5. Мережева безпека

Щоб переконатися, що доступ до служб, запущених на хості ESXi, належним чином обмежено, виконайте такі дії з веб-клієнта vSphere:

1. Виберіть хост
2. Натисніть «Налаштувати», розгорніть «Система», а потім виберіть «Брандмауер».
3. Натисніть «Редагувати», щоб переглянути ввімкнені служби (позначені галочкою).
4. Для кожної ввімкненої служби (наприклад, ssh, vSphere Web Access, http-клієнт) перевірте, чи вказано правильний список дозволених IP-адрес. Крім того, можна використати таку команду PowerCLI: Page 150 Лише для внутрішнього використання – загальні # Перелік усіх служб для хосту Get-VMHost HOST1 | Get-VMHostService # Список служб, які ввімкнено та мають правила, визначені для певних діапазонів IP для доступу до служби Get-VMHost HOST1 | Get-VMHostFirewallException | Where {$_.Enabled -and (-not $_.ExtensionData.AllowedHosts.AllIP)} # Список служб, які ввімкнено та не мають правил, визначених для певних діапазонів IP для доступу до служби Get-VMHost HOST1 | Get-VMHostFirewallException | Де {$_.Enabled -and ($_.ExtensionData.AllowedHosts.AllIP)}

Щоб належним чином обмежити доступ до служб, запущених на хості ESXi, виконайте такі дії з веб-клієнта vSphere:

1. Виберіть хост
2. Натисніть «Налаштувати», розгорніть «Система», а потім виберіть «Брандмауер».
3. Натисніть «Редагувати», щоб переглянути ввімкнені служби (позначені галочкою).
4. Для кожної ввімкненої служби (наприклад, ssh, vSphere Web Access, http-клієнт) надайте список дозволених IP-адрес.
5. Натисніть OK.

Перевірте налаштування в графічному веб-інтерфейсі:

1. Виконайте esxcli network firewall get
2. Переконайтеся, що брандмауер увімкнено.
3. Перегляньте кожен набір правил зі списком набору правил мережевого брандмауера esxcli та переконайтеся, що ввімкнено лише явно необхідні набори правил.

Виконайте такі дії в графічному інтерфейсі:

1. Увімкніть брандмауер ESXi, якщо він вимкнений, і вимкніть непотрібні набори правил.
2. Використовуйте: esxcli network firewall set –enabled true
3. Налаштуйте лише необхідні набори правил для документованих служб. Сторінка 152 Тільки для внутрішнього використання – Загальне

Якщо мережевий API dvfilter не використовується на хості, переконайтеся, що такий параметр ядра має порожнє значення: Net.DVFilterBindIpAddress.

1. У веб-клієнті vSphere виберіть хост і натисніть «Налаштувати», а потім розгорніть «Система».
2. Натисніть «Додаткові параметри системи», а потім «Редагувати».
3. Знайдіть у фільтрі Net.DVFilterBindIpAddress.
4. Переконайтеся, що Net.DVFilterBindIpAddress має порожнє значення.
5. Якщо використовується пристрій, переконайтеся, що для значення цього параметра встановлено правильну IP-адресу. Крім того, для перевірки параметра можна використати наступну команду PowerCLI: # List Net.DVFilterBindIpAddress for each host Get-VMHost | Виберіть назву, @{N=”Net.DVFilterBindIpAddress”;E={$_ | Get- AdvancedSetting Net.DVFilterBindIpAddress | Виберіть -ExpandProperty Values}}

Щоб видалити конфігурацію для мережевого API dvfilter, виконайте такі дії з веб-клієнта vSphere: Сторінка 154 Лише для внутрішнього використання – загальне

1. У веб-клієнті vSphere виберіть хост і натисніть «Налаштувати», а потім розгорніть «Система».
2. Натисніть «Додаткові параметри системи», а потім «Редагувати».
3. Знайдіть у фільтрі Net.DVFilterBindIpAddress.
4. Набір Net.DVFilterBindIpAddress має порожнє значення.
5. Якщо пристрій використовується, переконайтеся, що для значення цього параметра встановлено правильну IP-адресу.
6. Введіть правильну IP-адресу.
7. Натисніть OK. Щоб застосувати рекомендований стан конфігурації, виконайте таку команду PowerCLI: # Установіть для Net.DVFilterBindIpAddress значення null на всіх хостах Get-VMHost HOST1 | Foreach { Set-AdvancedSetting -VMHost $_ -Name Net.DVFilterBindIpAddress -IPValue “” }

З адміністративного сеансу PowerCLI:

1. Виконати: Get-VMHost | Get-AdvancedSetting -Name Net.BlockGuestBPDU
2. Переконайтеся, що значення дорівнює 1, якщо тільки документоване робоче навантаження не вимагає BPDU, згенерованих гостем.

З адміністративного сеансу PowerCLI: Виконати – Get-VMHost | Get-AdvancedSetting -Name Net.BlockGuestBPDU | Set- AdvancedSetting -Value 1 -Confirm:$false. Перевірте робочі навантаження мережевих пристроїв/віртуальних комутаторів перед застосуванням цього параметра. Сторінка 156 Тільки для внутрішнього використання – Загальні

Перевірте мережу хоста в клієнті vSphere та за допомогою списку мережевих IP-інтерфейсів esxcli. Визначте інтерфейси VMkernel, які використовуються для керування обладнанням/BMC або іншими функціями управління віртуальним обладнанням. Переконайтеся, що такі інтерфейси відсутні, якщо це явно не потрібно.

Щоб виправити цю рекомендацію, видаліть або деактивуйте непотрібні інтерфейси VMkernel керування віртуальним апаратним забезпеченням і пов’язані групи портів. По можливості зберігайте позасмугове керування BMC/iDRAC/iLO у виділених фізичних мережах керування. Сторінка 158 Лише для внутрішнього використання – Загальне

Щоб переконатися, що політика налаштована на відхилення підроблених передач, виконайте такі дії:

1. У веб-клієнті vSphere виберіть хост.
2. Натисніть «Налаштувати», а потім розгорніть «Мережа».
3. Виберіть «Віртуальні комутатори», а потім натисніть «Редагувати».
4. Натисніть Безпека.
5. Переконайтеся, що у розкривному меню Forged transmits встановлено значення Reject. Крім того, можна використати наступну команду PowerCLI: Сторінка 160 Тільки для внутрішнього використання – Загальні # Перелік усіх vSwitches та їхні параметри безпеки Get-VirtualSwitch -Standard | Виберіть VMHost, Name, ` @{N=”MacChanges”;E={if ($_.ExtensionData.Spec.Policy.Security.MacChanges) { “Прийняти” } Else { “Відхилити”} }}, ` @{N=”PromiscuousMode”;E={if ($_.ExtensionData.Spec.Policy.Security.PromiscuousMode) { “Прийняти” } Else { “Відхилити”} }}, ` @{N=”ForgedTransmits”;E={if ($_.ExtensionData.Spec.Policy.Security.ForgedTransmits) { “Прийняти” } Else { “Відхилити”} }}

Щоб установити політику відхилення підроблених передач, виконайте такі дії:

1. У веб-клієнті vSphere виберіть хост.
2. Натисніть «Налаштувати», а потім розгорніть «Мережа».
3. Виберіть «Віртуальні комутатори», а потім натисніть «Редагувати».
4. Натисніть Безпека.
5. У розкривному списку встановіть для Forged transmits значення Reject.
6. Натисніть OK. Крім того, можна використати наступну команду оболонки ESXi: # esxcli network vswitch standard policy security set -v vSwitch2 -f false

Щоб переконатися, що політика налаштована на відхилення, виконайте такі дії:

1. У веб-клієнті vSphere виберіть хост.
2. Натисніть «Налаштувати», а потім розгорніть «Мережа».
3. Виберіть «Віртуальні комутатори», а потім натисніть «Редагувати».
4. Натисніть Безпека.
5. Переконайтеся, що для параметра «Зміни MAC-адреси» у спадному меню встановлено значення «Відхилити». Крім того, можна використати наступну команду PowerCLI: Page 162 Лише для внутрішнього використання – загальні # Перелік усіх vSwitches та їхні параметри безпеки Get-VirtualSwitch -Standard | Виберіть VMHost, Name, ` @{N=”MacChanges”;E={if ($_.ExtensionData.Spec.Policy.Security.MacChanges) { “Прийняти” } Else { “Відхилити”} }}, ` @{N=”PromiscuousMode”;E={if ($_.ExtensionData.Spec.Policy.Security.PromiscuousMode) { “Прийняти” } Else { “Відхилити”} }}, ` @{N=”ForgedTransmits”;E={if ($_.ExtensionData.Spec.Policy.Security.ForgedTransmits) { “Прийняти” } Else { “Відхилити”} }}

Щоб налаштувати політику на відхилення, виконайте такі дії:

1. У веб-клієнті vSphere виберіть хост.
2. Натисніть «Налаштувати», а потім розгорніть «Мережа».
3. Виберіть «Віртуальні комутатори», а потім натисніть «Редагувати».
4. Натисніть Безпека.
5. У спадному меню встановіть для змін MAC-адреси значення Відхилити.
6. Натисніть OK. Крім того, виконайте такі дії за допомогою оболонки ESXi: # esxcli network vswitch standard policy security set -v vSwitch2 -m false

Щоб переконатися, що політика налаштована на відхилення, виконайте такі дії:

1. У веб-клієнті vSphere виберіть хост.
2. Натисніть «Налаштувати», а потім розгорніть «Мережа».
3. Виберіть «Віртуальні комутатори», а потім натисніть «Редагувати».
4. Натисніть Безпека.
5. Переконайтеся, що в розкривному меню для режиму Promiscuous встановлено значення Reject. Крім того, можна використати таку команду PowerCLI: Page 164 Лише для внутрішнього використання – Загальні # Перелік усіх vSwitches та їхні параметри безпеки Get-VirtualSwitch -Standard | Виберіть VMHost, Name, ` @{N=”MacChanges”;E={if ($_.ExtensionData.Spec.Policy.Security.MacChanges) { “Прийняти” } Else { “Відхилити”} }}, ` @{N=”PromiscuousMode”;E={if ($_.ExtensionData.Spec.Policy.Security.PromiscuousMode) { “Прийняти” } Else { “Відхилити”} }}, ` @{N=”ForgedTransmits”;E={if ($_.ExtensionData.Spec.Policy.Security.ForgedTransmits) { “Прийняти” } Else { “Відхилити”} }}

Щоб налаштувати політику на відхилення, виконайте такі дії:

1. У веб-клієнті vSphere виберіть хост.
2. Натисніть «Налаштувати», а потім розгорніть «Мережа».
3. Виберіть «Віртуальні комутатори», а потім натисніть «Редагувати».
4. Натисніть Безпека.
5. У спадному списку встановіть для режиму Promiscuous Mode значення Reject.
6. Натисніть OK. Або виконайте наступне через оболонку ESXi: # esxcli network vswitch standard policy security set -v vSwitch2 -p false

Щоб перевірити, чи власний ідентифікатор VLAN не використовується для груп портів, виконайте такі дії:

1. У веб-клієнті vSphere виберіть хост.
2. Натисніть «Налаштувати», а потім розгорніть «Мережа».
3. Виберіть Віртуальні перемикачі.
4. Розгорніть стандартний vSwitch.
5. Перегляньте діаграму топології комутатора, яка показує різні групи портів, пов’язані з цим комутатором.
6. Для кожної групи портів на vSwitch перевірте та запишіть використані ідентифікатори VLAN. Крім того, можна використати таку команду PowerCLI: # Перелік усіх vSwitches, їхні групи портів та ідентифікатори VLAN Get-VirtualPortGroup -Standard | Виберіть virtualSwitch, Name, VlanID

Щоб припинити використання власного ідентифікатора VLAN для груп портів, виконайте такі дії: Page 167 Internal Only – General

1. У веб-клієнті vSphere виберіть хост.
2. Натисніть «Налаштувати», а потім розгорніть «Мережа».
3. Виберіть Віртуальні перемикачі.
4. Розгорніть стандартний vSwitch.
5. Перегляньте діаграму топології комутатора, яка показує різні групи портів, пов’язані з цим комутатором.
6. Для кожної групи портів на vSwitch перевірте та запишіть використані ідентифікатори VLAN.
7. Якщо потрібно змінити ідентифікатор VLAN, клацніть назву групи портів на схемі топології віртуального комутатора.
8. Натисніть опцію Редагувати налаштування.
9. У розділі «Властивості» введіть відповідне ім’я в поле «Мітка мережі».
10. У розкривному списку VLAN ID виберіть або введіть нову VLAN.
11. Натисніть OK.

Щоб переконатися, що для груп портів не встановлено значення 4095, якщо не потрібен VGT, виконайте такі дії:

1. У веб-клієнті vSphere виберіть хост.
2. Натисніть «Налаштувати», а потім розгорніть «Мережа».
3. Виберіть Віртуальні перемикачі.
4. Розгорніть стандартний vSwitch.
5. Перегляньте діаграму топології комутатора, яка показує різні групи портів, пов’язані з цим комутатором.
6. Для кожної групи портів на vSwitch перевірте та запишіть використані ідентифікатори VLAN. Крім того, можна використати таку команду PowerCLI: # Перелік усіх vSwitches, їх груп портів та ідентифікаторів VLAN Get-VirtualPortGroup -Standard | Виберіть virtualSwitch, Name, VlanID

Щоб установити для груп портів значення, відмінні від 4095 і 0, якщо не потрібен VGT, виконайте такі дії: Сторінка 169 Лише для внутрішнього використання – Загальні

1. У веб-клієнті vSphere виберіть хост.
2. Натисніть «Налаштувати», а потім розгорніть «Мережа».
3. Виберіть Віртуальні перемикачі.
4. Розгорніть стандартний vSwitch.
5. Перегляньте діаграму топології комутатора, яка показує різні групи портів, пов’язані з цим комутатором.
6. Для кожної групи портів на vSwitch перевірте та запишіть використані ідентифікатори VLAN.
7. Якщо потрібно змінити ідентифікатор VLAN, клацніть назву групи портів на схемі топології віртуального комутатора.
8. Натисніть опцію Редагувати налаштування.
9. У розділі «Властивості» введіть відповідне ім’я в поле «Мітка мережі».
10. У розкривному списку VLAN ID виберіть або введіть нову VLAN.
11. Натисніть OK.

Перегляньте адаптери VMkernel за допомогою: списку мережевих ip-інтерфейсів esxcli. Переконайтеся, що трафік керування передається лише через виділені, схвалені інтерфейси/VLAN VMkernel і не змішується з ненадійними віртуальними машинами, сховищами, vMotion або публічним трафіком без схваленого дизайну.

Щоб виправити цю рекомендацію, створіть або перемістіть інтерфейси керування VMkernel до виділених груп портів керування/VLAN, застосуйте обмеження брандмауера/ACL та видаліть позначки служби керування з інтерфейсів, які їх не потребують. Перевірте підключення vCenter перед видаленням старого шляху. Сторінка 171 Тільки для внутрішнього використання – Загальні