Handbuch zur Serverkonfiguration für ESX - VMware

Kapitel 12 Absichern einer ESX-Konfiguration
Deaktivieren der iSCSI-SAN-Authentifizierung
Sie können das iSCSI-SAN so konfigurieren, dass die CHAP-Authentifizierung nicht verwendet wird. Der
Datenverkehr zwischen Initiator und Ziel wird dennoch rudimentär überprüft, da iSCSI-Zielgeräte normalerweise
so eingerichtet sind, dass sie nur mit bestimmten Initiatoren kommunizieren.
Die Deaktivierung einer strengeren Authentifizierung kann zum Beispiel sinnvoll sein, wenn sich der iSCSI-
Speicher an einem Standort befindet und ein dediziertes Netzwerk oder VLAN für alle iSCSI-Geräte erstellt
wird. Die iSCSI-Konfiguration ist sicher, weil sie von ungewolltem Zugriff isoliert ist, wie dies auch in einem
Fibre-Channel-SAN der Fall ist.
Deaktivieren Sie die Authentifizierung grundsätzlich nur dann, wenn Sie einen Angriff auf das iSCSI-SAN
riskieren können oder Probleme beheben müssen, die durch menschliches Versagen entstanden sind.
Weitere Informationen zum Arbeiten mit CHAP finden Sie unter „Konfigurieren von CHAP-Parametern für
iSCSI-Adapter“, auf Seite 114.
Schützen eines iSCSI-SAN
Bei der Planung der iSCSI-Konfiguration sollten Sie Maßnahmen zur Verbesserung der allgemeinen Sicherheit
des iSCSI-SAN ergreifen. Die iSCSI-Konfiguration ist nur so sicher wie das IP-Netzwerk. Wenn Sie also hohe
Sicherheitsstandards bei der Netzwerkeinrichtung befolgen, schützen Sie auch den iSCSI-Speicher.
Nachfolgend sind einige spezifische Vorschläge zum Umsetzen hoher Sicherheitsstandards aufgeführt.
Schützen übertragener Daten
Eines der Hauptrisiken bei iSCSI-SANs ist, dass der Angreifer übertragene Speicherdaten mitschneiden kann.
Ergreifen Sie zusätzliche Maßnahmen, um zu verhindern, dass Angreifer iSCSI-Daten sehen können. Weder
der Hardware-iSCSI-Adapter noch der ESX-Host, d. h. der iSCSI-Initiator, verschlüsseln Daten, die zu und
von den Zielen übertragen werden, wodurch die Daten anfälliger für Mitschneideangriffe sind.
Wenn die virtuellen Maschinen die gleichen virtuellen Switches und VLANs wie die iSCSI-Struktur verwenden,
ist der iSCSI-Datenverkehr potenziell dem Missbrauch durch Angreifer der virtuellen Maschinen ausgesetzt.
Um sicherzustellen, dass Angreifer die iSCSI-Übertragungen nicht überwachen können, achten Sie darauf,
dass keine Ihrer virtuellen Maschinen das iSCSI-Speichernetzwerk sehen kann.
Wenn Sie einen Hardware-iSCSI-Adapter verwenden, erreichen Sie dies, indem Sie sicherstellen, dass der
iSCSI-Adapter und der physische Netzwerkadapter von ESX nicht versehentlich außerhalb des Hosts durch
eine gemeinsame Verwendung des Switches oder in anderer Form verbunden sind. Wenn Sie iSCSI direkt
über den ESX-Host konfigurieren, können Sie dies erreichen, indem Sie den iSCSI-Speicher über einen anderen
virtuellen Switch konfigurieren als denjenigen, der durch Ihre virtuellen Maschinen verwendet wird (siehe
Abbildung 12-5.
VMware, Inc. 191