Firewall / Netzwerkverkehr überwachen

[stahly]

Hallo zusammen,

wir haben eine externe physikalische Firewall, die den Netzwerkverkehr der VMs überwachen soll.
Bekommt die Firewall überhaupt etwas von dem Netzwerkverkehr mit, wenn die VMs auf demselben Host und demselben vSwitch sind?
Wie verhält es sich, wenn es unterschiedliche VLANs auf demselben Host und demselben dvSwitch sind?

Bedankt & bis dahin...
der stahly

[~thc]

Das kommt doch auf die Konstuiktion der Netzwerke/VLANs und die genaue Position der Firewall innerhalb des Konstrukts an - das lässt sich nicht so einfach pauschal sagen.

[stahly]

Das stimmt schon

Der einfachste Fall wäre:
VM 1 (10.1.1.1) und VM2 (10.1.1.2) laufen auf demselben Host und demselben vSwitch und kommunizieren miteinander. Wenn meine VM-Kenntnisse mich nicht täuschen, bleibt der Netzwerkverkehr innerhalb des Hostes. Somit würde die externe Firewall nichts mitbekommen. Richtig?

[~thc]

Ja.

[MarroniJohny]

Sonst wenn Du nicht sicher bist, kannst Du die beiden VMs beregeln und das loggen auf der Firewall.

[irix]

Das bezeichnet man als East<->West traffic und der Verlaesst den Host nicht ... Aber.... deine FW wuerde auch nichts bemerken von phys. Geraeten die im selben Subnet mit einander Reden. Die FW kann erst zuhoeren wenn der Client ueber Subnetgrenzen hinweg redet.

Die vSphere Distributed FW haette diese Probleme nicht da hier Microsegmentierung betrieben wird.

Gruss
Joerg

[stahly]

...
Die vSphere Distributed FW haette diese Probleme nicht da hier Microsegmentierung betrieben wird.
...

Danke für die Antworten.

Das würde dann aber NSX bedeuten, oder?

[irix]

Ja.

Gruss
Joerg

[~thc]

Die Alternative wäre, den vSwitch bzw. die Portgruppe auf "promiscous" zu schalten und eine virtuelle Firewall mithören zu lassen.

[stahly]

Die Alternative wäre, den vSwitch bzw. die Portgruppe auf "promiscous" zu schalten und eine virtuelle Firewall mithören zu lassen.

Für 2 VMs wäre das noch ok, aber wenn es mehrere Hosts mit ein paar hundert VMs sind... Ich glaube, das will man nicht wirklich

Auf jeden Fall hat sich mein Wissen bestätigt, dass es ohne relativ großen Aufwand nicht möglich ist, den Netzwerkverkehr der bestehenden Umgebung durch eine externe Firewall zu überwachen.