답변:
사람들이 일반적으로 반대하는 주장은 하이퍼 바이저 자체의 보안입니다. 역사는 그다지 중요하지 않은 것으로 입증되었습니다. 항상 바뀔 수는 있지만 아직 반복적으로 발생하는 하이퍼 바이저 보안 문제는 아직 없었습니다. 어떤 사람들은 정당한 이유없이 그것을 신뢰하기를 거부합니다. 누군가가 방화벽을 소유하고 있다면 다른 호스트를 공격하는 것이 아닙니다.이 경우 방화벽이 실행중인 위치와 문제가 될 가능성이있는 모든 문제 중에서 방화벽은 공개와 같은 어리석은 짓을하지 않으면 목록을 통과하지 못합니다 기본 암호가 설정된 전체 인터넷 관리. 이 사람들은 인터넷에서 브리지 된 인터페이스 중 하나를 통해 마법의 "루트 ESX"패킷이 전송 될 것이라는 비이성적 인 두려움을 가지고 있습니다. 어떻게 든 하이퍼 바이저에 무언가를 할 것입니다. 네트워크가 훼손 될 가능성이 수백만 가지 더 많을 가능성은 거의 없습니다.
ESX에서 수많은 프로덕션 데이터 센터가 pfSense를 실행하고 있습니다. 아마도 100 개를 초과하여 설치했을 것입니다. 방화벽은 ESX에서 실행됩니다. 이러한 모든 경험에서 방화벽 가상화에 대한 몇 가지 단점은 다음과 같습니다. 1) 가상화 인프라가 다운되면 물리적으로 해당 위치에 있지 않은 경우 문제를 해결하기 위해 방화벽을 사용할 수 없습니다. 콜로 데이터 센터에 적용 가능). 특히 물리적 호스트 당 하나의 방화벽으로 CARP를 배포 한 경우에는 매우 드 should니다. 이 상황이 발생하는 경우 시나리오가 표시되며 누군가가 실제로 가상 방화벽으로 하이퍼 바이저의 문제점을 확인하고 경로 만 다운 된 위치로 이동해야합니다. 2) 보안 문제가 발생할 수있는 구성 실수가 발생하기 쉽습니다. 필터링되지 않은 인터넷 트래픽과 하나 또는 여러 개의 개인 네트워크 트래픽에 대한 스위치가있는 경우 필터링되지 않은 인터넷 트래픽을 개인 네트워크로 떨어 뜨릴 수있는 몇 가지 가능성이 있습니다 (잠재적 영향은 환경마다 다를 수 있음). 시나리오 일 가능성은 거의 없지만 완전히 신뢰할 수없는 트래픽이 내부 호스트에 어떤 방식으로도 연결되지 않은 환경에서 동일한 종류의 문제를 일으키는 것보다 훨씬 더 낫습니다.
두 가지 중 어느 것도 그렇게하지 않아야합니다. 특히 방화벽 1을 잃어 버릴 경우 물리적으로 액세스 할 수없는 데이터 센터에 시나리오 1이 중단되는 경우 시나리오 1이 중단되지 않도록주의하십시오.
인터넷에 연결되어있는 것이 위험합니다.
불멸의 이상한 알을 인용하려면 :
컴퓨터를 끄고 전원이 꺼 졌는지 확인하십시오
. 땅에있는 45 피트의 구멍에 떨어 뜨리십시오
. 바위와 바위는 괜찮을 것입니다.
그런 다음 온라인에있을 때 입었던 모든 옷을 태우십시오!
외부 세계에 노출되는 모든 것은 공격의 대상이됩니다. 전용 하드웨어에서 pfSense를 실행 중이고 손상된 경우 공격자는 이제 내부적으로 모든 것을 공격 할 수있는 발판이 있습니다. pfSense 가상 머신이 손상되면 공격자는 하이퍼 바이저 도구 (설치 한 것으로 가정)와 함께 추가 공격 경로를 가지게됩니다. 그러나이 시점에서 네트워크는 이미 손상되었으며 세계에 있습니다. 어쨌든 상처의.
가상화 된 pfSense 인스턴스를 사용하는 것이 안전하지 않습니까? 그렇습니다. 내가 걱정할만한 것이 있습니까? 아니.
편집 : 추가 고려 사항-pfSense에 특정 오류가있는 경우 가상화 NIC에 문제가있어 보안 결함이 발생하는 곳을 알 수없는 경우 위의 내용이 유효하지 않습니다. 그러나 나는 그러한 취약점을 모른다.
어떤 종류의 서버를 말하든 가상 환경 내에서 무언가를 실행하는 데에는 몇 가지 고유 한 위험이 있습니다. 나는 최근에 비슷한 질문에 대답했다 . 라우터 / 방화벽이 이미 내부 네트워크에 액세스 할 수 있으므로 하이퍼 바이저 수준을 공격 할 실제적인 이유는 없습니다.
하이퍼 바이저를 따라갈 수있는 유일한 이유는 가상 머신이 DMZ에있는 경우입니다. 거기에서 하이퍼 바이저를 따라 내부 네트워크의 시스템으로 이동할 수 있습니다. 그것은 당신이 묘사하는 유스 케이스가 아닙니다.
개인적으로 DR 목적으로 가상화 된 방화벽 사본을 유지합니다. 그것을 사용하는 것은 이상적이지 않지만 옵션입니다.