Handbuch zur Serverkonfiguration für ESXi - VMware

Handbuch zur Serverkonfiguration für ESXi
Ergreifen Sie zusätzliche Maßnahmen, um zu verhindern, dass Angreifer iSCSI-Daten sehen können. Weder
der Hardware-iSCSI-Adapter noch der ESXi-Host, d. h. der iSCSI-Initiator, verschlüsseln Daten, die zu und
von den Zielen übertragen werden, wodurch die Daten anfälliger für Mitschneideangriffe sind.
Wenn die virtuellen Maschinen die gleichen virtuellen Switches und VLANs wie die iSCSI-Struktur verwenden,
ist der iSCSI-Datenverkehr potenziell dem Missbrauch durch Angreifer der virtuellen Maschinen ausgesetzt.
Um sicherzustellen, dass Angreifer die iSCSI-Übertragungen nicht überwachen können, achten Sie darauf,
dass keine Ihrer virtuellen Maschinen das iSCSI-Speichernetzwerk sehen kann.
Wenn Sie einen Hardware-iSCSI-Adapter verwenden, erreichen Sie dies, indem Sie sicherstellen, dass der
iSCSI-Adapter und der physische Netzwerkadapter von ESXi nicht versehentlich außerhalb des Hosts durch
eine gemeinsame Verwendung des Switches oder in anderer Form verbunden sind. Wenn Sie iSCSI direkt
über den ESXi-Host konfigurieren, können Sie dies erreichen, indem Sie den iSCSI-Speicher über einen anderen
virtuellen Switch konfigurieren als denjenigen, der durch Ihre virtuellen Maschinen verwendet wird (siehe
Abbildung 12-5.
Abbildung 12-5. iSCSI-Speicher an einem eigenen virtuellen Switch
Zusätzlich zum Schutz durch einen eigenen virtuellen Switch können Sie das iSCSI-SAN durch die Konfiguration
eines eigenen VLAN für das iSCSI-SAN schützen, um Leistung und Sicherheit zu verbessern. Wenn die
iSCSI-Konfiguration sich in einem eigenen VLAN befindet, wird sichergestellt, dass keine Geräte außer dem
iSCSI-Adapter Einblick in Übertragungen im iSCSI-SAN haben. Auch eine Netzwerküberlastung durch andere
Quellen kann den iSCSI-Datenverkehr nicht beeinträchtigen.
Sichern der iSCSI-Ports
Wenn Sie die iSCSI-Geräte ausführen, öffnet der ESXi-Host keine Ports, die Netzwerkverbindungen überwachen.
Durch diese Maßnahme wird die Chance, dass ein Angreifer über ungenutzte Ports in den ESXi-Host
einbrechen und Kontrolle über ihn erlangen kann, reduziert. Daher stellt der Betrieb von iSCSI kein zusätzliches
Sicherheitsrisiko für den ESXi-Host dar.
Beachten Sie, dass auf jedem iSCSI-Zielgerät mindestens ein freigegebener TCP-Port für iSCSI-Verbindungen
vorhanden sein muss. Wenn es Sicherheitsprobleme in der Software des iSCSI-Geräts gibt, können die Daten
unabhängig von ESXi in Gefahr sein. Installieren Sie alle Sicherheitspatches des Speicherherstellers und beschränken
Sie die Anzahl der an das iSCSI-Netzwerk angeschlossenen Geräte, um dieses Risiko zu verringern.
158 VMware, Inc.