Handbuch zur Serverkonfiguration für ESX - VMware

Kapitel 14 Sicherheit der Servicekonsole
Konfiguration der Servicekonsolen-Firewall
ESX bietet eine Firewall zwischen der Servicekonsole und dem Netzwerk. Damit die Integrität der Servicekonsole
sichergestellt ist, hat VMware die Anzahl an standardmäßig freigegebenen Firewall-Ports reduziert.
Bei der Installation wird die Firewall der Servicekonsole so konfiguriert, dass der gesamte ein- und ausgehende
Datenverkehr auf allen Ports außer für die Ports 22, 123, 427, 443, 902, 5989 und 5988 blockiert wird. Die
genannten Ports werden für die grundlegende Kommunikation mit ESX verwendet. Durch diese Einstellung
ist die Sicherheitsstufe für den Host sehr hoch.
HINWEIS Die Firewall lässt auch Internet Control Message Protocol (ICMP)-Pings und Kommunikation mit
DHCP- und DNS- Clients (nur UDP) zu.
In vertrauenswürdigen Umgebungen kann eine niedrigere Sicherheitsstufe möglich sein. In diesem Fall können
Sie die Firewall entweder auf mittlere oder niedrige Sicherheit setzen.
Mittlere Sicherheit
Niedrige Sicherheit
Der gesamte eingehende Datenverkehr wird blockiert, ausgenommen Datenverkehr
auf den Standardports sowie auf allen Ports, die Sie freigeben. Ausgehender
Datenverkehr wird nicht blockiert.
Weder eingehender noch ausgehender Datenverkehr wird blockiert. Diese
Einstellung entspricht der Deaktivierung der Firewall.
Da die standardmäßig freigegebenen Ports stark beschränkt sind, müssen Sie ggf. nach der Installation zusätzliche
Ports freigeben. Eine Liste häufig verwendeter Ports, die Sie ggf. freigeben müssen, finden Sie unter
„TCP- und UDP-Ports für den Verwaltungszugriff“, auf Seite 177.
Durch Hinzufügen unterstützter Dienste und Verwaltungs-Agenten, die zum effektiven Betrieb von ESX notwendig
sind, werden weitere Ports in der Firewall der Servicekonsole freigegeben. Dienste und Verwaltungs-
Agenten werden über vCenter Server hinzugefügt (siehe „Konfigurieren von Firewallports für unterstützte
Dienste und Verwaltungs-Agenten“, auf Seite 174.).
Neben den Ports, die für diese Dienste und Agenten freigegeben werden, müssen Sie eventuell andere Ports
freigeben, wenn Sie bestimmte Geräte, Dienste oder Agenten, z. B. Speichergeräte, Sicherungs- oder Verwaltungs-Agenten,
konfigurieren. Wenn Sie zum Beispiel Veritas NetBackup4.5 als Sicherungs-Agenten verwenden,
müssen Sie die Ports 13720, 13724, 13782 und 13783 freigeben, die NetBackup für Client-Medien-
Übertragungen, Datenbanksicherungen, Benutzersicherungen und -wiederherstellungen usw. verwendet. Informationen
zu den für bestimmte Anwendungen freizugebenden Ports finden Sie in den Herstellerspezifikationen
für das Gerät, den Dienst oder den Agenten.
HINWEIS Zum Ändern von Standard-Firewall-Regeln für die Servicekonsole dürfen Sie keine anderen Befehle
oder Dienstprogramme als esxcfg-firewall verwenden. Wenn Sie mittels eines Linux-Befehls die Standardeinstellungen
ändern, werden Ihre Änderungen ignoriert und von den für diesen Dienst vom Befehl esxcfgfirewall
angegebenen Standardwerten überschrieben.
VMware, Inc. 215