Como dar acesso à máquina virtual à Internet, mas bloquear a partir da LAN?

Question

Estou configurando uma máquina virtual usando o Microsoft Virtual PC no Windows 7. A VM executará o Windows XP.

Desejo configurar um servidor voltado para o público para páginas da Web, subversão e outras coisas, além de instruir o roteador a encaminhar quaisquer solicitações para essa máquina virtual.

Eu consegui fazer isso - atribuí a VM ao adaptador de rede e agora ela está agindo como apenas outro cliente DHCP - mas, para aumentar a segurança, gostaria de bloquear a VM do restante da LAN, para que ela aceite somente conexões de entrada da Internet. Para que isso seja efetivo em caso de comprometimento, isso teria que acontecer no nível da VM, até onde eu possa ver.

Isso pode ser feito?

    

Answer 1

Você provavelmente precisará de uma segunda placa de rede conectada diretamente ao roteador / firewall. Quando você conecta o cartão de VMs a um cartão físico, é quase como se você conectasse um PC não confiável a um comutador em sua rede confiável.

Portanto, você deve conectá-lo diretamente ao roteador e provavelmente configurar algumas regras da ACL ( link ). Mas simplesmente não definir uma rota para sua rede confiável seria suficiente. No entanto, você provavelmente deseja algum acesso da sua rede confiável, por exemplo, para administração, então sugiro usar a ACL.

Teoricamente, é possível usar uma configuração de "ponte" e filtrar um pacote indesejado no host, mas isso dependeria do SO do host e do software de virtualização. Mas eu não estou familiarizado com configurações de desleixo.

Outra opção é definir o NIC de VMs no modo NAT. Então você pode configurar um firewall no seu PC host. Você precisa redirecionar portas no software de virtualização para que o servidor funcione corretamente. Em seguida, você deve bloquear o acesso à sua rede confiável a partir do software de virtualização.

Eu confiaria mais na primeira solução.

    

Answer 2

Tanto quanto eu sei, é para isso que serve um firewall. Apenas restrinja o firewall a apenas se comunicar com você NAT / roteador.