Handbuch zur Serverkonfiguration für ESXi - VMware

Schutz durch virtuelle Switches in VLANs
Die virtuellen Switches von VMware schützen gegen bestimmte Bedrohungen der VLAN-Sicherheit. Durch
den Aufbau der virtuellen Switches schützen sie VLANs gegen viele Arten von Angriffen, die meist auf VLAN-
Hopping basieren.
Dieser Schutz garantiert jedoch nicht, dass Ihre virtuellen Maschinen gegen andere Arten von Angriffen immun
sind. So schützen virtuelle Switches zum Beispiel nicht das physische Netzwerk vor diesen Angriffen,
sie schützen nur das virtuelle Netzwerk.
Virtuelle Switches und VLANs können gegen folgende Arten von Angriffen schützen:
MAC-Flooding Diese Angriffe überschwemmen den Switch mit Datenpaketen, die MAC-Adressen
enthalten, die als von verschiedenen Quellen stammend gekennzeichnet
wurden. Viele Switches verwenden eine assoziative Speichertabelle (CAM-Tabelle),
um die Quelladresse für jedes Datenpaket zu speichern. Wenn die Tabelle
voll ist, schaltet der Switch ggf. in einen vollständig geöffneten Status um,
in dem alle eingehenden Pakete auf allen Ports übertragen werden, sodass der
Angreifer den gesamten Datenverkehr des Switches verfolgen kann. In diesem
Fall kann es auch zu Paketlecks in andere VLANs kommen.
Zwar speichern die virtuellen Switches von VMware eine MAC-Adressentabelle,
aber sie erhalten die MAC-Adressen nicht von erkennbarem Datenverkehr
und sind daher gegen diese Art von Angriffen immun.
Angriffe durch 802.1qund
ISL-Kennzeichnung
Doppelt gekapselte Angriffe
Multicast-Brute-Force-
Angriffe
Kapitel 12 Absichern einer ESXi-Konfiguration
Bei diesem Angriff werden die Datenblöcke durch den Switch an ein anderes
VLAN weitergeleitet, indem der Switch durch einen Trick dazu gebracht wird,
als Verbindungsleitung zu fungieren und den Datenverkehr an andere VLANs
weiterzuleiten.
Die virtuellen Switches von VMware führen das dynamische Trunking, das für
diese Art des Angriffs notwendig ist, nicht aus, und sind daher immun.
Bei dieser Art von Angriffen erstellt der Angreifer ein doppelt gekapseltes Paket,
in dem sich der VLAN-Bezeichner im inneren Tag vom VLAN-Bezeichner
im äußeren Tag unterscheidet. Um Rückwärtskompatibilität zu gewährleisten,
entfernen native VLANs standardmäßig das äußere Tag von übertragenen Paketen.
Wenn ein nativer VLAN-Switch das äußere Tag entfernt, bleibt nur das
innere Tag übrig, welches das Paket zu einem anderen VLAN weiterleitet, als
im jetzt fehlenden äußeren Tag angegeben war.
Die virtuellen Switches von VMware verwerfen alle doppelt eingekapselten
Datenblöcke, die eine virtuelle Maschine auf einem für ein bestimmtes VLAN
konfigurierten Port senden möchte. Daher sind sie immun gegen diese Art von
Angriffen.
Bei diesen Angriffen wird eine große Anzahl von Multicast-Datenblöcken fast
zeitgleich an ein bekanntes VLAN gesendet, um den Switch zu überlasten, damit
er versehentlich einige Datenblöcke in andere VLANs überträgt.
Die virtuellen Switches von VMware erlauben es Datenblöcken nicht, ihren
richtigen Übertragungsbereich (VLAN) zu verlassen und sind daher gegen
diese Art von Angriffen immun.
VMware, Inc. 153