Les pratiques d’isolation réseau renforcent la sécurité du réseau dans votre environnement vSphere.
Isoler le réseau de gestion
Le réseau de gestion vSphere donne accès à l'interface de gestion vSphere sur chaque composant. Les services s'exécutant sur l'interface de gestion offrent la possibilité pour un pirate d'obtenir un accès privilégié aux systèmes. Les attaques à distance sont susceptibles de commencer par l'obtention d'un accès à ce réseau. Si un pirate obtient accès au réseau de gestion, cela lui fournit une base pour mener d'autres intrusions.
Contrôlez strictement l'accès au réseau de gestion en le protégeant au niveau de sécurité de la machine virtuelle la plus sécurisée s'exécutant sur un hôte ou un cluster ESXi. Quelle que soit la restriction du réseau de gestion, les administrateurs doivent avoir accès à ce réseau pour configurer les hôtes ESXi et le système vCenter Server.
Placez le groupe de ports de gestion vSphere dans un VLAN dédié sur un commutateur standard commun. Le trafic de production (VM) peut partager le commutateur standard si le groupe de ports de gestion vSphere du VLAN n'est pas utilisé par les machines virtuelles de production.
Vérifiez que le segment de réseau n'est pas routé, à l'exception des réseaux dans lesquels se trouvent d'autres entités de gestion. Le routage d'un segment de réseau peut sembler pertinent pour vSphere Replication. Assurez-vous notamment que le trafic des machines virtuelles de production ne peut pas être routé vers ce réseau.
- Pour accéder au réseau de gestion dans les environnements particulièrement sensibles, configurez une passerelle contrôlée ou une autre méthode contrôlée. Par exemple, rendez obligatoire l'utilisation d'un VPN pour la connexion des administrateurs au réseau de gestion. N'autorisez l'accès au réseau de gestion qu'aux administrateurs approuvés.
- Configurez des hôtes bastions qui exécutent des clients de gestion.
Isoler le trafic de stockage
Assurez-vous que le trafic de stockage IP est isolé. Le stockage IP inclut iSCSI et NFS. Les machines virtuelles peuvent partager des commutateurs virtuels et des VLAN avec des configurations de stockage IP. Ce type de configuration peut exposer du trafic de stockage IP à des utilisateurs de machine virtuelle non autorisés.
Le stockage IP est généralement non chiffré. Toute personne ayant accès à ce réseau peut afficher le trafic de stockage IP. Pour empêcher les utilisateurs non autorisés à voir le trafic de stockage IP, séparez logiquement le trafic du réseau de stockage IP du trafic de production. Configurez les adaptateurs de stockage IP sur des VLAN ou des segments de réseau séparés du réseau de gestion VMkernel pour empêcher les utilisateurs non autorisés d'afficher le trafic.
Isoler le trafic vMotion
Les informations de migration vMotion sont transmises en texte brut. Toute personne ayant accès au réseau sur lequel ces informations circulent peut les voir. Les pirates potentiels peuvent intercepter du trafic vMotion pour obtenir le contenu de la mémoire d'une machine virtuelle. Ils peuvent également préparer une attaque MiTM dans laquelle le contenu est modifié pendant la migration.
Séparez le trafic vMotion du trafic de production sur un réseau isolé. Configurez le réseau de manière qu'il soit non routable, c'est-à-dire assurez-vous qu'aucun routeur de niveau 3 n'étend ce réseau et d'autres réseaux, pour empêcher un accès au réseau de l'extérieur.
Utilisez un VLAN dédié sur un commutateur standard commun pour le groupe de ports vMotion. Le trafic de production (VM) peut utiliser le même commutateur standard si le groupe de ports vMotion du VLAN n'est pas utilisé par les machines virtuelles de production.
Isoler le trafic vSAN
Lors de la configuration de votre réseau vSAN, isolez le trafic vSAN sur son propre segment de réseau de couche 2. Vous pouvez effectuer cette isolation en utilisant des commutateurs ou des ports dédiés, ou en utilisant un VLAN.
