라우터 가상화에 위험이 있습니까?


12

pfSense를 가상화하는 것이 위험하다고 pfSense에 대한 몇 개의 포럼에서 읽었습니다. 그 이유는 공격자가 하이퍼 바이저에 대한 공격을 위해 스프링 보드로 pfsense를 사용한 다음이를 사용하여 다른 가상 머신에 액세스하여 모든 것을 오프라인으로 만들 수 있기 때문입니다.

그것은 나에게 미치게 들리지만 그 아이디어에 현실의 조각이 있습니까? 가상 서버에서 라우터를 실행하는 것이 나쁜 생각입니까?

답변:


17

사람들이 일반적으로 반대하는 주장은 하이퍼 바이저 자체의 보안입니다. 역사는 그다지 중요하지 않은 것으로 입증되었습니다. 항상 바뀔 수는 있지만 아직 반복적으로 발생하는 하이퍼 바이저 보안 문제는 아직 없었습니다. 어떤 사람들은 정당한 이유없이 그것을 신뢰하기를 거부합니다. 누군가가 방화벽을 소유하고 있다면 다른 호스트를 공격하는 것이 아닙니다.이 경우 방화벽이 실행중인 위치와 문제가 될 가능성이있는 모든 문제 중에서 방화벽은 공개와 같은 어리석은 짓을하지 않으면 목록을 통과하지 못합니다 기본 암호가 설정된 전체 인터넷 관리. 이 사람들은 인터넷에서 브리지 된 인터페이스 중 하나를 통해 마법의 "루트 ESX"패킷이 전송 될 것이라는 비이성적 인 두려움을 가지고 있습니다. 어떻게 든 하이퍼 바이저에 무언가를 할 것입니다. 네트워크가 훼손 될 가능성이 수백만 가지 더 많을 가능성은 거의 없습니다.

ESX에서 수많은 프로덕션 데이터 센터가 pfSense를 실행하고 있습니다. 아마도 100 개를 초과하여 설치했을 것입니다. 방화벽은 ESX에서 실행됩니다. 이러한 모든 경험에서 방화벽 가상화에 대한 몇 가지 단점은 다음과 같습니다. 1) 가상화 인프라가 다운되면 물리적으로 해당 위치에 있지 않은 경우 문제를 해결하기 위해 방화벽을 사용할 수 없습니다. 콜로 데이터 센터에 적용 가능). 특히 물리적 호스트 당 하나의 방화벽으로 CARP를 배포 한 경우에는 매우 드 should니다. 이 상황이 발생하는 경우 시나리오가 표시되며 누군가가 실제로 가상 방화벽으로 하이퍼 바이저의 문제점을 확인하고 경로 만 다운 된 위치로 이동해야합니다. 2) 보안 문제가 발생할 수있는 구성 실수가 발생하기 쉽습니다. 필터링되지 않은 인터넷 트래픽과 하나 또는 여러 개의 개인 네트워크 트래픽에 대한 스위치가있는 경우 필터링되지 않은 인터넷 트래픽을 개인 네트워크로 떨어 뜨릴 수있는 몇 가지 가능성이 있습니다 (잠재적 영향은 환경마다 다를 수 있음). 시나리오 일 가능성은 거의 없지만 완전히 신뢰할 수없는 트래픽이 내부 호스트에 어떤 방식으로도 연결되지 않은 환경에서 동일한 종류의 문제를 일으키는 것보다 훨씬 더 낫습니다.

두 가지 중 어느 것도 그렇게하지 않아야합니다. 특히 방화벽 1을 잃어 버릴 경우 물리적으로 액세스 할 수없는 데이터 센터에 시나리오 1이 중단되는 경우 시나리오 1이 중단되지 않도록주의하십시오.


통찰력이 뛰어나서 지금까지 하이퍼 바이저를 물리적으로 사용할 수있는 이점이 있습니다. 그러나 나는 당신의 충고를 반항적으로 기억할 것입니다.
ianc1215

pfSense를 공동 설립 한 Chris Buechler와 같은 저주가 있습니까?
ianc1215

2
그래 그게 나야. :)
Chris Buechler

멋있는! pfSense 가상화에 대한 통찰력에 감사드립니다. pfSense와 함께 VMXnet3을 사용하는 것이 안전합니까?
ianc1215

12

인터넷에 연결되어있는 것이 위험합니다.

불멸의 이상한 알을 인용하려면 :

컴퓨터를 끄고 전원이 꺼 졌는지 확인하십시오
. 땅에있는 45 피트의 구멍에 떨어 뜨리십시오
. 바위와 바위는 괜찮을 것입니다.
그런 다음 온라인에있을 때 입었던 모든 옷을 태우십시오!

외부 세계에 노출되는 모든 것은 공격의 대상이됩니다. 전용 하드웨어에서 pfSense를 실행 중이고 손상된 경우 공격자는 이제 내부적으로 모든 것을 공격 할 수있는 발판이 있습니다. pfSense 가상 머신이 손상되면 공격자는 하이퍼 바이저 도구 (설치 한 것으로 가정)와 함께 추가 공격 경로를 가지게됩니다. 그러나이 시점에서 네트워크는 이미 손상되었으며 세계에 있습니다. 어쨌든 상처의.

가상화 된 pfSense 인스턴스를 사용하는 것이 안전하지 않습니까? 그렇습니다. 내가 걱정할만한 것이 있습니까? 아니.

편집 : 추가 고려 사항-pfSense에 특정 오류가있는 경우 가상화 NIC에 문제가있어 보안 결함이 발생하는 곳을 알 수없는 경우 위의 내용이 유효하지 않습니다. 그러나 나는 그러한 취약점을 모른다.


FreeBSD 및 pf를 가상화하는 데 어떤 문제가 있는지 잘 모르겠습니다. 이것은 pfSense의 99 % (어쨌든 중요한 부분-커널 / 방화벽 모듈)입니다. 개인적으로 나는 생산에서 그것을하지 않을 것입니다.
voretaq7

글쎄-이상적인 상황은 아니며 가상 스위치, NIC 등으로 인해 wazoo에서 두통이 발생할 수 있습니다. 그러나 보안 문제로 과장된 것 같습니다.
Driftpeasant

어쨌든 pfSense 상자는 어쨌든 일종의 처분이 가능합니다. 이것은 "테스트"네트워크를위한 것입니다. 프로덕션보다 학습에 더 많이 사용하므로 위험이 적습니다. 정보 주셔서 감사합니다.
ianc1215

Weird Al 's Virus Alert 의 재미 있지만 관련이없는 +1 . 나는 일반적으로 경솔한 이유로 찬성하지 않지만 어떤 이유로 든 나를 특히 간지럽 혔습니다.
Steven 월요일

전혀 관련이 없습니다. 컴퓨터를 온라인에 연결 한 것을 말합니다. :)
Driftpeasant

5

어떤 종류의 서버를 말하든 가상 환경 내에서 무언가를 실행하는 데에는 몇 가지 고유 한 위험이 있습니다. 나는 최근에 비슷한 질문에 대답했다 . 라우터 / 방화벽이 이미 내부 네트워크에 액세스 할 수 있으므로 하이퍼 바이저 수준을 공격 할 실제적인 이유는 없습니다.

하이퍼 바이저를 따라갈 수있는 유일한 이유는 가상 머신이 DMZ에있는 경우입니다. 거기에서 하이퍼 바이저를 따라 내부 네트워크의 시스템으로 이동할 수 있습니다. 그것은 당신이 묘사하는 유스 케이스가 아닙니다.

개인적으로 DR 목적으로 가상화 된 방화벽 사본을 유지합니다. 그것을 사용하는 것은 이상적이지 않지만 옵션입니다.

당사 사이트를 사용함과 동시에 당사의 쿠키 정책개인정보 보호정책을 읽고 이해하였음을 인정하는 것으로 간주합니다.
Licensed under cc by-sa 3.0 with attribution required.