Чи повинен дозволити хосту віртуалізації запускати будь-яку службу?

10

Нещодавно я налаштував сервер віртуалізації для невеликої компанії, якою я керую. Цей сервер працює мало віртуальних машин, які використовуються для розробки, тестування тощо ...

Мій бізнес-партнер працює з віддаленого місця, тому я також встановив сервер vpn на хості віртуалізації, щоб він міг безпечно дістатися до послуг компанії. Крім того, знову на хості віртуалізації я встановив бакулу, щоб виконати резервне копіювання даних.

Чи бажано це робити чи належним чином чи я повинен створити ще одну віртуальну машину для створення резервних копій та VPN? Це погана ідея запускати ці служби на самому хості? Якщо так, то чому?

— Джордано
джерело

9

Хост віртуалізації повинен бути найбільш захищеною машиною у вас. Найбезпечніша машина - це та, яка взагалі не підключена до мережі ;-)

Зважаючи на це, найкраще не пропонувати жодних послуг на ваших загальнодоступних інтерфейсах. У вас навіть не повинно бути IP-адреси (міст для VM - це шар2).

Подумай про VM-хост як DMZ: трафік на нього заборонений, породжуючи це не проблема.

Отже, у вашому прикладі:

VNC: Погано - це послуга, що надходить
Резервне копіювання: немає проблем - сеанси починаються звідси назовні

Але навіть тоді - вам слід запускати лише сервіси, які не з'їдають оперативної пам’яті / процесора / IO на вашому VM-хості, інакше ваші VM будуть страждати від нестачі ресурсів.

— Нільс
джерело

Треба сказати, що я поділяю вашу думку, тепер, коли ви вказуєте на ці факти. Якщо розміщення VPN та резервних служб резервного копіювання на окремій машині відомості також полегшить подальшу міграцію (якщо це коли-небудь знадобиться). Я налаштую лише один NIC для доступу у внутрішню мережу, оскільки сервер не легко доступний. Інші NICS будуть переведені в мостовий режим. Дякую!

— Джордано

5

Я б запропонував розділити функції VPN на брандмауері на базі апаратних засобів або на окремий пристрій ... Наприклад, що станеться, якщо сервер не працює?

Але замість цього можна використовувати наявний хост віртуалізації як кінцевий термін для вашої VPN. Резервне копіювання теж не обов'язково є проблемою.

Це здається невеликим налаштуванням (який тип обладнання ви використовуєте?), Але якщо ви запитуєте, можливо, у вас є деякі застереження? Чому, на вашу думку, це може бути не дуже хорошою ідеєю?

— ewwhite
джерело

У мене досить потужний Dell PowerEdge T410, з 2 процесорами та 32 ГБ оперативної пам’яті. Мої занепокоєння більше стосуються безпеки, оскільки я знаю, що потрібно мало пробитися в недостатньо налаштовану систему ^^ Я ніколи не отримав чіткої відповіді на цю тему, тому вирішив запитати.

— Джордано

3

@Giordano То, що він робить, полягає в тому, що якщо цей сервер з якихось причин перезавантажиться (проблема з обладнанням, проблема з живленням) і не повернеться чисто, неможливо усунути проблеми віддалено. Якщо ваш VPN знаходиться на такому пристрої, як ваш брандмауер, ви зможете підключитися до DRAC і, можливо, запустити його.

— MDMarra

Дуже правда, ще один дуже хороший момент. В даний час у мене немає великих проблем із доступом до сервера (він знаходиться в одній будівлі), проте придбання пристрою для VPN - це, безумовно, хороший крок. Дякуємо, що вказали на це.

— Джордано