DMZ und LAN mitels VMWare

[domi65]

Hi zusammen.
Hab noch nicht viel mit VMWare gemacht, stehe aber vor der Überlegung, mit VMWare auf einem Rechner die DMZ und den LAN-Server zu betreiben.

Szenario jetzt:
Smoothwall auf eigenem Rechner, 3 NICs.
DMZ auf einem Rechner, 1 NIC
LAN-Server auf einem Rechner, 1 NIC
---------------------------
Szenario angedacht:
Smoothwall auf eigenem Rechner, 3 NICs.
DMZ und LAN-Server auf einem Rechner, 2 NICs

Die DMZ soll ein eigenes Interface bekommen sowie ne eigene HDD, anderes Subnetz ist klar.

VMWare soll auf dem LAN-Server (2003 Server) laufen, darunter dann die DMZ (Linux)

Nun interessiert mich, wie es mit der Sicherheit aussieht und welchen Netzwerktyp ich dabei auswähle (bridged, etc.)

Macht das alles überhaupt Sinn??

Dankeschööön schonmal
Domi

[MYO]

Ich hab dazu schon oft geschrieben, wenn du also nach meinen threads suchst wirst du fündig....
Kurzfassung:
DMZ und Internes Netz können auf dem selben GSX Server sein, ohne sich gegenseitig zu sehen, selbst den VMWare GSX können sie nicht sehen wenn man will.

Szenario: DMZ und intranet. GSX Server hängt im Intranet, hat aber Maschinen die ins intranet oder DMZ müssen.

2NICs im GSX. NIC1 intranet konfiguriert, NIC2 Nicht konfiguriert.

NIC1 wird auf den Bridged adapter gelegt (virtuelle Netzwerkkonfiguration unter GSX)
NIC2 auf VMNet4 legen.

VMs die ins intranet müssen bekommen Bridged NIC und DMZ VMs bekommen Custom: VMNet4

GSX ist nicht von DMZ zu sehen, VMs für die DMZ sehen nicht den GSX oder andere VMs und umgekehrt....

LG
Alex

[domi65]

Jau, das scheint zu funktionieren. NUr hab ich noch ein Verständnis-Problem, und zwar:

Mein Netz sieht so aus:



------------> DMZ (NIC1) (VMWare-Client)
|
WAN ---> Firewall -----> Intranet-Server (NIC2) (VMWare-Host)
|
---> LAN



Und wenn diese beiden NICs in einem Rechner sind, wobei der Intranet-Server VMWare-Host ist, der DMZ-Server VMWare-Client, dann kann man es doch nicht verhindern, dass der Intranet-Server quasi auch schon in der DMZ steht und somit ungeschützter ist, oder reicht da die nicht konfigurierte IP-Adresse bzw. eine aus einem anderen Subnetz schon völlig für aus?? NAch meinen Gedankengängen ist das ganze physisch zu wenig abgesichert. Aber die Netzwerkkarte kann man unter Windows nicht deaktivieren, für den VMWare-Client aber zur vVerfügung stellen, oder?

(Sorry, Vielleicht ein bisschen Wirr geschrieben )

thx. DOmi

[wandan]

Hallo.

Von der entsprechenden Netzwerkkarte alle Protokolle usw. deaktivieren (haken raus) und nur das Vmware Bridge Protokol einbinden.


Grüße
Alex