Die Foren-SW läuft ohne erkennbare Probleme. Sollte doch etwas nicht funktionieren, bitte gerne hier jederzeit melden und wir kümmern uns zeitnah darum. Danke!

VM für die DMZ einrichten auf separater NIC

Alles zum Thema vSphere 7.0, ESXi 7.0 und vCenter-Server bzw VCSA7.

Moderatoren: irix, continuum, Dayworker

Member
Beiträge: 86
Registriert: 10.08.2015, 23:02

VM für die DMZ einrichten auf separater NIC

Beitragvon kaineanung » 26.04.2021, 16:55

Hallo Leute,

ich habe hier ein kleines Problemchen:
ich bekomme es einfach nicht hin eine VM so einzurichten daß die in der DMZ steht.

Ich habe 2 NICs an diesem Server (DL380 G7) in Nutzung.
Einer ist auf dem Core-Switch in LAN-Port (VLAN-ID:0) angesteckt und der Andere an einem Port der in der DMZ (VLAN-ID:3) ist.

Erster, also NIC0, ist auch der Managementport und besitzt eine IP aus der LAN. Ich kann mich also normal auf der vSphere 7.0 Weboberfläche einloggen und VMs einrichten, den Server konfigurieren usw..

Zweiter, also NIC1, zeigt mir Netzwerkkonnektiviät an, scheint aber tot zu sein.
Ich habe ein weiteren vSwicth (vSwitch1) angelegt und diesem den NIC1 (also DMZ) zugweisen. Die VM, die ich eingerichtet habe mit Windows 2016, ist an diesem vSwitch angeschlossen und hat eine freie IP aus der DMZ-Range.

Nun sollte ich doch andere Netzwerk-Clients in der DMZ anpingen können von dieser VM aus, richtig? Das funktioniert aber nicht da ich keine Antwort zurückbekomme.
Um sicher zu gehen daß der Core-Switch-Port auch mit der korrekten VLAN-ID für DMZ konfiguriert ist, habe ich ein Notebook mit Kabel da angeschlossen, eine freie IP aus der DMZ-Range vergeben und siehe da: ein Server antwortet auf mein PING. Also ist der Port korrekt konfiguriert.
Um auszuschliessen das das Kabel zwischen dem Core-Switch und dem vSphere-Server defekt ist (würde aber auch keine Konnektivität anzeigen im Falle eines defektes), habe ich das Kabel getauscht.
Und im Falle einer kaputten NIC habe ich ein zusätzlichen NIC des vSphere-Servers hinzugenommen (NIC2) und ebenfalls an ein DMZ-Port am Core-Switch angeschlossen. Zeigt ebenfalls Konnektivität an ist nun ein Uplink am vSwitch1 (DMZ). Ich habe auch hier jegliche Kombinationen ausprobiert: NIC1 on + NIC2 on, NIC1 off + NIC2 on, NIC1 on + NIC2 off -> in allen Fällen kann ich nicht von der VM auf die DMZ pingen.


So, habe ich irgendwas vergessen?

1. Portgruppen: "DMZ" auf die physischen Adapter vmnic1 und vmnic2. Konnektivität ist vorhanden (grüne Ports)
2. Virtuelle Switches:
2.1 vSwitch0: Portgruppen 2 (VM Network / VLAN-ID: 0 + Management Network), VM Network nicht in Benutztung, Management Network -> Konnektivität vorhanden
2.1.1 Management Network besitzt eine IP aus unserem LAN und ist in Benutztung (Weboberfläche vSphere -> funktioniert alles wie es soll)
2.2 vSwitch1: Portgruppen 1 (DMZ / VLAN-ID:3), vmnic1 + vmnic2 Konnektivität: ok (grün)
3. Pyhsische Netzwerkkarten: nvmnic0-2 haben eine 1000 MBit/s, Vollduplex Geschwindigkeit, vmnic3 "verbindung getrennt".
4. VM-Kernel: vmk0, Portgruppe: Management Network, TCP/IP-Stack, Management, korrekte IP-Adresse


So, kann mir bitte eine sagen warum das Ding nicht mit "seiner Aussenwelt", also DMZ-Netz-intern mit anderen Geräten kommuniziert?
Was habe ich falsch gemacht? Was vergessen?

Wir haben hier bereits eine VM in der DMZ, damals musste es schnell gehen und haben kurzerhand den ganzen ESX-server in die DMZ genommen. Das will ich nun aber richtig machen. Ich hoffe auf eure Hilfe....

Schon einmal im Voraus vielen Dank für eure Mühe! Eine Bierrunde ist euch sicher ;)

Guru
Beiträge: 2472
Registriert: 23.02.2012, 12:26

Re: VM für die DMZ einrichten auf separater NIC

Beitragvon ~thc » 26.04.2021, 18:24

kaineanung hat geschrieben:Einer ist auf dem Core-Switch in LAN-Port (VLAN-ID:0) angesteckt und der Andere an einem Port der in der DMZ (VLAN-ID:3) ist.

Nur vorsichtshalber zur Klärung: VLAN 0 bedeutet kein VLAN-Tagging.

kaineanung hat geschrieben:Ich habe ein weiteren vSwicth (vSwitch1) angelegt und diesem den NIC1 (also DMZ) zugweisen. Die VM, die ich eingerichtet habe mit Windows 2016, ist an diesem vSwitch angeschlossen und hat eine freie IP aus der DMZ-Range.

Was du nicht erwähnst: Wo hast du überall die VLAN-ID eingerichtet? Portgruppe? VM? Beides?

kaineanung hat geschrieben:Um sicher zu gehen daß der Core-Switch-Port auch mit der korrekten VLAN-ID für DMZ konfiguriert ist, habe ich ein Notebook mit Kabel da angeschlossen, eine freie IP aus der DMZ-Range vergeben und siehe da: ein Server antwortet auf mein PING. Also ist der Port korrekt konfiguriert.

Dieser Notebook-Netzwerkkarte hast du VLAN-ID 3 zugewiesen?

Member
Beiträge: 86
Registriert: 10.08.2015, 23:02

Re: VM für die DMZ einrichten auf separater NIC

Beitragvon kaineanung » 28.04.2021, 11:30

~thc hat geschrieben:
kaineanung hat geschrieben:Einer ist auf dem Core-Switch in LAN-Port (VLAN-ID:0) angesteckt und der Andere an einem Port der in der DMZ (VLAN-ID:3) ist.

Nur vorsichtshalber zur Klärung: VLAN 0 bedeutet kein VLAN-Tagging.


Exakt, VLAN-ID 0 ist untagged und somit auch in keinem separaten VLAN -> bei uns also das 'normale' standard Netzwerk

~thc hat geschrieben:
kaineanung hat geschrieben:Ich habe ein weiteren vSwicth (vSwitch1) angelegt und diesem den NIC1 (also DMZ) zugweisen. Die VM, die ich eingerichtet habe mit Windows 2016, ist an diesem vSwitch angeschlossen und hat eine freie IP aus der DMZ-Range.

Was du nicht erwähnst: Wo hast du überall die VLAN-ID eingerichtet? Portgruppe? VM? Beides?


So wie ich das sehe kann man das nur in der portgruppe definieren. Diese weist man dem erstellten vSwitch zu. An der VM kann man da nichts machen, wäre ja auch komisch wenn ich VLAN am Client definiere statt auf dem Switch (damit meine ich auch im physischen LAN).
Also VLAN-ID 3 wurde in der Portgruppe DMZ definiert. Diese Portgruppe ist dem vSwitch1 zugewiesen und die Netzwerkkarte der VM ist an diesen vSwitch (also DMZ) angeschlossen.

~thc hat geschrieben:
kaineanung hat geschrieben:Um sicher zu gehen daß der Core-Switch-Port auch mit der korrekten VLAN-ID für DMZ konfiguriert ist, habe ich ein Notebook mit Kabel da angeschlossen, eine freie IP aus der DMZ-Range vergeben und siehe da: ein Server antwortet auf mein PING. Also ist der Port korrekt konfiguriert.

Dieser Notebook-Netzwerkkarte hast du VLAN-ID 3 zugewiesen?


Das ist das was ich in weiter oben gemeint habe: VLAN definiert man meines Wissens nach nicht am Client sondern am Switch. Jedenfalls habe ich es niemals anders gemacht. Also: Notebook ist untagged, wurde am DMZ-Port (VLAN-ID:3) angeschlossen. Und da hat es funktioniert wie es soll.

Guru
Beiträge: 2472
Registriert: 23.02.2012, 12:26

Re: VM für die DMZ einrichten auf separater NIC

Beitragvon ~thc » 28.04.2021, 12:46

Dann unterliegt du einem Irrtum - man kann sehr wohl eine VLAN-ID für eine Netzwerkkarte vergeben und das ist bei Tagged VLANs, bei denen der physische/virtuelle Switch am Port den Tag nicht hinzufügt/entfernt, auch notwendig. Siehe: https://vmware-forum.de/viewtopic.php?f=39&t=30573

Ein vSwitch des ESXi entfernt den Tag immer, so dass VMs diesen nie zu Gesicht bekommen - es sei denn, der vSwitch-VLAN-Tag hat den Wert "4095".

1. Wenn dein Notebook am Switchport ohne VLAN-Tag funktioniert, bist du dir überhaupt sicher, dass das VLAN Switch-Intern nicht untagged ist?

2. Wenn du keinen Tag auf der Clientseite (-> Notebook) brauchst, hast du mal probiert, auf dem ESXi-vSwitch "0" zu setzen?

Member
Beiträge: 86
Registriert: 10.08.2015, 23:02

Re: VM für die DMZ einrichten auf separater NIC

Beitragvon kaineanung » 28.04.2021, 13:02

Ha, du hattest vollkommend Recht! Ich habe nicht bedacht das die DMZ intern untagged sein könnte!
Ich habe den Port des Core-SW auf die VLAN-ID 3 gesetzt gehabt und hatte somit meine Brücke zur DMZ.
Ich habe soeben in der DMZ-Port-Gruppe die VLAN-ID auf 0 gesetzt gehabt und plötzlich konnte die VM die DMZ-Cleints anpingen!

Ich frage mich aber wozu ich dann überhaupt eine neue Portgruppe "DMZ" erstellt habe? Wäre das in der VM Network-Portgruppe nicht auch gegangen?

Ich wollte einfach aus Gründen der Sicherheit alles getrennt halten und daher dachte ich ich muss im ESXi ebenfalls strikt mit VLAN-IDs arbeiten und alles taggen was nicht default-Netzwerk ist?

Wenn ich das nun so belasse wie es ist, habe ich da dann ein Sicherheitsproblem oder so?
Eigentlich ja nicht, der vSwitch1 und die Portgruppe "DMZ" sind ja nur mit dem vmnic1 verbunden, das ist ja schon quasi "physikalisch" separiert, richtig?

Guru
Beiträge: 2472
Registriert: 23.02.2012, 12:26

Re: VM für die DMZ einrichten auf separater NIC

Beitragvon ~thc » 28.04.2021, 13:22

Der Vorteil von VLANs, die clientseitig untagged funktionieren, ist, dass du die Geräte einfach in den Switch steckst und fertig.

Der Nachteil ist, dass du die Switchports ja dediziert vergeben musst und daher ein Server (wie dein ESXi), der Kontakt zu zwei VLANs halten soll, dann zwingend zwei Anschlüsse zu verschiedenen pSwitch-Ports haben muss.

In einem tagged VLAN könntest du dies allen über einen pSwitch-Port und eine Netzwerkkarte laufen lassen.

Wenn du jetzt einer Portgruppe (bei dir: "VM Network") über den vSwitch zwei Netzwerkkarten anhängst, die sich physisch in verschiedenen VLANs befinden, ist das Chaos perfekt: Der ESXi weist VMs beliebig eine der NICs zu und in welchem VLAN sie landen...

Deine Trennung über einen separaten vSwitch mit einer eigenen NIC und einer Portgruppe "DMZ" ist also sinnvoll.

Wenn du ein untagged-VLAN hast, liegt die Trennung komplett in den Händen des pSwitch - auf den verlässt du dich. Mit Tags und Trennung haben dann der ESXi und die VMs nichts mehr zu tun.

Member
Beiträge: 86
Registriert: 10.08.2015, 23:02

Re: VM für die DMZ einrichten auf separater NIC

Beitragvon kaineanung » 28.04.2021, 14:05

Danke für die Erklärung.
Da ich mich für die Variante mit den zwei pSwitchen in 2 verschiedene VLANs entschieden habe und beide untagged belasse, habe ich alles richtig gemacht indem ich ein vSwitch erstellt habe welches nur die vmnic zugweisen bekommen hat welches in der DMZ steckt (ist ja dann am Core-SW-Port bereits konfiguriert). Somit bin ich auf der sicheren Seite und die Trennung der DMZ vom restlichen Netzwerk ist genauso wie von VMWare vorgesehen, richtig? Das ist nämlich der wichtigste Punkt überhaupt, und da frage ich lieber einmal mehr nach...

Guru
Beiträge: 2472
Registriert: 23.02.2012, 12:26

Re: VM für die DMZ einrichten auf separater NIC

Beitragvon ~thc » 28.04.2021, 14:20

Ja - da liegst du richtig. Und besser zweimal fragen als einmal ganz dumm dastehen ;) .


Zurück zu „vSphere 7.0“

Wer ist online?

Mitglieder in diesem Forum: 0 Mitglieder und 1 Gast