Googling พบว่ามีคนบอกฉันว่าการเรียกใช้ไฟร์วอลล์ / เราเตอร์เนื่องจากเครื่องเสมือนนั้น "อันตราย" แต่ไม่มีใครบอกเหตุผลว่าทำไมถึงเป็นเช่นนั้น ฉันยังพบโพสต์จากผู้ที่ประสบความสำเร็จในการใช้งานไฟร์วอลล์เช่นเดียวกับบนเครื่องเสมือน
ใครบ้างมีประสบการณ์กับสิ่งนี้หรือไม่?
อะไรคือข้อดีหรือข้อเสียของการใช้ไฟร์วอลล์ / เราเตอร์บนเครื่องเสมือนในบางสิ่งเช่น proxmox vs ob บนเครื่องทางกายภาพ
คำตอบ:
จริงๆแล้ววิธีที่ถูกต้องในการทำสิ่งต่าง ๆ เป็นสิ่งที่ตรงกันข้ามกับวิธีที่คุณกำลังเข้าใกล้ถ้าความปลอดภัยเป็นเรื่องสำคัญยิ่ง คุณต้องการเรียกใช้เราเตอร์ / ไฟร์วอลล์บนโลหะเปลือยและโฮสต์ VM ภายในนั้นสำหรับการใช้เดสก์ท็อปหรือเซิร์ฟเวอร์มาตรฐาน
ยกโทษให้ฉันดูภาพประกอบ MS Paint
หากคุณเชื่อมโยง NIC ของ VM และ LAN NIC (จากระบบปฏิบัติการโลหะเปลือย) ของ VM พวกเขาสามารถปรากฏเป็นอินเทอร์เฟซ "LAN" เดียวกันสำหรับวัตถุประสงค์ของการไฟร์วอลล์หรือการกำหนดเส้นทาง
ปัญหาด้านความปลอดภัยส่วนใหญ่จะเกิดขึ้นถ้ามีใครบางคนกำลังขึ้นไปที่คอนโซลในขณะที่สิ่งนี้กำลังทำงานและปิดการใช้งานเราเตอร์ / ไฟร์วอลล์ VM หรือปิดใช้งานการเชื่อมต่อ / ยกเลิกการผูก NIC ของคุณจาก VM - หรือถ้ามีคน . มีความเป็นไปได้เช่นเคยซอฟต์แวร์ที่เป็นอันตรายอาจทำสิ่งที่แปลกประหลาด
คุณสามารถทำได้และใช้ซอฟต์แวร์ VM ใด ๆ หากคุณต้องการ แต่ข้อเสียคือถ้าคุณใช้บางอย่างเช่น ESX คุณจะต้อง RDP ลงในเดสก์ท็อป VM แทนที่จะเข้าถึงโดยตรงผ่านคอนโซล
มีผลิตภัณฑ์เชิงพาณิชย์เช่น Check Point เดิมคือ "VSX" ซึ่งให้บริการ "ไฟร์วอลล์เสมือน" บนฐานฮาร์ดแวร์ที่กำหนด หากเราพูดถึง VMWare หรือไฟร์วอลล์ที่ดีกว่าบนคลาวด์ คุณตั้งค่าไฟร์วอลล์ "ใน" คลาวด์เพื่อแบ่งส่วนเครือข่าย "ภายใน" คลาวด์ "" ไม่ใช่การสื่อสารระหว่างคลาวด์และเครือข่ายอื่น
ประสิทธิภาพมี จำกัด มากและมีการแชร์ประสิทธิภาพในคลาวด์ ไฟร์วอลล์ที่ใช้ asic สามารถทำได้> 500GBps ไฟร์วอลล์หรือสวิตช์ที่ทำงานบน VMware นั้นใช้ <20GBps คำสั่ง LAN NIC สามารถจับไข้หวัดจากสาย คุณสามารถระบุได้ว่าอุปกรณ์ระดับกลางใด ๆ เช่นสวิตช์เราเตอร์และ IPS อาจได้รับผลประโยชน์จากการรับส่งข้อมูล
เราเห็นสิ่งนี้ในแพ็กเก็ต "malformed" (aka กรอบ, ชิ้นส่วน, เซ็กเมนต์ ฯลฯ ) ดังนั้นเราสามารถระบุได้ว่าใช้อุปกรณ์ "ตัวกลาง" ไม่ปลอดภัย NIST ของเยอรมันที่ชื่อ BSI ระบุว่าเมื่อหลายปีก่อนว่าเราเตอร์เสมือน (เช่น VDCs (บริบทอุปกรณ์เสมือน - Cisco Nexus)) และ VRF (การส่งต่อเส้นทางเสมือน) ไม่ปลอดภัย จากมุมมองการแบ่งปันทรัพยากรเป็นความเสี่ยงเสมอ ผู้ใช้สามารถใช้ประโยชน์จากทรัพยากรและลดคุณภาพการบริการสำหรับผู้ใช้รายอื่น ซึ่งทั่วโลกจะวางทั้ง VLAN และเทคโนโลยีการซ้อนทับ (เช่น VPN และ MPLS) ในคำถาม
หากคุณมีความต้องการด้านความปลอดภัยสูงฉันจะใช้ฮาร์ดแวร์เฉพาะและเครือข่ายเฉพาะ (รวมถึงสายเฉพาะ!) ถ้าคุณถามว่าไฮเปอร์ไวเซอร์ (โดยเฉพาะอย่างยิ่งในโลหะเปลือย) เป็นปัญหาด้านความปลอดภัยเป็นพิเศษในสถานการณ์ทั่วไปหรือไม่ .
โดยทั่วไปแล้วเครื่องเสมือนจะเชื่อมต่อกับเครือข่ายผ่านการเชื่อมต่อที่เชื่อมต่อ (เช่นเครือข่ายจะต้องผ่านคอมพิวเตอร์ทางกายภาพที่ใช้งานอยู่) ในการใช้ VM เป็นไฟร์วอลล์หมายความว่าทราฟฟิกทั้งหมดสามารถเข้าสู่คอมพิวเตอร์จริงได้จากนั้นแพ็คเก็ตจะถูกส่งไปยัง VM กรองแล้วส่งกลับไปที่คอมพิวเตอร์จริง เนื่องจากคอมพิวเตอร์ที่มีอยู่จริงสามารถรับแพ็คเก็ตที่ไม่มีการกรองและรับผิดชอบในการกระจายแพ็คเก็ตไปยังเครือข่ายที่เหลือนี่จึงเป็นประโยชน์ในการส่งแพ็คเก็ตที่ไม่มีการกรองรอบเครือข่าย