![加密 ESXi 盒上的所有内部通信](https://linux22.com/image/679685/%E5%8A%A0%E5%AF%86%20ESXi%20%E7%9B%92%E4%B8%8A%E7%9A%84%E6%89%80%E6%9C%89%E5%86%85%E9%83%A8%E9%80%9A%E4%BF%A1.png)
假设我有一个由许多虚拟机组成的大型系统,这些虚拟机运行在一个裸机 esxi 盒上。这些虚拟机中的每一个都运行着系统所需的应用程序。我无法更改某些应用程序,而更改其他应用程序则很困难。许多这些应用程序都以明文形式发送密码,你知道,就像你一样。
我想探索一个系统范围的解决方案。是否可以配置 ESXi 虚拟机管理程序,以便这些虚拟机之间的所有“虚拟” IP 流量都加密?
我的意思不是将 VM Guest 操作系统更改为使用 SSL 或类似的东西(如果可能的话,尽量避免)。而是希望 ESXi 处理这些虚拟 NIC 之间的数据加密和解密;或者任何其他能够充分隐藏这些数据的解决方案。
答案1
是否可以配置 ESXi 虚拟机管理程序以便这些虚拟机之间的所有“虚拟” IP 流量都加密?
不是,但它是一个交换机而不是集线器,无论如何它本身不是 - 如果你真的想谨慎一点,你可以使用 NSX,它在虚拟机之间提供微分段,但它没有加密,只是防火墙。
答案2
当您针对安全性或故障进行设计时,您应该创建一个可能的用例列表。
例如:
- 我想要防范恶意/受感染的虚拟机监听非发往它们的网络流量。
- 我想确保如果我们丢弃 HDD(例如更换 RAID 磁盘),数据将无法恢复。
- 我希望受损的 Web 前端对数据库中的机密数据的影响最小。
使用这种思维方式将消除一些无法提高安全性的解决方案,并揭示出更好的解决方案。为了能够提出这些问题,您需要了解应用程序、它将如何使用以及目标用户群是什么。
如果您希望保护的虚拟机位于没有恶意虚拟机的 VLAN 中,则可能不需要在这些虚拟机之间进行 SSL 加密。可能只需要一些防火墙规则就足够了。
例如,SSL 无法保护您免受 SQL 注入的侵害,而且它可能会产生类似 heart-bleed 的错误。添加防火墙无法保护您免受网络嗅探器的侵害,但可以限制攻击面。
答案3
加密 IP 流量的目的是防止其被拦截和窃听。由于 ESX 虚拟交换机驻留在主机的内存中,因此虚拟机之间的流量永远不会离开 ESXi 主机。因此,在您的情况下加密 ESXi 主机内的流量是没有意义的。
如果您有多个 ESXi 主机,并且您的客户虚拟机有可能在单独的 ESXi 主机上运行,并且此流量通过不受信任的网络段,那么您可以在每个 ESXi 主机上部署虚拟 VPN/防火墙设备,并通过 VPN 链接路由您的流量。老实说,如果您需要采用这种解决方案,那么您的整体网络设计可能会遇到更大的问题,您应该首先解决它。