Newsgroup: it.comp.virtualizzazione
Titolo: Sicurezza...

Ciao a tutti,
Sono appena tornato da una trasferta dove è partita una discussione con 
un altro consulente e sinceramente vorrei il vostro parere.
 
Il cliente non aveva una DMZ e aveva tutti i server sulla rete interna 
io gli ho detto che sarebbe bene che creasse una DMZ. L'altro consulente 
era daccordo ma ha anche aggiunto "sarebbe meglio avere due ESXi diversi 
uno per il front-end e uno per il backend perché altrimenti non ha senso 
separare le due cose se poi i cavi di rete entrano nella stessa macchina 
( il server ESXi ). Per me non c'è niente di male a creare due reti 
all'interno del server ESXi...
 
Voi cosa pensate?
 
Grazie.

Credo sia una cosa di cui si possa discutere e dipendente dai punti di 
vista (parlo da semi profano, ringrazio chiunque voglia correggermi)
 
- se un host nella zona pubblica della DMZ venisse bucato potrebbe 
occupare tutte le risorse disponibili (ad esempio banda di rete) creando 
problemi anche agli host interni
 
- da un punto di vista di visiblità tra un host fuori dalla DMZ uno 
interno e l'host ESXi invece non dovrebbero esserci problemi - posto che 
tutto sia configurato a dovere (che so' la rete di managment del nodo 
ESXi è la stessa o comunque accessibile dalla zampa pubblica della DMZ)
 
In soldoni: potrebbe essere una cosa sensata
 
Sono comunque pronto a cambiare idea e a cospargermi il capo di cenere :-)
Saluti
 
Beppe

 ESXi è la stessa o comunque accessibile dalla zampa pubblica della DMZ)
 
Credo che il consulente stesse ipotizando questo scenario:
 
- VM in DMZ bucata... visto che questa sta all'iterno del host ESXi che 
è collegato fisicamente anche alla LAN interna un malitenzionato può di 
fatto raggiungere la rete interna bypassando il firewall. Rendendo 
inutile il firewall e la separazione delle reti ( visto che venivano 
entrambe collegate al server ESXi che le "mischiava".
 
La cosa mi sembra un po' tirata per i capelli...
 
 
 


 
Così pare eccesiva anche a me, anche perchè la macchina virtuale in DMZ 
ha la visibilità della rete interna solo se ha una NIC o una VLAN anche 
lì... Ma a quel punto averla in un host fisico diverso non cambia nulla, 
anche perchè l'eventuale falla ci sarebbe stata anche su un host fisico 
isolato (anzichè un VM).
Stesso discorso se venisse scoperto un baco di VMWare che consente 
all'host virtuale di comunicare/interferire con l'host fisico ma a quel 
punto l'unica soluzione sarebbe un bel biglietto di sola andata per un 
universo alternativo :-)

> Voi cosa pensate?
 
Sono VLAN separate, quindi dal punto di vista del networking non vi sono
problemi.
 
L'unico problema potrebbe essere causato da un bug serio che consenta di
prendere il controllo del virtualizzatore dall'interno di una VM, ma
questo, oltre che essere un evento molto raro (sono veramente pochi i
casi documentati di bug di questo tipo) prevede comunque che sia prima
bucato il server virtuale in DMZ (con shell access), e che poi da questo
sia bucabile il virtualizzatore (ancora con shell access)... due
passaggi abbastanza ostici.
 
Ma probabilmente anche se si mettessero due host separati
sussisterebbero problemi analoghi, perché una volta preso il controllo
di uno degli host fisici, a meno che non sia su una rete separata da
tutto il resto, si sarebbe comunque su una rete privilegiata
(tipicamente una rete di management) e da lì a passare alle altre
macchine il gioco è semplice.
 
IMHO quindi non è generalmente giustificabile il dedicare un host fisico
alla DMZ a meno che non vi sia la possibilità di sfruttarne appieno le
risorse garantendo anche la ridondanza (se si hanno decine di VM in DMZ
allora si giustifica) e a meno di implementare tutta una serie di
ulteriori precauzioni che nel 99% dei casi non vengono comunque
implementate.
 
Meglio tenere tutto sugli stessi host e garantire maggiore ridondanza al
sistema.
 
-- 
Flavio Visentin
 
Scientists discovered what's wrong with the female brain: on the left
side, there's nothing right, and on the right side, there's nothing left


 
La pensiamo allo stesso modo. Meno male :)
 

 Voi cosa pensate?
 
Il vSwitch ti consente di taggare delle VLAN proprio per utilizzare sì 
mezzi fisici identici, ma separare il traffico completamente e come se 
non lo fossero.
 
Una volta create le vlan 802.1q, ti ritroverai N schede di rete virtuali 
per N vlan. Ovviamente dovrai anche taggare le stesse e con gli stessi 
VID lato swtch fisico.
 
Francamente la ritengo una suddivisione più che sufficiente in quasi 
ogni scenario, del resto le vlan vengono comunemente utilizzate proprio 
per questo e in qualsiasi ambiente di qualsiasi entità.