt. Das schützt davor, dass zwei Teilcluster die gemeinsame Konfiguration widersprüchlich verändern. Laufende Gäste werden dadurch nicht automatisch angehalten; der Schutz betrifft die Clusterkonfiguration. Die pmxcfs-Referenz auf pve-docs-9-beta (Version 9.0.6, Stand 31. Juli 2025) stammt aus der Beta-Dokumentation zu Proxmox VE 9. Für eine Proxmox-VE-8-Installation ist das Verhalten im Administration Guide derselben Version maßgeblich.
Den aktuellen Zustand prüfst du auf einem Clusterknoten mit pvecm status. Achte auf die Zeile „Quorate“, auf die erwartete Stimmenzahl und auf die Gesamtzahl der Stimmen.
Zwei-Knoten-Cluster und das QDevice
Das QDevice ist ein externer Entscheider, der bei gerader Knotenzahl eine zusätzliche Stimme einbringt. Es ist kein Ersatz für einen dritten Knoten mit eigenem Betrieb, sondern ein Schiedsrichter für Partitionen.
Free tools Windows power users keep installed
One-click scans. No signup required.
Wann ein QDevice sinnvoll ist
- Der Cluster hat eine gerade Anzahl von Knoten. Der Proxmox VE 8 Administration Guide unterstützt QDevices für solche Cluster.
- Bei einem Zwei-Knoten-Cluster empfiehlt Proxmox das QDevice, wenn höhere Verfügbarkeit erreicht werden soll (Proxmox VE 8 Administration Guide).
- Der qnetd-Host ist ein eigenes System außerhalb der Clusterknoten. Er sollte von beiden Seiten unabhängig erreichbar sein, sonst fehlt die Schiedsstimme genau dann, wenn sie gebraucht wird.
Für eine ungerade Knotenzahl rät Proxmox laut demselben Guide derzeit vom QDevice ab. Das Abstimmungsverhalten ist dann anders, und fällt qnetd aus, kann bereits der Ausfall eines einzelnen Clusterknotens zum Quorumverlust führen. Der Guide nennt außerdem mögliche Folgen einer massenhaften HA-Wiederherstellung und die Ceph-Verfügbarkeit als Risiken, die bei der Planung zu berücksichtigen sind.
Einrichtung in fünf Schritten
- Installiere das Paket
corosync-qnetdauf dem externen Server, der die Schiedsstimme liefert. - Stelle sicher, dass der TCP-Port 5403 des qnetd-Servers von allen Clusterknoten erreichbar ist. Der Port ist im Administration Guide für qnetd dokumentiert.
- Installiere das Paket
corosync-qdeviceauf allen Clusterknoten. - Richte das QDevice von einem Clusterknoten aus ein:
pvecm qdevice setup <QDEVICE-IP>. Der Guide verlangt verschlüsselten Verkehr zwischen Daemon und Cluster; die Einrichtung folgt dem im Proxmox VE 8 Administration Guide beschriebenen Verfahren. - Kontrolliere das Ergebnis mit
pvecm status. Das QDevice muss als Stimme erscheinen, und die Gesamtzahl der Stimmen muss der Knotenzahl plus eins entsprechen.
Prüfe Paketnamen und Befehlsdetails gegen die installierte Version. Bei neueren Proxmox-Releases kann sich der Ablauf ändern.
Der Gleichstand: Was passiert, wenn beide Seiten den qnetd erreichen
Fällt die Verbindung zwischen zwei gleich großen Partitionen aus, beide Seiten aber den qnetd-Server erreichen, wählt das QDevice laut Administration Guide zufällig eine Partition aus und gibt ihr die Stimme. Die Entscheidung ist nicht deterministisch. Es gibt keine bevorzugte Seite, und der Administrator kann nicht vorhersagen, welcher Knoten überlebt.
Daraus folgt eine konkrete Designregel. Beide Knoten müssen so eingerichtet sein, dass die HA-Gäste auf jedem von ihnen laufen können. Sind die Disks eines Gasts nur auf einem Knoten verfügbar, wird der Gast nach einem Gleichstand unter Umständen nicht wiederhergestellt, obwohl das Quorum regulär entschieden hat.
Ausfall des QDevice
Fällt der qnetd-Server aus, entspricht die Lage laut Guide der Situation ohne QDevice. Im Zwei-Knoten-Cluster bedeutet das: Fällt ein Knoten aus, hat der verbleibende keine Mehrheit. Das ist kein Fehler des QDevice, sondern die vorgesehene Schutzwirkung des Quorums. Plane daher Überwachung für den qnetd-Host und die Verbindung zu Port 5403 ein.
Corosync-Netz: Latenz, Trennung und Redundanz
Corosync braucht ein stabiles Netz mit niedriger Latenz. Die Proxmox-Wiki-Seite zur Netzwerkkonfiguration (Network Configuration) empfiehlt mehrere Corosync-Netze. Fällt eines unbrauchbar aus, kann Corosync auf ein anderes wechseln. Das verringert das Risiko eines Kommunikationsausfalls.
- Dediziertes Netz: Storage- und Backupverkehr können Latenzspitzen verursachen, die Corosync als Ausfall deutet. Trenne diesen Verkehr vom Corosync-Netz.
- Mehrere Links: Redundanz verbessert die Verfügbarkeit der Kommunikation, ändert aber keine Quorumregeln. Ein Cluster mit zwei Links und zwei Knoten bleibt ein Zwei-Knoten-Cluster.
Self-Fencing und die HA-Zeitabläufe
Der Schutz gegen doppelte Gäste liegt im Zusammenspiel von Quorum und Fencing. Laut der Proxmox-Wiki-Übersicht zur Hochverfügbarkeit (Migrate to Proxmox VE, Abschnitt High Availability, Autor: Proxmox Server Solutions GmbH) wartet ein Knoten, der den Kontakt zum quoraten Cluster verliert, zunächst auf eine Wiederverbindung. Kehrt sie nicht zurück, fenced er sich selbst. Die Wiki-Seite formuliert das so: „If not, the node will fence itself.“
Die Übersicht nennt außerdem Richtwerte, die als Orientierung und nicht als garantierte Werte zu lesen sind:
Outdated Drivers Are Slowing You Down
One free scan finds every outdated or missing driver and matches the right update for your exact hardware.Free scan · exact hardware matchWindows Errors? Fix Them Before They Spread
Repair common Windows errors and clear accumulated junk for a smoother, more stable PC - no reinstall needed.Free scan · no reinstall- etwa 10 Sekunden für Presence-Meldungen,
- etwa eine Minute bis zum Self-Fencing nach Verlust des Corosync-Kontakts,
- etwa zwei Minuten, bis der Cluster Gäste eines nicht zurückkehrenden Knotens wiederherstellt.
Diese Werte hängen von Version und Konfiguration ab. Für Planung und Service-Zusagen sind sie daher nur ein Ausgangspunkt. Miss die Zeiten in deiner Umgebung, bevor du Erwartungen an Ausfallzeiten formulierst.
Independent reader supportYour contribution helps us test, update, and keep practical guides available for everyone.Storage: Ein Gast muss am Zielknoten laufen können
Quorum stellt keine Gastdaten bereit. Für automatische Wiederherstellung müssen VM-Disk-Images und andere benötigte Ressourcen am Zielknoten verfügbar sein. Gemeinsam genutzter Storage macht Images für mehrere Knoten zugänglich. In kleineren Clustern kann ZFS-Replikation eine Alternative sein. Die Proxmox-Übersicht bezeichnet sie als asynchron: Änderungen seit dem letzten erfolgreichen Replikationslauf fehlen auf dem Zielknoten. Die Speicherreferenz pvesm(1) beschreibt das Storage-Modell in der Version-7-Dokumentation und sollte für neuere Versionen gegen die aktuelle Referenz geprüft werden.
Passthrough-Geräte gehören ebenfalls auf die Prüfliste. Ein Gast, der ein Gerät nur auf dem Ausgangsknoten nutzen kann, startet auf dem Zielknoten nicht.
Manuelle Wiederherstellung eines nicht HA-verwalteten Gasts
- Stelle sicher, dass der Quellknoten ausgeschaltet oder gefenced ist. Prüfe das am Knoten selbst, nicht nur an der Weboberfläche des Clusters.
- Verschiebe erst danach die VM-Konfiguration auf den Zielknoten. Proxmox warnt, dass dieser Schritt bei noch laufendem Quellknoten die Sperrregeln verletzen und unerwartete Folgen haben kann.
- Starte den Gast auf dem Zielknoten und prüfe, ob alle Disks und Geräte dort verfügbar sind.
Gäste mit lokalen Disks oder nur lokal verfügbaren Ressourcen lassen sich auf diesem Weg nicht wiederherstellen. Für sie hilft nur eine vorbereitete Replikation oder Sicherung mit bekanntem Stand.
Fehlerbilder und erste Prüfschritte
| Symptom | Wahrscheinliche Ursache | Erster Schritt |
|---|---|---|
| Clusterkonfiguration lässt sich nicht ändern, Gäste laufen weiter | Quorumverlust, pmxcfs ist schreibgeschützt | pvecm status auf einem erreichbaren Knoten ausführen und Stimmen zählen |
| Knoten fenced sich nach einem Netzausfall | Corosync-Kontakt ist länger als die Wartezeit ausgefallen | Corosync-Netz und seine Latenz prüfen, Storage- und Backupverkehr vom Corosync-Netz trennen |
| QDevice liefert nach einem Ausfall keine Stimme | qnetd-Host oder Port 5403 nicht erreichbar | Verbindung von den Clusterknoten zum qnetd-Server auf Port 5403 testen |
| Gast startet auf dem Zielknoten nicht | Disk, Passthrough-Gerät oder lokale Ressource nur auf dem Ausgangsknoten | Storage-Verfügbarkeit und Gerätezuordnung auf dem Zielknoten prüfen |
Ein Ausfall des Netzes ist im Zwei-Knoten-Fall immer auch eine Entscheidung des Quorums. Plane deshalb nicht nur die Konfiguration, sondern auch die Frage, welcher Knoten nach einer Partition Gäste übernehmen darf und welche Ressourcen er dafür braucht.
Quick Recap
Product prices and availability are accurate as of the date/time indicated and are subject to change. Any price and availability information displayed on Amazon at the time of purchase will apply.
