Ubuntu Proxmox Virtualização Linux Infraestrutura Servidores Automação Segurança

Ubuntu 26.04 LTS + Proxmox: guia prático para o stack de virtualização 2026

Redacción Ayuda.LA
Ubuntu 26.04 LTS + Proxmox: guia prático para o stack de virtualização 2026

O Ubuntu 26.04 LTS é a última release de suporte estendido da Canonical, e chega em um momento em que a virtualização em infraestruturas de porte médio (o espaço onde opera a maioria dos ISPs e empresas de TI na América Latina) está amadurecendo rapidamente. O kernel 7.0, o suporte a Intel TDX para computação confidencial, e as melhorias na integração com ferramentas de automação fazem desta versão uma atualização que vale a pena adotar com critério.

Para quem usa Proxmox VE como plataforma de hypervisor (a alternativa open source mais usada no segmento ISP e datacenter de escala média na América Latina), o Ubuntu 26.04 como sistema operacional guest é hoje a combinação com melhor suporte, melhor integração com QEMU/KVM, e mais opções de automação.

Este guia cobre os elementos práticos dessa combinação.

O que há de novo no Ubuntu 26.04 LTS

Kernel 7.0: o que muda para infraestrutura

O kernel 7.0 do Linux é uma evolução significativa sobre a linha 6.x, com mudanças relevantes para workloads de virtualização e infraestrutura:

Scheduler melhorado (EEVDF): O scheduler EEVDF (Earliest Eligible Virtual Deadline First) substitui o CFS como scheduler padrão. Em workloads de virtualização mista (VMs de alta e baixa prioridade no mesmo host), o EEVDF melhora a distribuição de CPU e reduz a latência das VMs interativas sem sacrificar o throughput das VMs de processamento em lote.

io_uring maduro: O io_uring alcançou suporte completo para as operações de I/O mais comuns, incluindo operações de rede. Para o Proxmox, a interface de I/O dos discos de VMs se beneficia da menor latência e do menor custo de CPU do io_uring comparado com o subsistema de AIO clássico.

Melhorias em KVM e VFIO: O subsistema KVM recebe melhorias na gestão de memória EPT (Extended Page Tables) que reduzem o overhead de memória em hosts com muitas VMs pequenas. O VFIO (para passthrough de hardware) melhora a estabilidade e o suporte a PCI-e 5.0.

eBPF como cidadão de primeira classe: As capacidades do eBPF continuam se expandindo, com melhorias no JIT compiler e nas interfaces de mapa. Para networking no Proxmox (OVS, VLAN, bridges), o eBPF permite implementar funções de monitoramento e filtragem com overhead mínimo.

Intel TDX: virtualização confidencial em produção

O Intel TDX (Trust Domain Extensions) é a implementação da Intel do que se chama Trusted Execution Environment (TEE) para VMs completas. A ideia central: uma VM TDX (“TD” na nomenclatura da Intel) roda em um ambiente onde o hypervisor não consegue acessar a memória nem o estado do processador da VM, mesmo que o hypervisor esteja comprometido.

Isso resolve um problema que não existe na maioria das infraestruturas pequenas, mas que é muito relevante em três contextos específicos:

Hospedagem de clientes em infraestrutura compartilhada: Se sua empresa oferece VPS ou servidores dedicados virtuais para terceiros, o TDX permite garantir a esses clientes que o operador do hypervisor não pode ler sua memória. É o equivalente técnico de “nem nós conseguimos ver o que roda na sua VM”.

Compliance e dados sensíveis: Workloads com requisitos de compliance rígidos (processamento de dados financeiros, dados de saúde, dados pessoais sob legislações como a Lei de Proteção de Dados da Argentina, a LGPD do Brasil, ou o GDPR aplicável a empresas regionais com presença na Europa) podem se beneficiar das garantias criptográficas do TDX.

Computação confidencial multi-tenant: Em arquiteturas onde múltiplas organizações compartilham infraestrutura e não confiam entre si, o TDX isola os workloads de forma verificável.

Requisitos para usar TDX:

  • Processador Intel Xeon Scalable de 4a geração (Sapphire Rapids) ou posterior com suporte TDX habilitado na BIOS
  • Ubuntu 26.04 como host e como guest (ambos devem suportar TDX)
  • Proxmox VE 9.x ou posterior com suporte TDX ativo no QEMU
  • BIOS com TDX habilitado (geralmente requer configuração explícita em sistemas Dell, HPE, Supermicro)

Se seu hardware atual é de geração anterior (Ice Lake, Cascade Lake), o TDX não se aplica. Para a maioria das infraestruturas ISP na América Latina, o TDX é uma tecnologia para manter no radar mas não um requisito imediato. Isso muda se você está no negócio de IaaS ou se tem clientes com requisitos de compliance rígidos.

Proxmox VE 9.x: a plataforma

O Proxmox VE é o hypervisor open source baseado em KVM/QEMU com gestão LXC e uma interface web completa. A versão 9.x, que roda sobre Debian Bookworm (12), é a versão estável atual e a recomendada para novas instalações.

Compatibilidade com Ubuntu 26.04 como guest: O Proxmox VE 9.x inclui suporte completo para o Ubuntu 26.04 como sistema operacional de VM. O kernel 7.0 do Ubuntu 26.04 é compatível com o backend virtio, o driver de rede e1000e/virtio-net, e o driver de disco virtio-scsi que o Proxmox usa por padrão.

Templates de VM: O Proxmox tem um sistema de templates que permite clonar VMs pré-configuradas. O Ubuntu 26.04 pode ser configurado como template base para provisionar novas instâncias em segundos.

Preparar o Ubuntu 26.04 como template no Proxmox

O fluxo de trabalho recomendado para ter um template Ubuntu 26.04 pronto para clonar:

Passo 1: Baixar a cloud image oficial

A Canonical publica imagens cloud (cloud images) do Ubuntu 26.04 em formato qcow2, otimizadas para uso com KVM/QEMU. Essas imagens incluem cloud-init pré-instalado:

# En el host Proxmox, descargar la imagen cloud oficial
wget https://cloud-images.ubuntu.com/noble/current/noble-server-cloudimg-amd64.img \
  -O /var/lib/vz/template/ubuntu-26.04-cloud.img

(Substitua “noble” pelo codinome real do Ubuntu 26.04 quando estiver disponível. As cloud images do Ubuntu estão sempre em cloud-images.ubuntu.com.)

Passo 2: Criar a VM base no Proxmox

# Crear la VM con ID 9001 (usar un ID fuera del rango de VMs de producción)
qm create 9001 \
  --name ubuntu-26.04-template \
  --memory 2048 \
  --cores 2 \
  --net0 virtio,bridge=vmbr0 \
  --ostype l26 \
  --agent enabled=1 \
  --serial0 socket \
  --vga serial0

# Importar el disco de la cloud image al storage local-lvm
qm importdisk 9001 /var/lib/vz/template/ubuntu-26.04-cloud.img local-lvm

# Configurar el disco importado como disco de arranque
qm set 9001 \
  --scsihw virtio-scsi-pci \
  --scsi0 local-lvm:vm-9001-disk-0,cache=writeback,discard=on

# Configurar boot y cloud-init
qm set 9001 \
  --boot c \
  --bootdisk scsi0 \
  --ide2 local-lvm:cloudinit

# Configurar opciones cloud-init
qm set 9001 \
  --ciuser ubuntu \
  --cipassword "" \
  --sshkeys /root/.ssh/authorized_keys \
  --ipconfig0 ip=dhcp

# Habilitar QEMU guest agent
qm set 9001 --agent enabled=1

# Convertir a template
qm template 9001

Passo 3: Clonar o template para novas instâncias

# Clonar el template con un nuevo ID
qm clone 9001 101 --name nueva-vm --full

# Ajustar recursos del clon si es necesario
qm set 101 --memory 4096 --cores 4

# Redimensionar el disco
qm resize 101 scsi0 +20G

# Iniciar la VM
qm start 101

Automação com NoCloud templates

O cloud-init é o padrão de facto para configuração inicial de VMs em ambientes cloud e on-premise. O Ubuntu 26.04 inclui cloud-init pré-instalado nas cloud images. O datasource NoCloud é o que o Proxmox usa quando configura as opções de cloud-init através da interface web ou da API.

O NoCloud funciona apresentando à VM uma imagem ISO (um disco virtual) com dois arquivos:

  • user-data: configuração de usuário, pacotes, comandos a executar
  • meta-data: informações da instância (hostname, ID)

O Proxmox gera automaticamente essa ISO quando você configura as opções de cloud-init na VM. Mas para automação mais avançada, você pode criar seu próprio user-data:

Exemplo de user-data para um servidor de networking ISP

#cloud-config
hostname: noc-server-01
fqdn: noc-server-01.ejemplo.isp

users:
  - name: admin
    groups: sudo
    shell: /bin/bash
    ssh_authorized_keys:
      - ssh-ed25519 AAAA... [email protected]
    sudo: ALL=(ALL) NOPASSWD:ALL

package_update: true
package_upgrade: true
packages:
  - qemu-guest-agent
  - git
  - vim
  - htop
  - net-tools
  - tcpdump
  - mtr-tiny
  - iperf3
  - prometheus-node-exporter
  - zabbix-agent2

runcmd:
  - systemctl enable qemu-guest-agent
  - systemctl start qemu-guest-agent
  - systemctl enable prometheus-node-exporter
  - systemctl start prometheus-node-exporter
  - timedatectl set-timezone America/Argentina/Buenos_Aires

write_files:
  - path: /etc/zabbix/zabbix_agent2.conf.d/isp-noc.conf
    content: |
      Server=10.0.0.100
      ServerActive=10.0.0.100
      Hostname=noc-server-01

final_message: "VM lista: $UPTIME segundos desde boot"

Snippets de cloud-init no Proxmox

O Proxmox permite definir “snippets” de cloud-init que podem ser reutilizados. Para usá-los:

# En el host Proxmox, guardar el user-data en el directorio de snippets
cat > /var/lib/vz/snippets/base-noc-server.yaml << 'EOF'
#cloud-config
# ... contenido del user-data ...
EOF

# Al clonar la VM, especificar el snippet
qm set 101 --cicustom "user=local:snippets/base-noc-server.yaml"

Com esse fluxo, o provisionamento de um novo servidor desde o template até ter o agente de monitoramento e todas as ferramentas de rede instaladas leva menos de cinco minutos e não requer intervenção manual.

Integração com Ansible para gestão em escala

Para ambientes com múltiplos hosts Proxmox (clusters) e dezenas ou centenas de VMs, a gestão manual de templates e clones não escala. A combinação natural é Proxmox + cloud-init + Ansible:

# playbook: provision_vm.yml
- name: Clonar y configurar nueva VM
  hosts: proxmox_host
  tasks:
    - name: Clonar template
      community.general.proxmox_kvm:
        api_host: proxmox.ejemplo.isp
        api_user: root@pam
        api_token_id: ansible
        api_token_secret: ""
        clone: ubuntu-26.04-template
        name: ""
        newid: ""
        full: true
        node: pve01
        storage: local-lvm

    - name: Configurar recursos
      community.general.proxmox_kvm:
        api_host: proxmox.ejemplo.isp
        api_user: root@pam
        api_token_id: ansible
        api_token_secret: ""
        vmid: ""
        memory: ""
        cores: ""
        ipconfig:
          ipconfig0: "ip=/24,gw="
        ciuser: admin
        sshkeys: ""
        update: true

    - name: Iniciar VM
      community.general.proxmox_kvm:
        api_host: proxmox.ejemplo.isp
        api_user: root@pam
        api_token_id: ansible
        api_token_secret: ""
        vmid: ""
        state: started

O módulo community.general.proxmox_kvm do Ansible permite gerenciar todo o ciclo de vida das VMs: criação, configuração, inicialização, parada e exclusão.

Hardening do Ubuntu 26.04 para ambientes de produção

O Ubuntu 26.04 inclui diversas melhorias de segurança por padrão, mas para produção vale a pena aplicar configuração adicional:

AppArmor ativo por padrão

O Ubuntu mantém o AppArmor (Linux Security Modules) ativo com perfis para os serviços mais comuns. Verifique se os perfis relevantes estão em modo enforce:

# Ver estado de los perfiles
apparmor_status

# Ver perfiles en modo complain (no aplica restricciones)
apparmor_status --complaining

Para serviços críticos sem perfil AppArmor existente, você pode gerar um com aa-genprof.

Hardening de SSH

# /etc/ssh/sshd_config.d/hardening.conf
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
MaxAuthTries 3
LoginGraceTime 30
ClientAliveInterval 300
ClientAliveCountMax 2
AllowUsers admin

Firewall com nftables

O Ubuntu 26.04 usa nftables como backend padrão para o ufw. Para servidores de infraestrutura, configure regras mínimas:

# Habilitar ufw
ufw default deny incoming
ufw default allow outgoing

# Permitir SSH solo desde la red de gestión
ufw allow from 10.0.0.0/24 to any port 22 proto tcp

# Permitir monitoreo (Zabbix Agent, Prometheus)
ufw allow from 10.0.0.100 to any port 10050 proto tcp
ufw allow from 10.0.0.101 to any port 9100 proto tcp

ufw enable

Atualizações de segurança automáticas

# Instalar unattended-upgrades
apt install unattended-upgrades

# Configurar para aplicar actualizaciones de seguridad automáticamente
dpkg-reconfigure -pmedium unattended-upgrades

Para servidores críticos de produção, as atualizações automáticas podem ser arriscadas sem testes prévios. A alternativa é configurar o unattended-upgrades apenas para patches de segurança (não para upgrades de versão) e manter um processo de revisão manual mensal.

Migração a partir do Proxmox no Debian Bookworm

Se você tem um cluster Proxmox existente rodando sobre Debian Bookworm (a base do Proxmox VE 8.x), a migração das VMs para o novo stack envolve duas dimensões separadas:

Migração do host Proxmox (não é necessária imediatamente): O host Proxmox pode permanecer no Debian Bookworm sem necessidade de migrar para o Ubuntu 26.04 como sistema operacional do hypervisor. O Proxmox como produto roda sobre Debian, não sobre Ubuntu. O Ubuntu 26.04 se aplica como sistema operacional das VMs guest, não do host.

Atualização de templates de VM: Se você tem templates do Ubuntu 22.04 LTS ou 24.04 LTS em produção, a estratégia recomendada é:

  1. Criar um novo template limpo do Ubuntu 26.04 em paralelo.
  2. Para novas VMs, usar o template 26.04.
  3. Para VMs existentes e críticas, avaliar upgrade in-place vs. reprovisionamento caso a caso.

O upgrade in-place do Ubuntu 24.04 para 26.04 é possível com do-release-upgrade, mas em VMs de produção com configurações complexas, reprovisionar com o template novo e restaurar dados/configuração costuma ser mais previsível.

O que recomendamos na prática

Na Ayuda.LA trabalhamos com equipes de infraestrutura que gerenciam clusters Proxmox com entre 20 e 200 VMs. O que tem maior impacto na eficiência operacional não é a versão específica do kernel ou do SO guest: é a consistência do processo de provisionamento.

Um template bem construído com cloud-init, com o agente Zabbix instalado e configurado desde o primeiro boot, com chaves SSH distribuídas corretamente, e com políticas de firewall básicas, vale mais do que uma atualização de versão sem processo documentado.

O Ubuntu 26.04 LTS é uma boa desculpa para revisar e formalizar esse processo se ainda não foi feito. As releases LTS têm suporte por cinco anos (e dez com Extended Security Maintenance), o que as torna a base correta para infraestrutura de produção: você não vai ficar atualizando o SO de todas as suas VMs a cada seis meses.

Conheça mais sobre nossos serviços de virtualização e automação de infraestrutura.

Quer modernizar seu stack de virtualização?

Podemos avaliar sua configuração atual do Proxmox, projetar um processo de provisionamento com cloud-init e Ansible, e acompanhar você na migração para o Ubuntu 26.04 LTS como base das suas VMs de produção.

Vamos conversar sobre sua infraestrutura →

Tem perguntas sobre Proxmox, Ubuntu ou automação de VMs? Escreva para [email protected] — respondemos todas as mensagens.