ludaku
Goto Top

Firewall virtualisieren

Hallo Zusammen

Folgende Situation:
Ich habe Zuhause einen alten Tower rumstehen mit folgenden Specs:
- 32GB DDR3 RAM
- Intel Core i7-7700
- 500GB SSD
- 2TB HDD
- 3 NICS

Nun hatte ich folgende Idee:
Ich schmeisse auf die Kiste Hyper-V Core drauf und eine VM ist OPNsense, welche für mein Heimnetz die Firewall macht. Daneben wird es jeweils noch 1-2 VMs geben die laufen ändern und nur zum Testen bestehen.
Eine NIC ist dabei WAN für OPNsense, eine NIC ist LAN zum Switch, und eine NIC hat der Hypervisor für vSwitching.

Denkt ihr das könnte so laufen? Virtualisierung klappt auf der Maschine, mir geht es mehr drum wie so eine virtualisierte Firewall für ein physisches Netz rennt...
Hat da wer Erfahrungen mit? Würdet ihr das machen oder nicht?

LG MbGb

Content-ID: 493308

Url: https://administrator.de/contentid/493308

Ausgedruckt am: 05.11.2024 um 02:11 Uhr

StefanKittel
Lösung StefanKittel 10.09.2019 um 08:28:49 Uhr
Goto Top
Moin,

ja, das würde funktionieren.
Ich würde aber eher VMware verwenden.
Das funktioniert mit Linux besser. ->Meine Meinung<-

Aus Sicherheitsgründen sollte man Firewalls nicht virtualisieren, aber man sollte immer die Möglichkeiten und Anforderungen im Auge behalten.

Stefan
SlainteMhath
Lösung SlainteMhath 10.09.2019 um 08:35:08 Uhr
Goto Top
Moin,

Ich würde aber eher VMware verwenden.
Das funktioniert mit Linux besser.
So entspricht das auch meiner Erfahrung .)

lg,
Slainte
Kraemer
Kraemer 10.09.2019 um 08:41:13 Uhr
Goto Top
Zitat von @SlainteMhath:
Ich würde aber eher VMware verwenden.
Das funktioniert mit Linux besser.
So entspricht das auch meiner Erfahrung .)
aber nur bei zertifizierter Hardware :-p face-wink
ludaku
ludaku 10.09.2019 um 08:45:25 Uhr
Goto Top
Zitat von @StefanKittel:
Ich würde aber eher VMware verwenden.
Habe ich auch schon überlegt, aber kenne einfach Hyper-V besser als den ESXi.

Aus Sicherheitsgründen sollte man Firewalls nicht virtualisieren, aber man sollte immer die Möglichkeiten und Anforderungen im Auge behalten.
Hmm, du hast meine Neugier gerade geweckt. Wieso denn nicht? Falls die FW kompromitiert wird und man dann auf den Hypervisor ausbrechen könnte?
UnbekannterNR1
Lösung UnbekannterNR1 10.09.2019 aktualisiert um 08:51:11 Uhr
Goto Top
Oder andersherum und Wahrscheinlicher eine deiner anderen VM's wird kompromittiert und öffnet dann die Firewall. Aber alles möglich wenn auch wohl eher selten. Und für zu hause kann man das meiner Meinung nach machen.
Looser27
Lösung Looser27 10.09.2019 um 08:54:13 Uhr
Goto Top
Falls die FW kompromitiert wird und man dann auf den Hypervisor ausbrechen könnte?

Genau das ist der Grund. Und bist du erstmal auf dem Hypervisor, bist Du in jeder VM.

Soviel zur Theorie. Ich habe aber auch schon Admins kennengelernt, die sagen: totaler Blödsinn. Begründung war: Der Aufwand aus einer Firewall auszubrechen ist auf einer VM der selbe wie auf einer dedizierten Maschine. Egal welche kompromittiert wird, im Netz ist der Hacker dann sowieso.

Ich für meinen Teil habe mich für eine dedizierte Maschine entschieden. Alix-Board und pfSense oder OPNSense sind hier eine kostengünstige Variante.
Den alten Tower kannst Du dann immer noch als Server laufen lassen, ggf. mit Virtualisierung.

Just my 2 Cents.
Lochkartenstanzer
Lochkartenstanzer 10.09.2019 um 08:54:15 Uhr
Goto Top
Zitat von @ludaku:

Denkt ihr das könnte so laufen? Virtualisierung klappt auf der Maschine, mir geht es mehr drum wie so eine virtualisierte Firewall für ein physisches Netz rennt...
Hat da wer Erfahrungen mit?

Ja.

Würdet ihr das machen oder nicht?

Nein.

Sicherheitstechnisch nur eine Notlösung, da der Hypervisor angreifbar ist und es genug Malware gab, die VMs eine rote Pille verpaßt haben. Damit können die dann die Firewall "hintenrum" aushebeln.

Firewalls gehören auf bare-metal udn wenn sie virtualisiert werden sind sie die einzigen VMs auf der Kiste.

lks
Ganzjahresgriller
Ganzjahresgriller 10.09.2019 um 08:56:23 Uhr
Goto Top
Mir wäre auch der Stromverbrauch zu hoch
Lochkartenstanzer
Lochkartenstanzer 10.09.2019 um 08:59:34 Uhr
Goto Top
Zitat von @ludaku:

Hmm, du hast meine Neugier gerade geweckt. Wieso denn nicht? Falls die FW kompromitiert wird und man dann auf den Hypervisor ausbrechen könnte?

Andersrum. Die anderen VMs können kompromittiert werden und die Malware dann ausbrechen und die Firewall manipulieren.

Oder die Malware greift direkt den Hypervisor an und manipuliert dann die Firewall.

lks
SlainteMhath
SlainteMhath 10.09.2019 um 09:10:19 Uhr
Goto Top
Wieso denn nicht?
Stichworte: VM Escape, VLAN Hopping, erhöhter Patchaufwand (Gast und Host)
monstermania
monstermania 10.09.2019 um 09:12:57 Uhr
Goto Top
Zitat von @StefanKittel:
Aus Sicherheitsgründen sollte man Firewalls nicht virtualisieren, aber man sollte immer die Möglichkeiten und Anforderungen im Auge behalten.
So pauschal kann man das heute einfach nicht mehr sagen.
Inzwischen gibt es eine ganze Menge Firewall-Systeme, die explizit für den virtuellen Betrieb zertifiziert sind. Und da beißt sich die Katze manchmal dann in den Schwanz.
Du willst/mußt Firewall-Produkt XYZ nutzen, mußt dieses aber auf eigener HW laufen lassen. Der Hersteller sagt, ja Sie können unser Produkt zwar auf Ihrer eigenen HW nutzen, wir supporten unser Produkt XYZ aber nur auf von uns freigegebenen Systemen. Freigegeben sind unsere HW-Appliances oder Hyper-V/VMWare!
Und spätestens da muss man sich dann entscheiden: Produktsupport oder Dogma "Firewalls virtualisiert man nicht".
Wir haben uns schlussendlich für virtuelle FW-Systeme entschieden. Die UTM-Lösung läuft allerdings als einzige VM auf dem Hostsystem! Niemals würde ich eine FW-VM auf einem System nutzen, auf dem produktive VM laufen.
Unser VMWare-Partner hat uns bestätigt, dass virtuelle VM inzwischen durchaus üblich sind.
Lochkartenstanzer
Lochkartenstanzer 10.09.2019 aktualisiert um 09:15:38 Uhr
Goto Top
Zitat von @monstermania:

Und spätestens da muss man sich dann entscheiden: Produktsupport oder Dogma "Firewalls virtualisiert man nicht".

Man kann Firewalls virtualisieren. Das ist kein Dogma. Nur sollte man sich hüten, da parallel noch andere Systeme auf den Hypervisor zu packen.

lks
brammer
brammer 10.09.2019 um 09:21:33 Uhr
Goto Top
Hallo,

Auch die Frage wo die Firewall ihren Dienst tut ist nicht ganz unwichtig.
Wenn die Firewall direkt am Internet Zugang arbeitet würde ich von einer virtualisierten Lösung immer Abstand nehmen. arbeitet Sie nur zur Abschottung von einzelnen Netzen im Lokalen Netz hinter eine physikalischen Firewall kann eine VM (egal was für eine Lösung) durchaus eine gute Lösung sein.

brammer
ludaku
ludaku 10.09.2019 um 09:54:20 Uhr
Goto Top
Vielen Dank für die vielen Rückmeldungen face-smile

Ich denke aber viele vergessen, dass es sich um ein Heimnetz handelt... (Wo auch nicht noch ein privater Web-/Mailserver/etc. betrieben wird.)
Für im Business-Umfeld würde ich diese Frage gar nicht stellen. Und virtualisieren schon gar nicht auf so einer Hardware.

VM-Breakout/VLAN Hopping:
Da es eine private Umgebung ist würde ich dies riskieren. Andere VMs als die Firewall existieren auch nur temporär zu Testzwecken. Sprich 80% der Zeit ist sowieso keine andere VM am laufen.

Stromverbrauch:
Daran habe ich auch gedacht. Wird auch deshalb nicht für immer so laufen.
decehakan
decehakan 10.09.2019 um 16:32:19 Uhr
Goto Top
Für dein heimgebrauch kann ich dir uneingeschränkt vm firewall empfehlen ;).

Wenn eine Malware im eigenen Netz ausgebrochen ist, dann spielst es eh keine Rolle mehr ob du alles in einer VM packst oder dedizierte führst. Hängt nur noch vom Schadensfaktor der Malware ab.