Firewall para VMware ESXi ou vSphere

Question

Desejo proteger VMs individuais em um host vSphere / ESXi com regras de firewalls usando uma solução que funcione diretamente no hipervisor. Por padrão vSPhere não permite isso, certo? Ele tem que suportar uma configuração em cluster, é claro. Quais são minhas opções?

O que não é uma opção para mim é: - Executando um firewall como uma VM e conectando todas as VMs por trás disso. - Usando o firewall interno do Windows, uma vez que eles querem administração para o sistema operacional e, portanto, podem apenas desativar o Firewall do Windows.

Um cenário seria uma VM em que você concede acesso a um usuário. Mas a partir dessa máquina ele deveria estar totalmente isolado do resto da rede. Então ele não deveria ter permissão para acessar qualquer outra máquina. Mesmo não aqueles em sua própria sub-rede

    

Answer 1

Para o VMware vSphere, a solução de firewall certa é o VMware vCloud Módulo de Rede e Segurança (anteriormente, vShield) disponível com o produto pago (nível Essential Plus e acima $$$).

Isso permitiria controles granulares e monitoramento de rede de VMs, incluindo aquelas na mesma sub-rede.

Funciona inserindo um filtro nas interfaces configuradas da sua VM no arquivo .vmx. O tráfego é filtrado por meio de um conjunto de máquinas virtuais vShield (uma VM de gerenciamento e um firewall por host):

ethernet0.filter0.name = "vshield-dvfilter-module"
ethernet0.filter0.param1 = "uuid=50048229-580b-7327-832e-1390c8c98044.000"
ethernet0.filter0.onFailure = "failClosed"

Se as máquinas virtuais vShield falharem, o tráfego da VM nas VMs configuradas será interrompido por padrão.

    

Answer 2

O hipervisor não executa firewall ou NAT em suas VMs. Pretende funcionar como se não estivesse lá do ponto de vista da rede.

Com isso dito, se você quiser uma separação de rede lógica entre as VMs, terá que fazer isso usando um método de rede mais convencional. Isso ocorrerá em firewalls baseados em host, VLANs, controles de acesso restritos ou métodos ainda mais complexos, como a autenticação RADIUS.

    

Answer 3

Existem também firewalls baseados em hipervisor de terceiros. Eu tive uma experiência decente com o Juniper VGW: link