Die Isolierung des Netzwerkverkehrs ist entscheidend für eine sichere ESXi-Umgebung. Verschiedene Netzwerke benötigen verschiedene Zugriffsmöglichkeiten und Isolierungsebenen.
Ihr ESXi-Host verwendet mehrere Netzwerke. Verwenden Sie angemessene Sicherheitsmaßnahmen für jedes Netzwerk und isolieren Sie Datenverkehr für bestimmte Anwendungen und Funktionen. Stellen Sie beispielsweise sicher, dass VMware vSphere® vMotion®-Datenverkehr nicht über Netzwerke gesendet wird, in denen sich virtuelle Maschinen befinden. Durch Isolierung wird Snooping verhindert. Getrennte Netzwerke werden auch aus Leistungsgründen empfohlen.
- Netzwerke der vSphere-Infrastruktur werden für Funktionen wie vSphere vMotion, VMware vSphere Fault Tolerance, VMware vSAN und Speicher verwendet. Isolieren Sie diese Netzwerke nach ihren spezifischen Funktionen. Es ist meistens nicht nötig, diese Netzwerke außerhalb eines einzelnen physischen Server-Racks zu routen.
- Ein Verwaltungsnetzwerk isoliert Datenverkehr des Clients, der Befehlszeilenschnittstelle (CLI) oder der API sowie Datenverkehr von Drittsoftware von anderem Datenverkehr. Im Allgemeinen haben nur System-, Netzwerk- und Sicherheitsadministratoren Zugriff auf das Verwaltungsnetzwerk. Um den Zugriff auf das Verwaltungsnetzwerk zu sichern, verwenden Sie einen Bastionhost oder ein virtuelles privates Netzwerk (VPN). Führen Sie eine strenge Kontrolle für den Zugriff innerhalb dieses Netzwerks durch.
- Der Datenverkehr von virtuellen Maschinen kann über ein oder zahlreiche Netzwerke fließen. Sie können die Isolierung von virtuellen Maschinen verbessern, indem Sie virtuelle Firewalllösungen einsetzen, in denen Firewallregeln beim virtuellen Netzwerkcontroller festgelegt werden. Diese Einstellungen werden zusammen mit der virtuellen Maschine migriert, wenn diese von einem Host zu einem anderen in der vSphere-Umgebung migriert wird.
