如何在VMware虚拟融合网络中防止安全漏洞？

在各种融合网络环境下运行VMware容易导致数据混合，尽管从直观上看这种混合并没有坏处，但是如果有错误的数据混合进来的话，就会出现问题了。之所以出现融合网络是因为并不是很多人都完全利用10Gb以太网网络带宽，甚至很多人都没有充分利用1Gb的以太网连接。融合网络的目的就是让网络的其他方面充分利用未使用的带宽，这是由于缺少网卡（NIC，即Network Interface Card），部署新的电缆不太可能，并且时间成本和资金成本也比较高。

　　最简单的解决方案就是在同一条光缆上不仅仅传输一类数据信息，这就是所谓的数据混合。只要所有的数据具有同样的安全等级和安全区域，在数据混合中就没有必要考虑安全问题。然而，如果同一条线路上传输的数据不属于相同的安全等级或者安全区域的话，数据融合就会成为一个比较令人头疼的问题。

　　安全等级定义不同主体可以访问同一传输线路上的不同数据，而安全区域指的是传输线路所连接的区域，也可能包括对其如何使用。例如，与称为生产的安全区域相比，一个DMZ（隔离区）很有可能是一个敌对环境。两个区域的数据融合将会提高系统正常风险级别，正常风险级别是指在一个融合网络中没有数据混合的情况下的风险级别。

　　对每一台VMware ESX主机来讲，使用虚拟化的话，至少有四种可能的网络：服务控制台或者管理设备、存储网络、VMware VMotion或Storage VMtion网络和虚拟机网络。另外至少有四个不同的安全区域：管理程序（Hypervisor）、虚拟机、存储和管理。

　　如何合理地融合网络和安全区域？

　　选择要融合网络和安全区域取决于很多方面，但是为了简化问题，我们这里忽略硬件限制。沿着当前的思路往下走：为什么各种各样的安全区域和网络需要保持隔离？这并不表示我不喜欢虚拟局域网（VLAN），但是VLAN确实不能保证安全性。VLAN是一个网络中（物理的或者虚拟的）确保一个数据包传送到合适端点的工具，但并不是一种保护网络的方法。

　　最近在VMware社区，“Secured with VLANs”这个词谈论得非常热。RFC（Request for Comment）802.1q中并没有提及到安全问题。VLAN并不保证安全性，但是可以被安全地使用。然而，为了确保安全地使用融合网络，有一些问题还是需要注意的：

??直接（vmkernel虚拟网卡）或者间接地（管理设备与应用）通过网络连接对Hypervisor的任何访问都必须受到严格的控制。因为取得对Hypervisor的访问控制权限就会带来对VMware ESX主机或VMware ESXi主机内任何信息取得访问控制权限的风险。
??对VMotion 网络的任何访问也会带来风险：由于正在使用的内存信息以明文方式在线路上传输，虚拟机内的证书和身份数据很容易暴露。
??通过一台虚拟机、备份服务器，或者是间接地通过Hypervisor和管理工具对存储网络的访问控制必须受到严格的控制。由于可以对存储网络信息以明文的方式访问，对虚拟存储网络的访问可能会带来暴露虚拟机内虚拟硬盘上内容的风险。
　　最好的实现方式

　　鉴于所有的上述信息，对于使用融合网络的虚拟网最好的建议是什么呢？理想的情况就是不融合VMware ESX主机和VMware ESXi主机内的任何网络，但是这个似乎有点不太现实。用户可以选择不融合从VMware ESX主机和VMware ESXi主机到物理网关的网络，但是如果这样的话，虚拟网就会形成集群来穿越整个公司交换结构中的其它物理网关。

　　交换结构中的薄弱环节实际上可能是物理网络，因为虚拟网关可以防止当前来自VLAN第二层攻击，尽管攻击不是来自第三层。不过也不是所有的物理网关都可以阻止来自第二层 VLAN的攻击。

　　人们通常混合来自同一条线路上VMware ESX主机和VMware ESXi主机管理设备的数据和VMotion的数据，因为他们认为这两者应该是和其它任何网络一样具有同样的风险程度。VMotion是具有最高风险的网络，然而如果有恶意用户可以攻破VMware ESX主机和VMware ESXi主机管理设备的话，就可以获得对所有磁盘数据的访问控制权限，然而未必是VMotion数据。但是如果这两者在通一条线路上传输的话，风险就比较高了。

　　其它经常混合的数据是存储数据和虚拟机数据。换句话说，虚拟机可以和ESX主机访问到同样的存储空间。如果虚拟机不是一个存储管理节点或者形式的管理节点，也可能导致虚拟环境中安全漏洞出现的高风险性。

　　当前没有减轻这个问题的好方法。VMware ESX和VMware ESXi现在都不支持IPsec（Internet Protocol Security）。IPsec使用预置共享密钥和一个很好的公钥密码体系可以对融合网络上的所有数据完成强加密，加密过程基于不同数据来源使用不同的密钥体系。这个方法可以在很大程度上降低整体风险性。

　　选择融合何种网络需要对要传输的数据有一个很详尽的了解，如这些数据传送的目的地、传送方式、加密的可能性以及数据传输错误带来的风险等。