Handbuch zur Serverkonfiguration für ESXi - VMware

Handbuch zur Serverkonfiguration für ESXi
Sicherheitsempfehlungen für VLANs
Wie Sie die VLANs einrichten, um Teile eines Netzwerks abzusichern, hängt von Faktoren wie dem Gastbetriebssystem
und der Konfiguration der Netzwerkgeräte ab.
ESXi ist mit einer vollständigen VLAN-Implementierung nach IEEE 802.1q ausgestattet. Zwar kann VMware
keine spezifischen Empfehlungen aussprechen, wie die VLANs eingerichtet werden sollten, es sollten jedoch
bestimmte Faktoren berücksichtigt werden, wenn ein VLAN ein Bestandteil Ihrer Sicherheitsrichtlinien ist.
VLANs im Rahmen eines Sicherheitspakets
Mit VLANs kann effektiv gesteuert werden, wo und in welchem Umfang Daten im Netzwerk übertragen
werden. Wenn ein Angreifer Zugang zum Netzwerk erlangt, wird der Angriff mit hoher Wahrscheinlichkeit
nur auf das VLAN beschränkt, das als Zugangspunkt diente, wodurch das Risiko für das gesamte Netzwerk
verringert wird.
VLANs bieten nur dadurch Schutz, dass sie steuern, wie Daten weitergeleitet und verarbeitet werden, nachdem
sie die Switches passiert haben und sich im Netzwerk befinden. Sie können VLANs dazu nutzen, die 2.
Schicht des Netzwerkmodells, die Sicherungsschicht, zu schützen. Die Einrichtung von VLANs schützt jedoch
weder die Bitübertragungsschicht noch die anderen Schichten. Auch bei der Verwendung von VLANs sollten
Sie zusätzlichen Schutz durch Absicherung der Hardware (Router, Hubs usw.) und Verschlüsselung der Datenübertragungen
implementieren.
VLANs ersetzen Softwarefirewalls in den Konfigurationen virtueller Maschinen nicht. In den meisten Netzwerkkonfigurationen
mit VLANs gibt es auch Softwarefirewalls. Wenn Sie VLANs in Ihr virtuelles Netzwerk
implementieren, stellen Sie sicher, dass die installierten Firewalls SAN-fähig sind.
Ordnungsgemäßes Konfigurieren von VLANs
Eine Fehlkonfiguration der Ausstattung und Netzwerkhardware, -firmware oder -software setzt ein VLAN
möglichen VLAN-Hopping-Angriffen aus.
VLAN-Hopping tritt dann auf, wenn ein Angreifer mit autorisiertem Zugriff auf ein VLAN Datenpakete erstellt,
die die physischen Switches dazu bringen, die Pakete in ein anderes VLAN zu übertragen, für das der
Angreifer keine Zugriffsberechtigung besitzt. Anfälligkeit für diese Art von Angriffen liegt meist dann vor,
wenn ein Switch falsch für den nativen VLAN-Betrieb konfiguriert wurde, wodurch der Switch nicht gekennzeichnete
Pakete empfangen und übertragen kann.
Um ein VLAN-Hopping zu verhindern, aktualisieren Sie stets Ihre Umgebung, indem Sie Updates der Hardware
und Firmware sofort aufspielen. Achten Sie bei der Konfiguration Ihrer Umgebung auch stets auf die
Einhaltung der Empfehlungen des Herstellers.
Virtuelle Switches von VMware unterstützen nicht das Konzept nativer VLANs. Alle Daten, die über diese
Switches übertragen werden, müssen ordnungsgemäß gekennzeichnet werden. Da es jedoch im Netzwerk
auch andere Switches geben kann, die für den nativen VLAN-Betrieb konfiguriert wurden, können VLANs
mit virtuellen Switches dennoch anfällig für VLAN-Hopping sein.
Wenn Sie VLANs zur Netzwerksicherung verwenden möchten, deaktivieren Sie die native VLAN-Funktion
für alle Switches, sofern nicht ein zwingender Grund vorliegt, dass einige VLANs im nativen Modus betrieben
werden müssen. Wenn Sie ein natives VLAN verwenden müssen, beachten Sie die Konfigurationsrichtlinien
des Switch-Herstellers für diese Funktion.
152 VMware, Inc.