Handbuch zur Serverkonfiguration für ESX - VMware

Kapitel 12 Absichern einer ESX-Konfiguration
Wenn die Option auf [Ablehnen] festgelegt ist, lehnt ESX Anforderungen ab, die geltende MAC-Adresse in
eine andere als die ursprünglich zugewiesene Adresse zu ändern. Damit wird der Host vor MAC-Imitationen
geschützt. Der Port, der von dem virtuellen Adapter zum Senden der Anforderung verwendet wird, ist deaktiviert,
und der virtuelle Adapter erhält keine weiteren Frames mehr, bis er die geltende MAC-Adresse ändert,
sodass sie mit der ursprünglichen MAC-Adresse übereinstimmt. Das Gastbetriebssystem erkennt nicht, dass
die Änderung der MAC-Adresse nicht angenommen wurde.
HINWEIS Der iSCSI-Initiator basiert darauf, dass er MAC-Adressänderungen von bestimmten Speichertypen
erhalten kann. Wenn Sie ESX-iSCSI verwenden und über einen iSCSI-Speicher verfügen, legen Sie die Option
[MAC-Adressänderungen] auf [Akzeptieren] fest.
In bestimmten Situationen ist es tatsächlich notwendig, dass mehrere Adapter in einem Netzwerk die gleiche
MAC-Adresse haben, zum Beispiel wenn Sie den Microsoft-NetzwerkLastausgleich im Unicast-Modus verwenden.
Bei Verwendung des Microsoft-NetzwerkLastausgleichs im Standard-Multicast-Modus haben die
Adapter nicht die gleiche MAC-Adresse.
Gefälschte Übertragungen
Die Einstellung der Option [Gefälschte Übertragungen] beeinflusst den Datenverkehr, der von einer virtuellen
Maschine versandt wird.
Wenn die Option auf [Akzeptieren] festgelegt ist, vergleicht ESX die Quell- und die geltende MAC-Adresse
nicht.
Zum Schutz gegen MAC-Imitation können Sie diese Option auf [Ablehnen (Reject)] einstellen. In diesem
Fall vergleicht der Host die Quell-MAC-Adresse, die vom Betriebssystem übertragen wird, mit der geltenden
MAC-Adresse des Adapters, um festzustellen, ob sie übereinstimmen. Wenn die Adressen nicht übereinstimmen,
verwirft ESX das Paket.
Das Gastbetriebssystem erkennt nicht, dass der virtuelle Netzwerkadapter die Pakete mit der imitierten MAC-
Adresse nicht senden kann. Der ESX-Host fängt alle Pakete mit imitierten Adressen vor der Übermittlung ab.
Das Gastbetriebssystem geht ggf. davon aus, dass die Pakete verworfen wurden.
Betrieb im Promiscuous-Modus
Der Promiscuous-Modus deaktiviert jegliche Empfangsfilterung, die der virtuelle Netzwerkadapter normalerweise
ausführen würde, sodass das Gastbetriebssystem den gesamten Datenverkehr aus dem Netzwerk
empfängt. Standardmäßig kann der virtuelle Netzwerkadapter nicht im Promiscuous-Modus betrieben werden.
Zwar kann der Promiscuous-Modus für die Nachverfolgung von Netzwerkaktivitäten nützlich sein, aber er
ist ein unsicherer Betriebsmodus, da jeder Adapter im Promiscuous-Modus Zugriff auf alle Pakete hat, auch
wenn manche Pakete nur für einen spezifischen Netzwerkadapter bestimmt sind. Das bedeutet, dass ein Administrator
oder Root-Benutzer in einer virtuellen Maschine rein theoretisch den Datenverkehr, der für andere
Gast- oder Hostbetriebssysteme bestimmt ist, einsehen kann.
HINWEIS Unter bestimmten Umständen ist es notwendig, einen virtuellen Switch in den Promiscuous-Modus
zu setzen, zum Beispiel wenn Sie eine Software zur Netzwerkeinbruchserkennung oder einen Paket-Sniffer
verwenden.
Internet Protocol Security (IPsec)
Internet Protocol Security (IPsec) sichert die von einem Host ausgehende und bei diesem eingehende IP-Kommunikation.
ESX-Hosts unterstützen IPsec mit IPv6.
Wenn Sie IPsec auf einem Host einrichten, aktivieren Sie die Authentifizierung und Verschlüsselung ein- und
ausgehender Pakete. Wann und wie der IP-Datenverkehr verschlüsselt wird, hängt davon ab, wie Sie die
Sicherheitsverbindungen und -richtlinien des Systems einrichten.
VMware, Inc. 185