Handbuch zur Serverkonfiguration für ESXi - VMware

Handbuch zur Serverkonfiguration für ESXi
Absichern virtueller Maschinen durch VLANs
Das Netzwerk gehört zu den gefährdetsten Teilen eines jeden Systems. Ihre VM-Netzwerk muss genauso wie
ihr physisches Netzwerk geschützt werden. Sie können Ihr Netzwerk der virtuellen Maschinen auf verschiedene
Weise absichern.
Wenn das Netzwerk virtueller Maschinen an ein physisches Netzwerk angeschlossen ist, kann es ebenso Sicherheitslücken
aufweisen wie ein Netzwerk, das aus physischen Computern besteht. Selbst wenn das virtuelle
Maschinennetzwerk nicht an ein physisches Netzwerk angeschlossen ist, kann ein Angriff auf virtuelle Maschinen
innerhalb des Netzwerks von anderen virtuellen Maschinen des Netzwerks aus erfolgen. Die Anforderungen
an die Absicherung virtueller Maschinen sind oft die gleichen wie für physische Maschinen.
Virtuelle Maschinen sind voneinander isoliert. Eine virtuelle Maschine kann weder Lese- noch Schreiboperationen
im Speicher der anderen virtuellen Maschine ausführen noch auf deren Daten zugreifen, ihre Anwendungen
verwenden usw. Im Netzwerk kann jedoch jede virtuelle Maschine oder eine Gruppe virtueller Maschinen
Ziel eines unerlaubten Zugriffs von anderen virtuellen Maschinen sein und daher weiteren Schutzes
durch externe Maßnahmen bedürfen.
Sie können die Sicherheit durch unterschiedliche Maßnahmen erhöhen:
n Hinzufügen von Firewallschutz für das virtuelle Netzwerk durch Installation und Konfiguration von
Softwarefirewalls auf einigen oder allen virtuellen Maschinen im Netzwerk.
Aus Effizienzgründen können Sie private Ethernet-Netzwerke virtueller Maschinen oder Virtuelle Netzwerke
einrichten. Bei virtuellen Netzwerken installieren Sie eine Softwarefirewall auf einer virtuellen
Maschine am Eingang des virtuellen Netzwerks. Diese dient als Schutzpufferzone zwischen dem physischen
Netzwerkadapter und den übrigen virtuellen Maschinen im virtuellen Netzwerk.
Die Installation einer Softwarefirewall auf virtuellen Maschinen am Eingang eines virtuellen Netzwerks
ist eine bewährte Sicherheitsmaßnahme. Da jedoch Softwarefirewalls die Leistung verlangsamen können,
sollten Sie Sicherheitsbedürfnisse und Leistungsanforderungen abwägen, bevor Sie Softwarefirewalls in
anderen virtuellen Maschinen im Netzwerk installieren.
n Beibehalten verschiedener Zonen aus virtuellen Maschinen innerhalb eines Hosts auf verschiedenen
Netzwerksegmenten. Wenn Sie virtuelle Maschinenzonen in deren eigenen Netzwerksegmenten isolieren,
minimieren Sie das Risiko eines Datenverlusts aus einer virtuellen Maschinenzone in die nächste. Die
Segmentierung verhindert mehrere Gefahren. Zu diesen Gefahren gehört auch die Manipulation des Adressauflösungsprotokolls
(ARP), wobei der Angreifer die ARP-Tabelle so manipuliert, dass die MAC- und
IP-Adressen neu zugeordnet werden, wodurch ein Zugriff auf den Netzwerkdatenverkehr vom und zum
Host möglich ist. Angreifer verwenden diese ARP-Manipulierung für Denial of Service-Angriffe (DOS),
zur Übernahme des Zielsystems und zur anderweitigen Beeinträchtigung des virtuellen Netzwerks.
Eine sorgfältige Planung der Segmentierung senkt das Risiko von Paketübertragungen zwischen virtuellen
Maschinenzonen und somit von Spionageangriffen, die voraussetzen, dass dem Opfer Netzwerkdatenverkehr
zugestellt wird. So kann ein Angreifer auch keinen unsicheren Dienst in einer virtuellen Maschinenzone
aktivieren, um auf andere virtuelle Maschinenzonen im Host zuzugreifen. Sie können die
Segmentierung mit einer der beiden folgenden Methoden herstellen, von denen jede andere Vorteile bietet.
n Verwenden Sie getrennte physische Netzwerkadapter für Zonen virtueller Maschinen, damit die Zonen
auch tatsächlich voneinander getrennt sind. Die Beibehaltung getrennter physischer Netzwerkadapter
für die virtuellen Maschinenzonen stellt unter Umständen die sicherste Methode dar, und
gleichzeitig ist sie am wenigsten anfällig für Konfigurationsfehler nach dem Anlegen des ersten Segments.
n Richten Sie virtuelle LANs (VLANs) zur Absicherung des Netzwerks ein. Da VLANs fast alle Sicherheitsvorteile
bieten, die auch die Implementierung physisch getrennter Netzwerke aufweist, ohne
dass dafür der Mehraufwand an Hardware eines physischen Netzwerks notwendig ist, stellen sie
eine rentable Lösung zur Verfügung, die die Kosten für die Bereitstellung und Wartung zusätzlicher
Geräte, Kabel usw. einsparen kann.
150 VMware, Inc.