Handbuch zur Serverkonfiguration für ESXi - VMware

Netzwerke, die über vCenter Server konfiguriert werden, können Daten über den vSphere-Client oder Netzwerkverwaltungs-Clients
von Drittanbietern erhalten, die über das SDK eine Schnittstelle zum Host einrichten.
Während des normalen Betriebs wartet vCenter Server an bestimmten Ports auf Daten von verwalteten Hosts
und Clients. vCenter Server geht auch davon aus, dass die verwalteten Hosts an bestimmten Ports auf Daten
von vCenter Server warten. Wenn sich zwischen diesen Elementen eine Firewall befindet, muss sichergestellt
werden, dass Firewall-Ports für den Datenverkehr geöffnet wurden.
Firewalls können auch an vielen anderen Zugriffspunkten im Netzwerk installiert werden. Dies hängt von der
Sicherheitsebene, die für die verschiedenen Geräte benötigt wird, sowie davon ab, wie das Netzwerk genutzt
werden soll. Bestimmen Sie die Installationspunkte für Ihre Firewalls anhand der Sicherheitsrisiken, die eine
Analyse der Netzwerkkonfiguration ergeben hat. Die folgende Liste führt verschiedene Installationspunkte
für Firewalls auf, die in ESXi-Implementierungen häufig auftreten. Viele der Installationspunkte für Firewalls
in der Liste und Abbildung 12-1 sind optional.
n Zwischen dem vSphere-Client oder einem Netzwerkverwaltungs-Client eines Drittanbieters und vCenter
Server.
n Wenn die Benutzer über den vSphere-Client auf virtuelle Maschinen zugreifen, zwischen dem vSphere-
Client und dem ESXi-Host. Diese Verbindung ist ein Zusatz zu der Verbindung zwischen dem vSphere-
Client und vCenter Server und benötigt einen anderen Port.
n Zwischen vCenter Server und den ESXi-Hosts.
n Zwischen den ESXi-Hosts in Ihrem Netzwerk. Zwar ist der Datenverkehr zwischen Hosts normalerweise
vertrauenswürdig, aber Sie können bei befürchteten Sicherheitsrisiken zwischen den einzelnen Computern
dennoch Firewalls zwischen den Hosts installieren.
Wenn Sie Firewalls zwischen ESXi-Hosts verwenden und virtuelle Maschinen auf einen anderen Server
verschieben, klonen oder VMotion verwenden möchten, müssen Sie auch Ports in allen Firewalls zwischen
Quell- und Zielhost öffnen, damit Quelle und Ziel miteinander kommunizieren können.
n Zwischen ESXi-Hosts und Netzwerkspeicher, z. B. NFS- oder iSCSI-Speicher. Diese Ports sind nicht
VMware-spezifisch und werden anhand der Spezifikationen für das jeweilige Netzwerk konfiguriert.
Firewalls für Konfigurationen ohne vCenter Server
Wenn Sie Clients direkt an Ihr ESXi-Netzwerk anbinden anstatt über vCenter Server, gestaltet sich die Konfiguration
Ihrer Firewall etwas einfacher.
Firewalls können an jeder der in Abbildung 12-2 gezeigten Stellen installiert werden.
Kapitel 12 Absichern einer ESXi-Konfiguration
HINWEIS Abhängig von der Konfiguration sind ggf. nicht alle in der Abbildung dargestellten Firewalls notwendig,
oder es sind zusätzliche, nicht dargestellte Firewalls nötig.
VMware, Inc. 145