Tường lửa ảo hóa theo Hyper-V?

Chúng tôi hiện đang xem xét việc cài đặt một phiên bản của pfSense trên máy chủ dựa trên Hyper-V R2 của chúng tôi để hoạt động như một bộ lọc nội dung, cổng bị khóa và tường lửa chung.

Mặc dù việc ảo hóa tường lửa / cổng thông thường .. đôi khi bạn phải làm việc với những gì bạn có! :)

Chúng tôi đã có 2 NIC vật lý .. 1 Đối mặt với internet (WAN) và 1 đối diện với mạng LAN nội bộ của chúng tôi.

Làm thế nào một người sẽ đi về việc đảm bảo tất cả các truy cập internet đều đi qua VM pfSense?

Có cấu hình nào giúp loại bỏ bất kỳ khả năng lưu lượng truy cập nào trong LAN LAN bỏ qua máy ảo pfSense không?

Xin lỗi nếu đó là một câu hỏi ngớ ngẩn, tôi là một nhà phát triển vào ban ngày: D

Những gì Wesley nói ... Cộng với một sơ đồ:

              +----------------------------------+
              |    +----------+   +---------+    |     +----+ +----+ +----+
              |    | pfSense  |   | Host OS |    |     |    | |    | |    |
              |    |          |   |         |    |     | PC | | PC | | PC |
              |    +----------+   +---------+    |     |    | |    | |    |
              |         ^   ^          ^         |     +----+ +----+ +----+
              |         |   +------+   |         |        ^      ^      ^
              |         |          |   |         |        |      |      |
              |         V          V   V         |        V      V      V
+--------+    +---+   +-------+  +-------+   +---+      +-----------------+
|Internet|<-->|WAN|<->|WAN NET|  |LAN NET|<->|LAN|<----+|    LAN SWITCH   |
+--------+    +---+   +-------+  +-------+   +---+      +-----------------+
              |          Hyper-V Host            |
              +----------------------------------+

Thực tế có thể sử dụng cùng một NIC trên Máy chủ Hyper-V cho cả mạng LAN và mạng LAN, nhưng bạn sẽ cần phải thiết lập vlan và cần một bộ chuyển đổi hỗ trợ chúng. Nó trở nên lộn xộn một cách nhanh chóng và các NIC khá rẻ. Một lưu ý về chip NIC, có được một chip tốt, như Intel, Broadcom, v.v. Tránh xa Realtek, Marvel và hầu hết các chip trên bo mạch trên bo mạch chủ rẻ hơn và DIY. Chúng chẳng là gì ngoài rắc rối cho môi trường ảo hóa.

Ngoài ra, hãy nhớ rằng Hyper-V là một Hypervisor kim loại trần. Nó KHÔNG phải là một dịch vụ chạy trong Windows. Những gì từng là cài đặt Windows trên máy trở thành một VM đặc biệt. Điều này dường như không phải là trường hợp vì lý do đơn giản và khả năng sử dụng, nhưng sẽ phát huy tác dụng khi bạn làm những việc như thiết lập Mạng Hyper-V.

Chỉ cần đặt tất cả PC, thiết bị chuyển mạch, bộ định tuyến và cơ sở hạ tầng mạng vvetera để sử dụng máy ảo pfsense làm cổng mặc định của chúng sẽ khiến tất cả lưu lượng truy cập thông qua bộ lọc nội dung.

Chắc chắn, ai đó có thể rút cáp mạng ra khỏi máy chủ và cắm thẳng PC của họ vào mạng WAN của bạn. Bạn có thể đặt một số loại lọc MAC hoặc xác thực 802.1x để ban hành bảo mật cấp cổng. Tất nhiên, ai đó cũng có thể đi dây xung quanh đó. Vấn đề là: Đã đến lúc bạn chỉ đơn thuần dựa vào "Tôi đã có mật khẩu và chìa khóa vào phòng máy chủ còn bạn thì không."

Chỉ cần thiết lập cổng của bạn làm cổng / bộ định tuyến mặc định và không có bất kỳ tùy chọn định tuyến nào khác trên mạng sẽ ngăn chặn tất cả các đầu ra ngoại trừ việc ai đó xông vào tủ máy chủ của bạn và làm hỏng cáp.