v0cumin
Goto Top

KVM Sicherheit - Firewall

VM als Firewall und restliche VMs dahinter absichern

Hallo zusammen,

ich habe eine theoretische Frage bezüglich Sicherheit, KVM QEMU und VMs. Vielleicht weiß jemand eine gute Lösung.

Ich möchte mehrere VMs laufen lassen und dabei eine als Firewall agieren lassen, um eine oder mehrere VMs im Internet abgeschottet von den anderen laufen zu lassen. Zudem möchte ich mit der Firewall den Traffic der VMs überwachen. Ist das so möglich wie ich mir in dem Entwurf vorgestellt habe? Ist es sicherheitstechnisch vertretbar eine VM als Firewall zu benutzen? Wie kann ich ein sicheres Schema realisieren? (kein Tutorial, nur theoretischer Ansatz)

Viele Grüße! Um eine Antwort wäre ich sehr dankbar!

Hier ein Entwurf meiner Vorstellung
9f9231cf7068f6756797f0678b554043

Content-Key: 193904

Url: https://administrator.de/contentid/193904

Ausgedruckt am: 28.03.2024 um 21:03 Uhr

Mitglied: brammer
brammer 07.11.2012 um 20:53:08 Uhr
Goto Top
Hallo,

generell halte ich nichts davon eine Firewall virtuell laufenzu lassen.
Wenn das Host Betriebssystem kompromitiert wird, hilft dir die Firewall nichts, da das System dann komplett umgangen wird.

brammer
Mitglied: v0cumin
v0cumin 07.11.2012 aktualisiert um 21:49:49 Uhr
Goto Top
Hallo brammer,

danke für deine Antwort! Das Hostsystem ist in diesem Fall ja komplett unsichtbar und da es sich um Hypervisor Typ 2 Systeme handelt müsste man erst aus dem kompritierten VM-System ausbrechen. Was würdest du denn sonst empfehlen bzw. ist es möglich/sinnvoll die Firewall evtl. auf dem Hostsystem laufen zu lassen?

Bzw. viel wichtiger ist die Frage, wie kann ich einzelne VMs fürs Internet verfügbar machen, ohne das lokale Netz zu gefährden?

Viele Grüße!
Mitglied: AndiEoh
AndiEoh 08.11.2012 um 13:19:56 Uhr
Goto Top
Hallo

Das Hostsystem ist nicht wirklich unsichtbar, da es ja zumindest die Hardware bereitstellt und spätestens über die MAC Adressen zu ermitteln ist.
Prinzipiell solltest du folgendes beachten:
- Der Software Stack wird komplizierter und jeder Fehler auf egal welcher Ebene kann zu einem Sicherheits/Stabilitätsproblem werden
- Beim virtuellen verdrahten sieht man nicht was falsch "gesteckt" ist
- Mindestens das Verwaltungsnetz des Hypervisors physisch vom Datennetz der VMs trennen (Basismaschine Multi-Homed)

Ansonsten lässt sich das machen indem mehrere virtuelle Netze/Switches definiert werden und das interne Routing entsprechend eingestellt wird.

Gruß

Andi