Likes: 0
25/02/10 19:10
Hoe zit het precies met de beveiliging van Citrix XenServer en VMware ESXi.
Xenserver draait op een gemodificeert linux OS, ESXi heeft eigenlijk alleen een "console" toch?
Als XenServer out-the-box geinstalleerd is, zit het dan dicht? of moet je nog aanpassingen maken om hem voor buitenaf dicht te gooien een firewall e.d.
Hoe doen jullie WHT'ers dit?
25/02/10 19:13
Door het zelf uit te zoeken, de whitepapers lezen, testen etc.Oorspronkelijk geplaatst door Mick-X
25/02/10 19:38
Ik heb gegoogled en alle whitepapers afgelezen op de site van XenServer, maar ik krijg geen concreet antwoord. De één zegt dat je met IP tables een firewall kunt aanleggen in XenServer, de ander zegt Hoe en dan geeft weer iemand het antwoord "dat weet ik ook niet".
Hier schiet je natuurlijk niet zoveel mee op, dus ik dacht dat misschien iemand van jullie hier reeds ervaring mee heeft.
25/02/10 19:42
Je machine dichtkloppen met een firewall lijkt mij nooit een overbodige luxe?
Je doet met een Xen bak hetzelfde wat je met een 'normale' linuxbak doet eigenlijk.
Denk aan SSH op een andere poort, poorten blokkeren die toch niet gebruikt worden, root toegang uitschakelen, e.d.
25/02/10 20:42
Out of the box zullen er de benodige poorten openstaan. Een lokale firewall is inderdaad geen overbodige luxe zoals Piwi al schreef.
Zorg ervoor dat de SSH service op een andere poort draait, en zorg voor RSA ;-)
Verder degelijke wachtwoorden gebruiken, dan ben je al een heel eind.
25/02/10 21:06
en console spul op een intern ip indien mogelijk
25/02/10 21:42
Moet je niet eens gaan dichtkloppen zo'n bak. Doe moet in een afgesloten intern netwerk zitten volledig van de rest gescheiden !
25/02/10 22:52
same here, wij gebruiken zowel ESX als ESXi, maar wel in gescheiden vlans met ACL's op mac basis en firewalls ervoor. Je wilt niet dat mensen van buiten op je service console kunnen.
Imho, beste zijn bovenstaande (ook door andere voorgestelde) oplossingen en 1 secured (hardened terminal server oid / windows / linux you name it) waarop je kan inloggen en je beheer kan doen.
Peter-Paul Kurstjens
26/02/10 00:19
Hmm, dus jij stelt voor om de management console via een aparte NIC (zitten er meestal meerdere in een server) op een intern netwerk aan te sluiten dat op zijn beurt alleen te bereiken is met een aparte server die ook in dat VLAN zit.
Verder is er "geen internet access" mogelijk voor het management network dus hoef je ook niks dicht te gooien.
Nou dát noem ik inventief, en eigenlijk wel heel erg veilig ook...
Dank!
26/02/10 05:34
Dat is inderdaad het enoge goede antwoord. Houdt er wel gekening mee dat je hosts graag de tijd willen syncen via NTP. Gebruik dus of een NAT zodat ze wel naar buiten kunnen, of een NTP server op het interne netwerk.
Wil je gebruikers bij VMware toegang geven tot Vcenter doe je dat of via een Terminal Server of nog beter via SSL VPN.
MultiMaak - Voor persoonlijke cadeau's en relatiegeschenken!
26/02/10 11:27
Randy, ik was eraan het denken om een router (Juniper SSG5) neer te zetten die VPN erop heeft? met de firewall van de router kan ik alles nog eens extra dicht gooien, niet dat mensen uberhaupt wat kunnen doen als er helemaal geen NAT is ingesteld, maar toch.
Vervolgens kan ik via VPN inloggen, en kan ik alles benaderen alsof ik in het netwerk zit, dan kan ik op mijn pc's en laptop gewoon alle management tools houden.
Zie: Schets.png
Alle vm's zitten rechtstreeks op het internet, echter het managementnetwork (blauw) zit intern, en dus niet rechtstreeks benaderbaar voor internet.
Laatst gewijzigd door Mick-X; 26/02/10 om 11:57.
26/02/10 12:24
26/02/10 12:27
True, ik zou ook op de switch een apart VLAN kunnen maken, eigenlijk nog makkelijker ook.
26/02/10 12:28
26/02/10 15:28
Wil je goedkoop, neem dan een PFsense, vyetta of m0n0wall set-up. Een ideaal leerplatform om mee te spelen. Wil je beter, kijk bij Netgear of Sonicwall (1260) en je hebt een alles-in-een apparaat (zorg wel dat die Gbit is).
Denk vooral vooruit. Nu goedkoop is straks duurkoop. Wil je klanten toegang geven tot Vcenter of remote-desktop, kijk dan naar iets wat SSL VPN kan bieden. Wil je High Availlability later implementeren, zorg dan voor een Gbit wirespeed zodat je je nodes met je storage kunt verbinden en zorg ervoor dat de switch een MTU van 9000 (jumboframes) ondersteund. Wil je live machines tussen node switchen, zorg dan voor Gbit.
Eigenlijk moet je voor ieder doel een aparte switch hebben, maar als je met een kleine set-up wil beginnen, wil je ook een snelle ROI hebben en het vooral overzichtelijk houden. Met de informatie uit het andere topic zeg ik dan:
- 2 nodes voor Virtualisatie. Neem een Dell R300 (24 Gbyte MEM max) of R210. (16 Gbyte MEM max)
- Een NAS/SAN met 4x SATA-II disken in RAID-10.
- Gbit netwerk voor je storage, HP switch (28xx-serie)
- Een Sonicwall 1260 of vergelijkbaar voor je WAN netwerk
Dit stapeltje is verkrijgbaar voor een 5000 euro en vervolgens 1/4 rack met 2 Ampére stroom in het datacentrum. Een zeer lage investering om te starten. De duurste input zal echter van jezelf moeten komen: Het opbouwen van kennis om de boel te beheren, testen, documenteren, acceptatietests uitvoeren, etc.
De rek is trouwens snel uit dit platform. Zegge een 20 VPS-servers met 1 Gbyte geheugen en een laag i/o profiel op de storage. Zet je ze voor een normale prijs weg van zegge 50 euro per VM per maand - wat geen geld is vor HA-hosting - kom je op 1000 euro aan omzet. Zet hier je afschrijving (nihil), colocatie (250 euro) en vooral (ontwikkel)UREN bij (vergeet de back-ups niet) tegenover en je weet wat je er aan over zal houden wanneer het platform in volle productie draait.
Een server staat altijd niets te doen in je platform en wanneer je groeit zullen dit er twe zijn. Dan heb ik het over échte VPS hosting, waar de voordelen (High Availlability en failover) bij zitten. Niet over het rommelen op 2 SATA disken en een server zo vol proppen 'om maar mee te doen'.
MultiMaak - Voor persoonlijke cadeau's en relatiegeschenken!
Quote
De switch die je hebt ondersteund dat gewoon =)