La sicurezza dell’interfaccia di gestione ESXi è essenziale per proteggere da intrusioni e usi scorretti. Se un host risulta compromesso, è possibile che risultino compromesse anche le macchine virtuali con cui interagisce. Per ridurre al minimo il rischio di un attacco attraverso l’interfaccia di gestione, ESXi viene protetto con un firewall incorporato.

Per proteggere l’host da intrusioni non autorizzate e usi scorretti, VMware impone vincoli su diversi parametri, impostazioni e attività. I vincoli possono essere interrotti per soddisfare esigenze di configurazione, ma in questo caso è necessario adottare le misure necessarie per proteggere la rete nel complesso e i dispositivi connessi all’host.

Tenere presente i consigli seguenti in fase di valutazione della sicurezza e della gestione dell’host.

  • Per migliorare la sicurezza, limitare l’accesso dell’utente all’interfaccia di gestione e applicare criteri di sicurezza di accesso, come ad esempio l’impostazione di limitazioni alle password.
  • Garantire l'accesso a ESXi Shell solo agli utenti attendibili. ESXi Shell dispone di accesso privilegiato ad alcune parti dell’host.
  • Quando possibile, eseguire solo processi, servizi e agenti essenziali quali i programmi antivirus e i backup di macchine virtuali.
  • Quando possibile, utilizzare vSphere Web Client o uno strumento di gestione di rete di terze parti per gestire host ESXi, anziché lavorare attraverso l’interfaccia della riga di comando come utente root. Quando si utilizza vSphere Web Client, la connessione all’host ESXi avviene sempre tramite un sistema vCenter Server.

L’host esegue diversi pacchetti di terze parti per supportare interfacce o attività di gestione eseguite da un operatore. VMware supporta l'aggiornamento di questi pacchetti solo da origini VMware. Se si utilizza un download o una patch proveniente da un’altra origine, è possibile che la sicurezza o le funzioni dell’interfaccia di gestione risultino compromesse. Verificare regolarmente la presenza di avvisi di sicurezza nei siti di fornitori terze parti e nella knowledge base di VMware.

In aggiunta all'implementazione del firewall, è possibile diminuire i rischi per gli host ESXi utilizzando altri metodi.

  • Assicurarsi che tutte le porte del firewall non necessarie in modo specifico per l'accesso di gestione all’host siano chiuse. Le porte devono essere aperte in modo specifico se sono richiesti servizi aggiuntivi.
  • Sostituire i certificati predefiniti e non abilitare metodi di codifica deboli. Per impostazione predefinita, eventuali metodi di codifica deboli vengono disattivati e tutte le comunicazioni dai client vengono protette tramite protocollo TLS. Gli algoritmi esatti utilizzati per la protezione del canale dipendono dall’handshake del protocollo TLS. I certificati predefiniti creati su ESXi utilizzano la codifica SHA-1 con RSA come algoritmo di firma.
  • Installare le patch di sicurezza. VMware monitora tutti gli avvisi di sicurezza che potrebbero influire sulla sicurezza di ESXi, e se necessario invia una patch di sicurezza.
  • Servizi non sicuri quali FTP e Telnet non vengono installati, e le porte per questi servizi risultano chiuse. Poiché servizi più sicuri quali SSH e SFTP risultano facilmente disponibili, optare sempre per questo tipo di alternative ed evitare i servizi non sicuri. Se è necessario utilizzare servizi non sicuri, implementare una protezione sufficiente per gli host ESXi e aprire le porte corrispondenti.

È possibile impostare gli host ESXi in modalità blocco. Quando viene abilitata la modalità blocco, l’host può essere gestito solo da vCenter Server. Nessun utente, eccetto vpxuser, dispone di autorizzazioni di autenticazione, mentre le connessioni dirette all’host vengono rifiutate.