Handbuch zur Serverkonfiguration für ESXi - VMware

Bei der Erstellung stimmen die geltende und die ursprünglich zugewiesene MAC-Adresse überein. Das Betriebssystem
der virtuellen Maschine kann die geltenden MAC-Adresse jedoch jederzeit auf einen anderen
Wert setzen. Wenn ein Betriebssystem die geltenden MAC-Adresse ändert, empfängt der Netzwerkadapter
Netzwerkdatenverkehr, der für die neue MAC-Adresse bestimmt ist. Das Betriebssystem kann jederzeit Frames
mit einer imitierten Quell-MAC-Adresse senden. Daher kann ein Betriebssystem böswillige Angriffe auf
die Geräte in einem Netzwerk durchführen, indem es einen Netzwerkadapter imitiert, der vom Empfängernetzwerk
autorisiert wurde.
Mit den Sicherheitsprofilen für den virtuellen Switch auf den ESXi-Hosts können Sie sich gegen diese Art von
Angriffen schützen, indem Sie drei Optionen einstellen: Wenn Sie eine Standardeinstellung für einen Port
ändern möchten, müssen Sie das Sicherheitsprofil in den Einstellungen des virtuellen Switches im vSphere-
Client ändern.
MAC-Adressenänderungen
Die Einstellung der Option [MAC‐Adressenänderungen] beeinflusst den Datenverkehr, den eine virtuelle
Maschine empfängt.
Wenn die Option auf [Akzeptieren] festgelegt ist, akzeptiert ESXi Anforderungen, die geltende MAC-Adresse
in eine andere als die ursprünglich zugewiesene Adresse zu ändern.
Wenn die Option auf [Ablehnen] festgelegt ist, lehnt ESXi Anforderungen ab, die geltende MAC-Adresse in
eine andere als die ursprünglich zugewiesene Adresse zu ändern. Damit wird der Host vor MAC-Imitationen
geschützt. Der Port, der von dem virtuellen Adapter zum Senden der Anforderung verwendet wird, ist deaktiviert,
und der virtuelle Adapter erhält keine weiteren Frames mehr, bis er die geltende MAC-Adresse ändert,
sodass sie mit der ursprünglichen MAC-Adresse übereinstimmt. Das Gastbetriebssystem erkennt nicht, dass
die Änderung der MAC-Adresse nicht angenommen wurde.
HINWEIS Der iSCSI-Initiator basiert darauf, dass er MAC-Adressänderungen von bestimmten Speichertypen
erhalten kann. Wenn Sie ESXi-iSCSI verwenden und über einen iSCSI-Speicher verfügen, legen Sie die Option
[MAC‐Adressänderungen] auf [Akzeptieren] fest.
In bestimmten Situationen ist es tatsächlich notwendig, dass mehrere Adapter in einem Netzwerk die gleiche
MAC-Adresse haben, zum Beispiel wenn Sie den Microsoft-NetzwerkLastausgleich im Unicast-Modus verwenden.
Bei Verwendung des Microsoft-NetzwerkLastausgleichs im Standard-Multicast-Modus haben die
Adapter nicht die gleiche MAC-Adresse.
MAC-Adressenänderungen beeinflussen den Datenverkehr, der eine virtuelle Maschine verlässt. MAC-Adressänderungen
treten ein, wenn der Absender diese vornehmen darf, selbst wenn vSwitches oder eine empfangende
virtuelle Maschine keine MAC-Adressänderungen zulassen.
Gefälschte Übertragungen
Kapitel 12 Absichern einer ESXi-Konfiguration
Die Einstellung der Option [Gefälschte Übertragungen] beeinflusst den Datenverkehr, der von einer virtuellen
Maschine versandt wird.
Wenn die Option auf [Akzeptieren] festgelegt ist, vergleicht ESXi die Quell- und die geltende MAC-Adresse
nicht.
Zum Schutz gegen MAC-Imitation können Sie diese Option auf [Ablehnen (Reject)] einstellen. In diesem
Fall vergleicht der Host die Quell-MAC-Adresse, die vom Betriebssystem übertragen wird, mit der geltenden
MAC-Adresse des Adapters, um festzustellen, ob sie übereinstimmen. Wenn die Adressen nicht übereinstimmen,
verwirft ESXi das Paket.
Das Gastbetriebssystem erkennt nicht, dass der virtuelle Netzwerkadapter die Pakete mit der imitierten MAC-
Adresse nicht senden kann. Der ESXi-Host fängt alle Pakete mit imitierten Adressen vor der Übermittlung ab.
Das Gastbetriebssystem geht ggf. davon aus, dass die Pakete verworfen wurden.
VMware, Inc. 155