Glaubensfrage Internet Firewall als Virtual Appliance in vSphere Umgebung betreiben

Hallo,

ich bevorzuge dann doch die physikalische Firewall, sinnvoller weise 2 oder mehr hintereinander.
Bei deiner VM Firewall sind 2 System angreifbar (deine Firewall und dein Vsphere...) und damti verwundbar.
Wenn du eine Physikalische Firewall hast muss der Angreifer erst durch deine Firewall durch, dann erst ist er in deinem Netz, daher würde ich imer eine zweite eines anderen Herstellers dahinterhängen.
Bei uns kümmern sich z.Zt. 4 Firewalls darum, allerdings hängen auch mehrere Tausend Clients dahinter...

brammer

Moin,
machen wir genauso wie brammer. Alles andere ist ein Risikofaktor aus unserer Sicht.


Grüße,
Dani

Eine FW hat nichts in einer VM zu suchen ! Das ist immer dedizierte HW, alles andere ist Heimbastelei. Da geht sowas in einer Firma steht das außer jeglicher Diskussion.
Sollte auch jeder verantwortungsvolle Admin wissen und ist zu keiner Zeit eine "Glaubensfrage".

Na dann philosophieren wir das doch mal durch..... nach Möglichkeit im Gesamtkontext..
Hab grad nix besseres zu tun..

Von paar Tausend Clients red ich auch nicht, da muss schon aufgrund Durchsatz / Stabilität ne fette spezialisierte Geschichte her.
Wenn das Budget da ist dann wird man auch stets zu einer "richtigen" Firewall greifen.

Nichts desto trotz kann man es nicht "unverantworlich" nennen, für kleinere Geschichten eine virtuelle zu nehmen.
Millionen Leute haben daheim 20€ Router mit LInuxen die 6 Jahre ohne update vor sich hin tuckern -komischerweise kommt auf dem Weg kaum ein Hacker rein, sondern
weil der Anwender von innen das Zeugz fast freiwillig auf den Rechner zaubert.

So manche Paranoia löst sich trotz gegenteiligem Bauchgefühl in Luft auf wenn man es mal sachlich betrachtet und versucht das angeblich unverantwortliche Sicherheitsrisiko in der Praxis auszunutzen.
Ich halte so manche Meinung die man in gängigen Schulungen hört für veraltete Sichtweisen.

"Linux ist sicherer als Windows."
"Windows onboard Firewall ist unsicher."
und und und
das ist doch meist Gelaber das man irgendwo aufgeschnappt hat.

Wenn ein echter Vollprofi-Hacker wo rein will dann findet er meines Erachtens immer wieder Wege, und er sucht sich den einfachsten, erfolgsversprechendsten Weg.
Und diese Wege führen eher selten durch die Firewall, ob nun virtuell oder "echt".
VRFs sind auch "virtuelle Router". Muss ich die jetzt alle abschalten??

Wenn ein Port "offen" ist, dann ist er offen und das dahinterliegende System wie Webserver ist angreifbar. Punkt.
Ist den Paketen völlig wurst durch welche Firewall sie flutschen - ist das Ziel angreifbar lässt sich das nutzen.

Allzuoft wird die Eingangstür mit 235 Schlössern abgesichert - und das Kellerfenster hat man vergessen zuzumachen.
Gelangweilte chinesische Studenten haben bei MD5 Kolissionen nachgewiesen - ergo kann man MD5 in die Tonne treten? Hmm..


V.E.R.H.Ä.L.T.N.I.S.M.Ä.S.S.I.G.K.E.I.T.

Wobei sowohl die echte wie die virtuelle Firewall aus Hardware und aus Software bestehen - oder läuft Vsphere in der Luft?
Hat eine fette Profi-FW Sicherheitsschwächen z. B. aufgrund von Bugs muss man das ebenso updaten wie bei Vsphere und virtueller Firewall.
Wieviele fette Profi Checkpoints auf Nokia Hardware noch auf 5.X laufen hab ich jedoch nicht gezählt... doch die Admins die sie betreuen schlafen trotzdem gut.


In 10 Jahren ist ALLES virtuell meiner Meinung nach.
Eine große schwarze Box in der Switches, Router, Firewalls, Server, Desktops brav nebeneinander tuckern und sich die CPUs, RAM und Storage teilen.
Schöne neue Welt.


Und jetzt?

Hallo,

natürlich ist die Risikoabwägung immer ein Argument.
Was ausreicht ist immer eine Abwägung was man schützen will/muss und was man dafür ausgeben kann.
Veraltete Versionen der SOftware sind in jedem Gerät ein Risiko, ob nun Desktop Rechner, Router Switch oder Firewall.

Aber, sobald ich in den etwas umfangreicheren Netzwekrbereich komme, ist eine die Positionierung einer einer Software nach außen immer ein Risiko.
Dann nehme ich nach außen doch lieber eine Software die speiziell dafür ausgelegt ist, als das ich eine Software nehme die dafür nicht gedacht ist und lasse dadrin eine Software laufen die dafür gedacht ist, damit schaffe ich mir 2 Einfallstore.

Deswegen setze ich inzwischenselbst im Privat Bereich lieber eine Hardwarefirewall ein.
Mein eigener DSL Anschluss ist nach Außen eine Fritzbox, älteres Modell, aber dahinter sitzt eine ASA, und ein Honeypot.
Im Honeypot haben sich schon ein paar Leute ausgetobt...
In meinem Netz, nach meinem wissen, noch Nicht!

brammer

Schaun wir mal, wie lange sich die zeitgemäße Sichtweise hält:
"Ein Hypervisor ist genauso sicher wie die virtualisierten Umgebungen, auch wenn wir nichts über ihn wissen, geschweige denn Maßnahmen zu seiner Absicherung ergriffen hätten."

Spaß beiseite, der entscheidende Satz im Eingangsbeitrag, warum sich gerade hier die Virtualisierung verhältnismäßig verbietet, ist "Der ISP liefert mir am Übergabepunkt normales Ethernet". Das verstehe ich so, dass der TO ein Ethernet-Kabel hat, dessen anderes Ende er nicht kontrolliert. In dem Moment, in dem er das in einen ESXi-Host steckt, exponiert er potenziell alles von der NIC-Firmware, über das ESX-Networking bis hin zur eigentlichen Firewall. Das kann man einem zentralen Server nicht zumuten.

Grüße
Richard

Guten Tag zusammen,

ich krame diesen alten Thread wieder mal hoch.

Wie würdet Ihr die Situation im Jahr 2022, d.h. zehn Jahre später beurteilen?

Wir suchen für unser < 10 köpfiges Team gerade nach einem neuen Router und einer (integrierten) Firewall.
Erfahrung besteht mit Mikrotik und deren rOS aus dem Heimbereich.

Daneben habe ich mir einen Überblick verschafft über opnSense.

Da noch ein leistungsfähiges aber sehr energiesparendes Mini-Blech da ist, kam die Überlegung, zu virtualisieren.

Derzeit kommen noch Lancom-Produkte bei uns zum Einsatz.
Hierfür haben wir keinen Support, so dass Änderungen gleich welcher Art immer Stunden/Tage der Recherche durch Dokumentationen und Foren mit sich gebracht haben.

Ich freue mich auch Eure Meinungen.