Handbuch zur Serverkonfiguration für ESX - VMware

Kapitel 12 Absichern einer ESX-Konfiguration
Bei dieser Konfiguration verwenden alle Mitarbeiter der Buchhaltungsabteilung virtuelle Maschinen im
VLAN A, die Mitarbeiter der Vertriebsabteilung verwenden die virtuellen Maschinen im VLAN B.
Der Router leitet die Datenpakete mit Buchhaltungsdaten an die Switches weiter. Diese Pakete sind so gekennzeichnet,
dass sie nur an VLAN A weitergeleitet werden dürfen. Daher sind die Daten auf die Broadcast-
Domäne A beschränkt und können nur an die Broadcast-Domäne B weitergeleitet werden, wenn der Router
entsprechend konfiguriert wurde.
Bei dieser VLAN-Konfiguration wird verhindert, dass Mitarbeiter des Vertriebs Datenpakete abfangen können,
die für die Buchhaltungsabteilung bestimmt sind. Die Buchhaltungsabteilung kann zudem auch keine
Datenpakete empfangen, die für den Vertrieb bestimmt sind. Virtuelle Maschinen, die an einen gemeinsamen
virtuellen Switch angebunden sind, können sich dennoch in unterschiedlichen VLANs befinden.
Sicherheitsempfehlungen für VLANs
Wie Sie die VLANs einrichten, um Teile eines Netzwerks abzusichern, hängt von Faktoren wie dem Gastbetriebssystem
und der Konfiguration der Netzwerkgeräte ab.
ESX ist mit einer vollständigen VLAN-Implementierung nach IEEE 802.1q ausgestattet. Zwar kann VMware
keine spezifischen Empfehlungen aussprechen, wie die VLANs eingerichtet werden sollten, es sollten jedoch
bestimmte Faktoren berücksichtigt werden, wenn ein VLAN ein Bestandteil Ihrer Sicherheitsrichtlinien ist.
VLANs im Rahmen eines Sicherheitspakets
Mit VLANs kann effektiv gesteuert werden, wo und in welchem Umfang Daten im Netzwerk übertragen
werden. Wenn ein Angreifer Zugang zum Netzwerk erlangt, wird der Angriff mit hoher Wahrscheinlichkeit
nur auf das VLAN beschränkt, das als Zugangspunkt diente, wodurch das Risiko für das gesamte Netzwerk
verringert wird.
VLANs bieten nur dadurch Schutz, dass sie steuern, wie Daten weitergeleitet und verarbeitet werden, nachdem
sie die Switches passiert haben und sich im Netzwerk befinden. Sie können VLANs dazu nutzen, die 2.
Schicht des Netzwerkmodells, die Sicherungsschicht, zu schützen. Die Einrichtung von VLANs schützt jedoch
weder die Bitübertragungsschicht noch die anderen Schichten. Auch bei der Verwendung von VLANs sollten
Sie zusätzlichen Schutz durch Absicherung der Hardware (Router, Hubs usw.) und Verschlüsselung der Datenübertragungen
implementieren.
VLANs ersetzen Softwarefirewalls in den Konfigurationen virtueller Maschinen nicht. In den meisten Netzwerkkonfigurationen
mit VLANs gibt es auch Firewalls. Wenn Sie VLANs in Ihr virtuelles Netzwerk implementieren,
stellen Sie sicher, dass die installierten Firewalls SAN-fähig sind.
Ordnungsgemäßes Konfigurieren von VLANs
Eine Fehlkonfiguration der Ausstattung und Netzwerkhardware, -firmware oder -software setzt ein VLAN
möglichen VLAN-Hopping-Angriffen aus.
VLAN-Hopping tritt dann auf, wenn ein Angreifer mit autorisiertem Zugriff auf ein VLAN Datenpakete erstellt,
die die physischen Switches dazu bringen, die Pakete in ein anderes VLAN zu übertragen, für das der
Angreifer keine Zugriffsberechtigung besitzt. Anfälligkeit für diese Art von Angriffen liegt meist dann vor,
wenn ein Switch falsch für den nativen VLAN-Betrieb konfiguriert wurde, wodurch der Switch nicht gekennzeichnete
Pakete empfangen und übertragen kann.
Um ein VLAN-Hopping zu verhindern, aktualisieren Sie stets Ihre Umgebung, indem Sie Updates der Hardware
und Firmware sofort aufspielen. Achten Sie bei der Konfiguration Ihrer Umgebung auch stets auf die
Einhaltung der Empfehlungen des Herstellers.
Virtuelle Switches von VMware unterstützen nicht das Konzept nativer VLANs. Alle Daten, die über diese
Switches übertragen werden, müssen ordnungsgemäß gekennzeichnet werden. Da es jedoch im Netzwerk
auch andere Switches geben kann, die für den nativen VLAN-Betrieb konfiguriert wurden, können VLANs
mit virtuellen Switches dennoch anfällig für VLAN-Hopping sein.
VMware, Inc. 181