Die Administratoren haben mehrere Optionen zum Sichern von vSphere Distributed Switches in ihrer vSphere-Umgebung.

Für VLANs in einem vSphere Distributed Switch gelten dieselben Regeln wie in einem Standard-Switch. Weitere Informationen finden Sie unter Schutz von Standard-Switches und VLANs.

Prozedur

  1. Deaktivieren Sie für verteilte Portgruppen mit statischer Bindung die Funktion zum automatischen Erweitern.

    Die automatische Erweiterung ist in vSphere 5.1 und höher standardmäßig aktiviert.

    Um die automatische Erweiterung zu deaktivieren, konfigurieren Sie die Eigenschaft autoExpand unter der verteilten Portgruppe mit dem vSphere Web Services SDK oder über eine Befehlszeilenschnittstelle. Siehe die Dokumentation zu vSphere Web Services SDK.
  2. Stellen Sie sicher, dass alle privaten VLAN IDs aller vSphere Distributed Switches vollständig dokumentiert sind.
  3. Bei Verwendung von VLAN-Tagging in einer dvPortgroup müssen die VLAN-IDs mit denen der externen VLAN-fähigen Upstream-Switches übereinstimmen. Wenn die VLAN-IDs nicht ordnungsgemäß aufgezeichnet werden, kann die versehentliche Wiederverwendung von IDs zu unbeabsichtigtem Datenverkehr führen. Ebenso kann bei fehlenden oder falschen VLAN-IDs der Datenverkehr zwischen physischen und virtuellen Maschinen blockiert werden.
  4. Stellen Sie sicher, dass in einer virtuellen Portgruppe, die einem vSphere Distributed Switch zugeordnet ist, keine nicht verwendeten Ports vorhanden sind.
  5. Kennzeichnen Sie alle vSphere Distributed Switches.
    Für mit einem ESXi-Host verknüpfte vSphere Distributed Switches ist ein Textfeld für den Namen des Switches erforderlich. Diese Bezeichnung dient als funktionaler Deskriptor für den Switch, genauso wie der mit einem physischen Switch verknüpfte Hostname. Die Bezeichnung am vSphere Distributed Switch zeigt die Funktion oder das IP-Subnetz des Switches an. Sie können zum Beispiel den Switch als intern bezeichnen, um anzugeben, dass er nur für interne Netzwerke auf dem privaten virtuellen Switch einer virtuellen Maschine dient. Über physikalische Netzwerkadapter erfolgt kein Datenverkehr.
  6. Deaktivieren Sie die Netzwerk-Systemstatusprüfung für Ihre vSphere Distributed Switches, wenn Sie sie nicht regelmäßig verwenden.
    Die Netzwerk-Systemstatusprüfung ist standardmäßig deaktiviert. Nach der Aktivierung enthalten die Systemstatusprüfungspakete Informationen zum Host, Switch und Port, die ein Angreifer möglicherweise verwenden kann. Verwenden Sie die Netzwerk-Systemstatusprüfung nur zur Fehlerbehebung und deaktivieren Sie sie nach Abschluss der Fehlerbehebung.
  7. Schützen Sie virtuellen Datenverkehr vor Imitierungs- und Abfangangriffen auf Layer 2, indem Sie eine Sicherheitsrichtlinie für Portgruppen oder Ports konfigurieren.
    Die Sicherheitsrichtlinie für verteilte Portgruppen und Ports umfasst die folgenden Optionen:
    Durch Auswahl von Verteilte Portgruppen verwalten im Kontextmenü des Distributed Switch und Klicken auf Sicherheit im Assistenten können Sie die aktuellen Einstellungen einsehen und ändern. Informationen finden Sie in der Dokumentation vSphere-Netzwerk.