Proteggere il commutatore fisico su ogni host ESXi per evitare che utenti malintenzionati possano ottenere l'accesso all'host e alle relative macchine virtuali.

Per proteggere al meglio gli host, assicurarsi che le porte del commutatore fisico siano configurate con Spanning Tree disattivato e che l'opzione di non negoziazione sia configurata per i collegamenti di trunk tra commutatori fisici esterni e commutatori virtuali in modalità VST (Virtual Switch Tagging).

Procedura

  1. Accedere al commutatore fisico e assicurarsi che il protocollo Spanning Tree sia disattivato o che Port Fast sia configurato per tutte le porte del commutatore fisico connesse agli host ESXi.
  2. Per le macchine virtuali che eseguono il bridging o il routing, verificare periodicamente che la prima porta del commutatore fisico upstream sia configurata con BPDU Guard e Port Fast disattivati e con il protocollo Spanning Tree attivato.
    Per proteggere il commutatore fisico da potenziali attacchi DoS (Denial of Service), è possibile attivare il filtro BPDU guest negli host ESXi.
  3. Accedere al commutatore fisico e assicurarsi che il protocollo DTP (Dynamic Trunking Protocol) non sia attivato nelle porte del commutatore fisico connesse agli host ESXi.
  4. Controllare regolarmente le porte del commutatore fisico per assicurarsi che siano configurate correttamente come porte trunk se connesse alle porte di trunking VLAN dello switch virtuale.