Handbuch zur Serverkonfiguration für ESX - VMware

Absichern einer ESX-Konfiguration 12
Sie können mithilfe von bestimmten Maßnahmen die Umgebung für Ihre ESX-Hosts, virtuellen Maschinen
und iSCSI-SANs absichern. Beachten Sie den sicherheitsbezogenen Netzwerkkonfigurationsaufbau und die
Maßnahmen, mit denen Sie die Komponenten in Ihrer Konfiguration vor Angriffen schützen können.
Dieses Kapitel behandelt die folgenden Themen:
• „Absichern des Netzwerks mit Firewalls“, auf Seite 169
• „Absichern virtueller Maschinen durch VLANs“, auf Seite 179
• „Absichern der Ports virtueller Switches“, auf Seite 184
• „Internet Protocol Security (IPsec)“, auf Seite 185
• „Absichern von iSCSI-Speicher“, auf Seite 189
Absichern des Netzwerks mit Firewalls
Sicherheitsadministratoren verwenden Firewalls, um das Netzwerk oder ausgewählte Komponenten innerhalb
des Netzwerks vor unerlaubten Zugriffen zu schützen.
Firewalls kontrollieren den Zugriff auf die Geräte in ihrem Umfeld, indem sie alle Kommunikationspfade
außer denen abriegeln, die der Administrator explizit oder implizit als zulässig definiert. Diese Pfade, die der
Administrator in der Firewall öffnet, werden Ports genannt und lassen Datenverkehr zwischen Geräten auf
den beiden Seiten der Firewall passieren.
In der virtuellen Maschinenumgebung können Sie Ihr Layout für die Firewalls zwischen den Komponenten
planen.
• Physische Maschinen, z. B. vCenter Server-Hosts und ESX-Hosts.
• Zwischen zwei virtuellen Maschinen – beispielsweise zwischen einer virtuellen Maschine, die als externer
Webserver dient, und einer virtuellen Maschine, die an das interne Firmennetzwerk angeschlossen ist.
• Zwischen einem physischen Computer und einer virtuellen Maschine, wenn Sie eine Firewall zwischen
einen physischen Netzwerkadapter und eine virtuelle Maschine schalten.
Die Nutzung von Firewalls in einer ESX-Konfiguration hängt davon ab, wie Sie das Netzwerk nutzen möchten
und wie sicher die einzelnen Komponenten sein müssen. Wenn Sie zum Beispiel ein virtuelles Netzwerk erstellen,
in dem jede virtuelle Maschine eine andere Benchmark-Testsuite für die gleiche Abteilung ausführt,
ist das Risiko ungewollten Zugriffs von einer virtuellen Maschine auf eine andere minimal. Eine Konfiguration,
bei der Firewalls zwischen den virtuellen Maschinen vorhanden sind, ist daher nicht erforderlich. Um jedoch
eine Störung der Testläufe durch einen externen Host zu verhindern, kann die Konfiguration so eingerichtet
werden, dass sich eine Firewall am Eingang zum virtuellen Netzwerk befindet, um alle virtuellen Maschinen
zu schützen.
VMware, Inc. 169