混合模式如何影響虛擬網(wǎng)絡(luò)安全? |
發(fā)布時間: 2012/9/19 19:49:18 |
在虛擬網(wǎng)絡(luò)中,啟用混合模式存在其優(yōu)劣勢。如果正確地使用則可以在降低風(fēng)險的同時提高虛擬架構(gòu)中網(wǎng)絡(luò)的安全性和效率。 改善虛擬網(wǎng)絡(luò)安全的小提示 為確保虛擬網(wǎng)絡(luò)安全和防止虛擬機模仿其它虛擬機,您可以采取如下幾個防御措施: 關(guān)閉所有虛擬服務(wù)器的混合模式。這一步防止虛擬機看到發(fā)送到其它主機的流量 鎖定MAC地址更改,防止虛擬機變更其MAC地址。這一步可以防止虛擬機訪問發(fā)送給網(wǎng)絡(luò)上其它虛擬機的流量 關(guān)閉欺騙傳輸,可以阻止虛擬機以網(wǎng)絡(luò)內(nèi)其它虛擬機的名義發(fā)送數(shù)據(jù)包 混合模式下,虛擬網(wǎng)卡設(shè)備(可以是網(wǎng)絡(luò)適配器或虛擬機網(wǎng)卡vNIC)可以攔截和訪問虛擬網(wǎng)絡(luò)中的數(shù)據(jù)包,包括發(fā)送給其它vNIC的包。如果關(guān)閉混合模式,vNIC通常會自動丟棄發(fā)送到其它MAC地址的包。并非所有的hypervisor支持混合模式(例如Microsoft Hyper-V),而其它的如VMware vSphere則支持。 多年來,支持混合模式成為管理和監(jiān)控物理網(wǎng)卡和交換機的重要內(nèi)容,F(xiàn)在的虛擬網(wǎng)絡(luò)正在經(jīng)歷類似的過程,出現(xiàn)了一些基本的管理和性能優(yōu)化工具,例如Catbird Networks Inc.’s vSecurity 和 CloudSwitch Enterprise。 通過啟用混合模式監(jiān)控虛擬網(wǎng)絡(luò)流量 不同于很多傳統(tǒng)的網(wǎng)絡(luò)安全工具,虛擬化專用工具可以監(jiān)控宿主機上hypervisor和虛擬機之間的流量。虛擬網(wǎng)絡(luò)主要由運行于同一宿主機上的多臺虛擬機構(gòu)成,邏輯上都是相互連接的,所以它們可以互相發(fā)送和接受數(shù)據(jù)?赡芤慌_虛擬交換機會為整個虛擬網(wǎng)絡(luò)服務(wù),而虛擬交換機通過基于hypervisor的配置信息可以把數(shù)據(jù)轉(zhuǎn)發(fā)到正確的虛擬機。 當啟用混合模式時,安全工具可以通過包嗅探器監(jiān)控流量和虛擬網(wǎng)絡(luò)傳輸內(nèi)容。這些工具通過流量分析判斷是否有非法訪問,例如未經(jīng)授權(quán)的侵入或錯誤發(fā)送給虛擬機的信息。管理員通過包嗅探器分析虛擬網(wǎng)絡(luò)性能,找出瓶頸和管理高效的網(wǎng)絡(luò)數(shù)據(jù)傳輸。通過檢查網(wǎng)絡(luò)流量還可以確保即使某臺虛擬機被感染,也不會相互攻擊。 由于侵入者通過混合模式惡意監(jiān)測網(wǎng)絡(luò)流量,您還可以借助混合模式作為旁路包嗅探器以監(jiān)測哪個vNIC處于非正常狀態(tài)。 不加管束的混合模式 在某些hypervisor中啟用混合模式很容易,但是只建議有深入了解的IT人員去啟用該功能。在ESXi中,您可以通過簡單幾步啟用虛擬交換機上的混合模式:登錄到vCenter Server > select an ESXi host >選擇希望啟用的交換機> 然后接受修改。 混合模式還常用于混合云環(huán)境。CloudSwitch應(yīng)用需要ESX虛擬交換機混合模式的支持,實現(xiàn)數(shù)據(jù)中心和位于外部云中的工作負載的路由。由于CloudSwitch只對云內(nèi)的服務(wù)器流量感興趣,您可以配置只屬于應(yīng)用的端口。這樣,CloudSwitch應(yīng)用永遠不會接收到虛擬交換機上其它節(jié)點的數(shù)據(jù),因為混合模式只對該獨立端口組啟用。 在公有云中混合模式也有應(yīng)用。用戶可以在亞馬遜EC2中創(chuàng)建啟用混合模式的虛擬機。但是,不同于物理機和虛擬機,EC2只會把數(shù)據(jù)傳輸?shù)秸_地址的vNIC。換句話說,EC2虛擬服務(wù)器只會向目標IP或MAC地址發(fā)數(shù)據(jù),而對于EC2運行于混合模式的虛擬機,是不能接受和嗅探發(fā)送到其它EC2虛擬服務(wù)器的數(shù)據(jù)的。 用戶可以在運行混合模式的EC2環(huán)境中通過安全監(jiān)控獲知是否混合模式被正確關(guān)閉,這對于運行關(guān)鍵應(yīng)用的EC2服務(wù)器尤其重要。如果安全監(jiān)控工具可以嗅探到發(fā)送給其它虛擬機的包,那么EC2的混合模式運行不正常——需要引起關(guān)注。 最后,雖然混在模式可能會改善虛擬網(wǎng)絡(luò)安全和效率。但是,如果使用不當,該網(wǎng)絡(luò)屬性會嚴重危害數(shù)據(jù)中心。所以,沒有經(jīng)驗的IT管理員最好遠離混合模式,以確保入侵者不會從虛擬網(wǎng)絡(luò)中竊取到敏感數(shù)據(jù)。 本文出自:億恩科技【mszdt.com】 服務(wù)器租用/服務(wù)器托管中國五強!虛擬主機域名注冊頂級提供商!15年品質(zhì)保障!--億恩科技[ENKJ.COM] |