Security: Netzwerkvirtualisierung mit VMware NSX-T
Während Server-Virtualisierung bereits seit Jahren im Einsatz ist, fristet die Netzvirtualisierung ein Nischendasein. Zu Unrecht, wie das Beispiel NSX-T zeigt.
- Christoph Karger
- Benjamin Pfister
Für ein komplettes Software-defined Datacenter (SDDC) benötigt man nicht nur Virtualisierungsplattformen für Speichersysteme und Server, sondern auch ein Software-defined Network (SDN). In vielen Fällen kommt einfach der in den Hypervisor integrierte virtuelle Switch zum Einsatz. Dieser bietet jedoch oft nicht die nötigen Dienste und Sicherheitsfeatures und muss einzeln auf jedem Virtualisierungshost konfiguriert werden. Das Verteilen von Netzwerkrichtlinien über unterschiedliche Hypervisoren – etwa vSphere oder KVM – ist nicht möglich.
Das Ziel sollte jedoch sein, alle Server ĂĽber alle Standorte und Plattformen hinweg nicht nur zu nutzen, sondern auch zentral zu konfigurieren. VMware will mit seiner NSX-T-Plattform nicht nur diese AnsprĂĽche erfĂĽllen, sondern auch Antworten auf Securityherausforderungen bei der Netzvirtualisierung finden.
Eine davon ist Routing und Firewalling in virtualisierten Rechenzentrumsnetzen. In klassischen Datacenter-Netzen differenziert man zwischen East-West- und North-South-Traffic (E/W und N/S). E/W bezeichnet Datenströme zwischen Clients im gleichen Datacenter und N/S den Traffic von und zu externen Netzen. Firewalling von E/W-Traffic gestaltet sich beispielsweise dann schwierig, wenn sich Gast-VMs auf einem Hypervisor im selben Subnetz befinden. Ein standardmäßig enthaltener Switch würde die Datenpakete einfach anhand seiner MAC-Adresstabelle direkt zur anderen Gast-VM bridgen, ohne dass eine externe Sicherheitskomponente diesen Traffic jemals zu Gesicht bekäme. Dem Lateral Movement eines Angreifers wäre nach einem Befall des Systems Tür und Tor geöffnet. Dedizierte virtuelle oder physische Sicherheitskomponenten für jede VM (Firewall, IDS/IPS et cetera) wären administrativ und meist auch finanziell nicht sinnvoll.
Das war die Leseprobe unseres heise-Plus-Artikels "Security: Netzwerkvirtualisierung mit VMware NSX-T". Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.
