Existe perigo de virtualizar um roteador?

Question

Eu li em alguns fóruns sobre o pfSense que dizia que era perigoso virtualizar o pfSense. A razão que foi declarada foi que um invasor poderia usar o pfsense como um trampolim para atacar o hipervisor e usá-lo para obter acesso a outras máquinas virtuais e, eventualmente, colocar tudo offline.

Parece loucura para mim, mas existe um fragmento de realidade nessa ideia? A execução de um roteador em um servidor virtual é uma má ideia?

    

Answer 1

Os argumentos que as pessoas geralmente têm contra isso são a segurança do próprio hypervisor, o que a história provou não ser uma grande preocupação. Isso pode sempre mudar, mas ainda não houve problemas de segurança de hipervisor recorrentes. Algumas pessoas simplesmente se recusam a confiar, por nenhuma boa razão. Não se trata de atacar outros hosts se alguém possuir o firewall, nesse caso, não importa onde esteja sendo executado, e de todas as coisas que provavelmente serão comprometidas, o firewall está na lista abaixo, a menos que você faça algo estúpido como abrir seu gerenciamento para toda a Internet com o conjunto de senhas padrão. Essas pessoas têm um medo irracional de que haverá algum pacote "root ESX" mágico enviado da Internet através de uma de suas interfaces em ponte que, de alguma forma, vai fazer alguma coisa para o hipervisor. Isso é extraordinariamente improvável, há milhões de maneiras mais prováveis de comprometer sua rede.

Numerosos datacenters de produção executam pfSense no ESX, eu configurei provavelmente mais de 100 sozinho. Nossos firewalls são executados no ESX. De todas essas experiências, o único par de pequenas desvantagens em virtualizar seus firewalls são: 1) se a infra-estrutura de virtualização ficar inativa, você não poderá resolvê-la se não estiver fisicamente naquele local (aplicável principalmente a datacenters de cores). Isso deve ser muito raro, especialmente se você tiver o CARP implantado com um firewall por host físico. Eu vejo situações em que isso acontece, e alguém precisa ir fisicamente ao local para ver o que está errado com o hipervisor, como o firewall virtual, e o caminho também está inativo. 2) Mais propensos a erros de configuração que podem causar problemas de segurança. Quando você tem um vfame de tráfego de Internet não filtrado e um ou vários de tráfego de rede privada, há algumas possibilidades de que o tráfego de Internet não filtrado caia em suas redes privadas (cujo impacto potencial variaria de um ambiente para outro). Eles são cenários muito improváveis, mas muito mais prováveis do que fazer o mesmo tipo de estragar em um ambiente onde o tráfego completamente não confiável não está conectado de alguma forma a hosts internos.

Nenhum deles deve impedi-lo de fazer isso - apenas tome cuidado para evitar interrupções do cenário 1, especialmente se ele estiver em um datacenter no qual você não tem acesso físico pronto se perder o firewall.

    

Answer 2

Existe o perigo de qualquer coisa estar ligada ao período da internet.

Para citar o Weird Al imortal:

Turn off your computer and make sure it powers down
Drop it in a forty-three-foot hole in the ground
Bury it completely; rocks and boulders should be fine
Then burn all the clothes you may have worn any time you were online!

Qualquer coisa que você exponha ao mundo exterior tem uma superfície para ataque. Se você estiver executando o pfSense em hardware dedicado e ficar comprometido, o invasor terá agora um trampolim para atacar tudo internamente. Se sua máquina virtual pfSense for comprometida, o invasor terá um vetor de ataque extra - as ferramentas do hipervisor (presumindo que você as instalou) - com as quais trabalhar, mas, nesse ponto, sua rede já estará comprometida e você estará em um mundo de ferir de qualquer maneira.

Então, é menos seguro usar uma instância virtualizada do pfSense? Sim, marginalmente. É algo que eu me preocuparia? Não.

EDITAR: Após uma análise mais aprofundada - se houver um erro específico no pfSense do qual não tenho conhecimento em que há problemas com NICs virtualizadas que de alguma forma criam uma falha de segurança, o acima é inválido. Eu não tenho conhecimento de tal vulnerabilidade, no entanto.

    

Answer 3

Existe algum perigo inerente ao executar qualquer coisa em um ambiente virtual, independentemente do tipo de servidor do qual você está falando. Recentemente, respondi a uma pergunta semelhante . Como o seu roteador / firewall já terá acesso à sua rede interna, não há razão real para atacar o nível do hipervisor - já existem vetores de ataque muito melhores disponíveis.

A única razão pela qual eu posso realmente ver indo atrás do hipervisor é se sua máquina virtual está residindo em um DMZ. De lá, você poderia ir atrás do hipervisor e entrar em uma máquina na rede interna. Esse não é o caso de uso que você está descrevendo.

Pessoalmente, mantenho uma cópia virtualizada do meu firewall para fins de DR. Usá-lo não é ideal, mas é uma opção.