Eine virtuelle Maschine, die BPDU-Frames (Bridge Protocol Data Unit) sendet (z. B. ein VPN-Client), bewirkt, dass bei virtuellen Maschinen, die mit derselben Portgruppe verbunden sind, die Verbindung getrennt wird. Die Übertragung von BPDU-Frames kann auch die Verbindung des Hosts oder des übergeordneten vSphere HA-Clusters trennen.

Prozedur

  • Falls die VPN-Software noch auf der virtuellen Maschine verwendet werden muss, lassen Sie den ausgehenden Datenverkehr für die virtuelle Maschine zu und konfigurieren Sie den physischen Switch-Port so, dass die BPDU-Frames übertragen werden.

    Netzwerkgerät

    Konfiguration

    Distributed Switch oder Standard-Switch

    Legen Sie die Sicherheitseigenschaft „Gefälschte Übertragungen“ in der Portgruppe auf Akzeptieren fest, damit BPDU-Frames aus dem Host übertragen werden und den physischen Switch-Port erreichen.

    Sie können die Einstellungen und den physischen Adapter für den VPN-Datenverkehr isolieren, indem Sie die virtuelle Maschine einer separaten Portgruppe hinzufügen und den physischen Adapter der Gruppe zuweisen.

    ACHTUNG:

    Die Festlegung der Sicherheitseigenschaft „Gefälschte Übertragungen“ auf Akzeptieren, damit BPDU-Frames von einem Host gesendet werden können, beinhaltet ein Sicherheitsrisiko, da eine manipulierte virtuelle Maschine Spoofing-Angriffe ausführen kann.

    Physischer Switch

    • Lassen Sie Port-Fast aktiviert.

    • Aktivieren Sie den BPDU-Filter für den betreffenden Port. Wenn ein BPDU-Frame am Port eintrifft, wird er herausgefiltert.

    Anmerkung:

    Aktivieren Sie den BPDU-Filter nicht global. Wenn der BPDU-Filter global aktiviert wird, wird der Port-Fast-Modus deaktiviert und alle physischen Switch-Ports führen den kompletten STP-Funktionssatz aus.

  • Um ein Bridge-Gerät zwischen zwei VM-Netzwerkkarten bereitzustellen, die mit demselben Layer 2-Netzwerk verbunden sind, lassen Sie den ausgehenden BPDU-Datenverkehr für die virtuellen Maschinen zu und deaktivieren Sie Port-Fast und die Verhinderung von BPDU-Schleifen.

    Netzwerkgerät

    Konfiguration

    Distributed Switch oder Standard-Switch

    Legen Sie die Eigenschaft „Gefälschte Übertragungen“ der Sicherheitsrichtlinie in den Portgruppen auf Akzeptieren fest, damit BPDU-Frames aus dem Host übertragen werden und den physischen Switch-Port erreichen.

    Sie können die Einstellungen und einen oder mehrere physische Adapter für den Bridge-Datenverkehr isolieren, indem Sie die virtuelle Maschine einer separaten Portgruppe hinzufügen und die physischen Adapter der Gruppe zuweisen.

    ACHTUNG:

    Die Festlegung der Sicherheitseigenschaft „Gefälschte Übertragungen“ auf Akzeptieren, um die Bridge-Bereitstellung zu ermöglichen, beinhaltet ein Sicherheitsrisiko, da eine manipulierte virtuelle Maschine Spoofing-Angriffe ausführen kann.

    Physischer Switch

    • Deaktivieren Sie Port-Fast auf den Ports zum virtuellen Bridge-Gerät, um STP darauf auszuführen.

    • Deaktivieren Sie BPDU-Guard und filtern Sie nach den Ports, die auf das Bridge-Gerät verweisen.

  • Schützen Sie die Umgebung auf jeden Fall vor DoS-Angriffen, indem Sie den BPDU-Filter auf dem ESXi-Host oder dem physischen Switch aktivieren.
    • Aktivieren Sie auf einem Host mit ESXi 4.1 Update 3, ESXi 5.0 Patch 04 und späteren 5.0-Versionen sowie ESXi 5.1 Patch 01 und höher den Gast-BPDU-Filter mithilfe einer der folgenden Methoden und starten Sie den Host neu:

      • Setzen Sie in der Tabelle für erweiterte Systemeinstellungen auf der Registerkarte Konfigurieren für den Host im vSphere Web Client die Eigenschaft „Net.BlockGuestBPDU“ auf 1.

      • Geben Sie in einer ESXi Shell für den Host den folgenden vCLI-Befehl ein:

        esxcli system settings advanced set -o /Net/BlockGuestBPDU -i 1
    • Aktivieren Sie auf einem Host, für den der Gast-BPDU-Filter nicht implementiert ist, den BPDU-Filter auf dem physischen Switch-Port zum virtuellen Bridge-Gerät.

      Netzwerkgerät

      Konfiguration

      Distributed Switch oder Standard-Switch

      Setzen Sie die Eigenschaft „Gefälschte Übertragungen“ der Sicherheitsrichtlinie in der Portgruppe auf Ablehnen.

      Physischer Switch

      • Behalten Sie die Port-Fast-Konfiguration bei.

      • Aktivieren Sie den BPDU-Filter für den betreffenden physischen Switch-Port. Wenn ein BPDU-Frame am physischen Port eintrifft, wird er herausgefiltert.

      Anmerkung:

      Aktivieren Sie den BPDU-Filter nicht global. Wenn der BPDU-Filter global aktiviert wird, wird der Port-Fast-Modus deaktiviert und alle physischen Switch-Ports führen den kompletten STP-Funktionssatz aus.