Handbuch zur Serverkonfiguration für ESX - VMware

Handbuch zur Serverkonfiguration für ESX
Sie können die virtuelle Maschine außerdem durch die Einrichtung von Ressourcenreservierungen und -begrenzungen
auf dem Host schützen. So können Sie zum Beispiel eine virtuelle Maschine mit den detaillierten
Werkzeugen zur Ressourcensteuerung, die Ihnen in ESX zur Verfügung stehen, so konfigurieren, dass sie
immer mindestens 10 Prozent der CPU-Ressourcen des Hosts erhält, nie jedoch mehr als 20 Prozent.
Ressourcenreservierungen und -einschränkungen schützen die virtuellen Maschinen vor Leistungsabfällen,
wenn eine andere virtuelle Maschine versucht, zu viele Ressourcen der gemeinsam genutzten Hardware zu
verwenden. Wenn zum Beispiel eine virtuelle Maschine auf einem Host durch eine Denial-Of-Service (DoS)-
Angriff außer Gefecht gesetzt wird, verhindert eine Einschränkung, dass der Angriff so viele Hardware-Ressourcen
einnimmt, dass die anderen virtuellen Maschinen ebenfalls betroffen werden. Ebenso stellt eine Ressourcenreservierung
für jede virtuelle Maschine sicher, dass bei hohen Ressourcenanforderungen durch den
DoS-Angriff alle anderen virtuellen Maschinen immer noch über genügend Kapazitäten verfügen.
Standardmäßig schreibt ESX eine Art der Ressourcenreservierung vor, indem ein Verteilungsalgorithmus
verwendet wird, der die verfügbaren Hostressourcen zu gleichen Teilen auf die virtuellen Maschinen verteilt
und gleichzeitig einen bestimmten Prozentsatz der Ressourcen für einen Einsatz durch andere Systemkomponenten
bereithält. Dieses Standardverhalten bietet einen natürlichen Schutz gegen DoS- und DDoS-Angriffe.
Geben Sie die spezifischen Ressourcenreservierungen und Grenzwerte individuell ein, wenn Sie das Standardverhalten
auf Ihre Bedürfnisse so zuschneiden wollen, dass die Verteilung über die gesamte Konfiguration
der virtuellen Maschine nicht einheitlich ist.
Sicherheit und die virtuelle Netzwerkebene
Zur virtuellen Netzwerkebene gehören virtuelle Netzwerkadapter und virtuelle Switches. ESX verwendet die
virtuelle Netzwerkebene zur Kommunikation zwischen den virtuellen Maschinen und ihren Benutzern. Außerdem
verwenden Hosts die virtuelle Netzwerkebene zur Kommunikation mit iSCSI-SANs, NAS-Speicher
usw.
Die Methoden, die Sie zur Absicherung eines Netzwerks von virtuellen Maschinen verwenden, hängen unter
anderem davon ab, welches Gastbetriebssystem installiert wurde und ob die virtuellen Maschinen in einer
sicheren Umgebung betrieben werden. Virtuelle Switches bieten einen hohen Grad an Sicherheit, wenn sie in
Verbindung mit anderen üblichen Sicherheitsmaßnahmen, z. B. Firewalls, verwendet werden.
ESX unterstützt auch VLANs nach IEEE 802.1q, die zum weiteren Schutz des Netzwerks der virtuellen Maschinen,
der Servicekonsole oder der Speicherkonfiguration verwendet werden können. Mit VLANs können
Sie ein physisches Netzwerk in Segmente aufteilen, sodass zwei Computer im gleichen physischen Netzwerk
nur dann Pakete untereinander versenden können, wenn sie sich im gleichen VLAN befinden.
Erstellen einer Netzwerk-DMZ auf einem einzelnen ESX-Host
Ein Beispiel für die Anwendung der ESX-Isolierung und der virtuellen Netzwerkfunktionen zur Umgebungsabsicherung
ist die Einrichtung einer so genannten „entmilitarisierten Zone“ (DMZ) auf einem einzelnen Host.
Abbildung 11-4 zeigt die Konfiguration.
162 VMware, Inc.