Hardwaremäßig verschiedene Netzwerkkarten zuordnen

[schneifeltux]

Hallo miteinander,
habe VMWARE Workstation auf einem LINUX-Rechner installiert, in dem vier verschiedene Netzwerkkarten vorhanden sind und auch vom Linuxsystem erkannt werden. Nun möchte ich drei virtuelle Rechner herstellen, die ihre virtuelle Netzwerkkarte jeweils an eine reale Netzwerkkarte (eth0 bis -3) binden.

Im Artikel "c´t-Debian-Server 2 mit Xen 3.1" in der aktuellen CT 14/2007 Seite 132 wird behauptet, dass ".. direkten Hardwarezugriff aus virtuellen Maschinen heraus - letzteres ist einzigartig, nicht mal Platzhirsch VMware kann das." (Seite 132, oben rechts)

Ich kann mir nicht vorstellen, dass dies so stimmt und hoffe, dass mir einer aus der Runde sagen kann, wie ich das mit meinem gekauften VMWARE-60 denn hin kriege.
Herzlichen Dank für Eure Hilfe.

[continuum]

rerun vmware-config.pl

[schneifeltux]

Lieber Admin,
zwei Sätze mehr ? Ich habe mir Mühe gegeben auf eine wahrcheinliche Fehlinfo in einer großen PC-Zeitschrift hinzuweisen.
Gruss

[continuum]

Das ist keine Fehlinfo - VMware (hosted platforms) beherscht keinen direkten Zugriff auf Host-hardware.

Du kannst allerdings etwas aehnliches erreichen indem du deine physikalsichen Nics an ein vmnet bridgest und dann deinem HostOS die IP fuer dieses Nic entfernst.

Bei Windows stellt man die bridge-konstellation per vmnetcfg.exe ein und entfernt dann alle protokole ausser "vmware bridge protocol"
Bei Linux geht es per vmware-config.pl und anschliessender Konfiguration der nic (a la "ifconfig eth3 up" im startup -script der jeweiligen distro)

Ausnamhmsweise kann man der CT mal glauben

[schneifeltux]

Vielen Dank, nun seh ich klarer
Geht das denn eventuell mit VMWARE-Server ?
Möchte nicht nur deswegen auf XEN wechseln, weil ich die Sicherheit eines direkten Zugriffes auf Netzwerkkarten für wichtig halte.
Danke für die schnelle Blitzantwort.

[continuum]

Das ist bei VMserver genauso.

Bedenke - das dies kein wirklich exclusiver modus ist.

Wenn du eine OpenBSD-VM so konfigurierst und dann von aussen per nmap scannst - wirst du zwar eine Antwort bekommen wie von einem typischen OpenBSD system - allerdings nut auf dem ethernet-protocol-level.

Falls es irgendwelche exploits gibt die auf der tieferliegenden ebene im netzwerk-protocol stack angreifen - erreichen diese direkt den Host.
Mir ist da aber nichts bekannt

[schneifeltux]

Darf ich noch fragen, ob Du den Einsatz von XEN mit dem exclusiven Zugriff auf unterschiedliche Netzwerkkarten denn für die Herstellung eines Servers mit virtuellem Router für ausreichend hälst oder geht einfach nichts über die separate Hardware (Router, Mail-,Web-,Dateiserver) mit dem Nachteil "mehr Strohm und lauter" ?

[continuum]

Ich persoenlich nehme eine kleine OpenBSD-VM auf einem Windows-host als Router.

Wenn es wirklich gut abgesichert sein soll - waere eine OpenBSD-VM auf ESX oder eine XEN-VM besser.
Aber letzten endes geht wahrscheinlich in wirklich kritischen Bereichen nichts ueber Echt-Blech

Mein OpenBSD-router als VM hat allerdings ECHT-BLECH gegenueber den Vorteil dass, falls ein Cracker ein rootkit einsetzen kann, dieses nach meinem taeglichen RESET wieder verschwunden ist.