Handbuch zur Serverkonfiguration für ESX - VMware
Handbuch zur Serverkonfiguration für ESX - VMware
Handbuch zur Serverkonfiguration für ESX - VMware
Erfolgreiche ePaper selbst erstellen
Machen Sie aus Ihren PDF Publikationen ein blätterbares Flipbook mit unserer einzigartigen Google optimierten e-Paper Software.
<strong>Handbuch</strong> <strong>zur</strong> <strong>Serverkonfiguration</strong> <strong>für</strong> <strong>ESX</strong><br />
Das Unternehmen erzwingt die Isolierung der virtuellen Maschinengruppen durch die Verwendung mehrerer<br />
interner und externer Netzwerke und die Sicherstellung, dass die virtuellen Switches und physischen Netzwerkadapter<br />
jeder Gruppe von denen anderer Gruppen vollständig getrennt sind.<br />
Da keiner der virtuellen Switches sich über mehrere Zonen erstreckt, wird das Risiko des Durchsickerns von<br />
Daten von einer Zone in eine andere ausgeschaltet. Ein virtueller Switch kann aufbaubedingt keine Datenpakete<br />
direkt an einen anderen virtuellen Switch weitergeben. Datenpakete können nur unter folgenden Umständen<br />
von einem virtuellen Switch zu einem anderen gelangen:<br />
• Wenn die virtuellen Switches an das gleiche physische LAN angeschlossen sind<br />
• Wenn die virtuellen Switches an eine gemeinsame virtuelle Maschine angeschlossen sind, die dann dazu<br />
verwendet werden kann, Datenpakete zu übertragen.<br />
In der Beispielkonfiguration wird keine dieser Bedingungen erfüllt. Wenn der Systemadministrator prüfen<br />
möchten, ob es einen gemeinsamen virtuellen Switch-Pfad gibt, kann dies über die Überprüfung möglicher<br />
gemeinsamer Kontaktpunkte im Netzwerkswitchplan im vSphere-Client oder über vSphere Web Access geschehen.<br />
Zum Schutz der Hardwareressourcen der virtuellen Maschinen kann der Systemadministrator eine Reservierung<br />
und Einschränkung der Ressourcen <strong>für</strong> jede virtuelle Maschine vornehmen, um das Risiko von DoS- und<br />
DDoS-Angriffen einzudämmen. Der Systemadministrator kann den <strong>ESX</strong>-Host und die virtuellen Maschinen<br />
außerdem durch die Installation von Softwarefirewalls im Front-End und Back-End der DMZ, durch Positionierung<br />
des Hosts hinter einer physischen Firewall und durch Anschluss der Servicekonsole und der an das<br />
Netzwerk angeschlossenen Speicherressourcen an jeweils einen eigenen virtuellen Switch schützen.<br />
Sicherheit und die Servicekonsole<br />
Die Servicekonsole von <strong>ESX</strong> ist eine eingeschränkte Linux-Distribution, die auf Red Hat Enterprise Linux 5<br />
(RHEL5) basiert. Die Servicekonsole stellt eine Ausführungsumgebung <strong>für</strong> die Überwachung und Verwaltung<br />
des gesamten <strong>ESX</strong>-Hosts <strong>zur</strong> Verfügung.<br />
Wenn die Servicekonsole auf bestimmte Weise beeinträchtigt wird, ist auch die von ihr gesteuerte virtuelle<br />
Maschine gefährdet. Um das Risiko eines Angriffs über die Servicekonsole zu minimieren, wird die Servicekonsole<br />
von <strong>VMware</strong> durch eine Firewall geschützt.<br />
Neben der Implementierung der Firewall der Servicekonsole verringert <strong>VMware</strong> die Risiken <strong>für</strong> die Servicekonsole<br />
auf verschiedene Weise:<br />
• <strong>ESX</strong> führt nur Dienste aus, die <strong>zur</strong> Verwaltung seiner Funktionen unabdingbar sind. Die Servicekonsole<br />
beschränkt sich auf die Funktionen, die zum Betrieb von <strong>ESX</strong> notwendig sind.<br />
• Die Standardeinstellung <strong>für</strong> die Sicherheit von <strong>ESX</strong> wird bei der Installation auf „hoch“ gesetzt. Alle<br />
Ausgangsports werden geschlossen und die wenigen freigegebenen Eingangsports sind die Ports, die <strong>für</strong><br />
die Kommunikation mit Clients wie dem vSphere-Client notwendig sind. Behalten Sie diese Sicherheitseinstellung<br />
bei, solange die Servicekonsole nicht an ein vertrauenswürdiges Netzwerk angeschlossen ist.<br />
• Standardmäßig sind alle Ports, die nicht spezifisch <strong>für</strong> den Verwaltungszugriff auf die Servicekonsole<br />
notwendig sind, geschlossen. Wenn Sie zusätzliche Dienste benötigen, müssen Sie die jeweiligen Ports<br />
öffnen.<br />
• Standardmäßig sind schwache Schlüssel deaktiviert und sämtliche Kommunikation der Clients wird<br />
durch SSL gesichert. Die genauen Algorithmen, die zum Sichern des Kanals verwendet werden, hängen<br />
vom SSL-Handshake ab. Auf <strong>ESX</strong> erstellte Standardzertifikate verwenden SHA-1 mit RSA-Verschlüsselung<br />
als den Signaturalgorithmus.<br />
• Der Webservice Tomcat, der intern von <strong>ESX</strong> zum Zugriff auf die Servicekonsole über Webclients wie<br />
vSphere Web Access verwendet wird, wurde so angepasst, dass er nur die <strong>für</strong> die Verwaltung und Überwachung<br />
über einen Webclient notwendigen Funktionen ausführt. Daher ist <strong>ESX</strong> nicht von den Sicherheitslücken<br />
betroffen, die <strong>für</strong> Tomcat in weiter gefassten Anwendungsbereichen gemeldet wurden.<br />
166 <strong>VMware</strong>, Inc.
Change language