This post is also available in: Inglese

Novità di vSphere 5 – ESXi firewall

Una delle nuove funzioni di ESXi 5 è il nuovo “personal” firewall, funzionalità che in precedenza era prerogativa solo della versione legacy (e ora anche dismessa) ESX.

La motivazione di VMware di non includere nelle prime versioni di ESXi un firewall era per la natura “leggera” dell’hypervisor con una superficie di attacco minima e con pochi servizi. A questo punto ci si potrebbe domandare perché aggiungere questa funzione se potrebbe non servire? Probabilmente per colmare un divario di funzionalità tra ESXi e ESX (la mancanza del firewall era abbastanza evidente) e per migliorare comunque la sicurezza tramite un approccio di tipo deep security.

Le caratteristiche di questo firewall sono:

  • Firewall di tipo stateless e orientato ai servizi di ESXi.
  • Attivo di default.
  • Si posiziona tra la management interface di ESXi e la management network.
  • Permette di aggiungere ACL per restringere l’accesso ai servizi basandosi su indirizzi IP e/o subnet mask (questa funzione è nuova e non era così semplice da implementare in ESX).
  • L’upgrade da ESX/ESXi 4.x a ESXi 5.0 comporta numerosi cambiamenti nelle regole del firewall. Per maggiori informazioni vedere la guida vSphere 5 Upgrade.

Per maggiori informazioni vedere anche (in inglese):

Gestione del firewall

Il firewall di ESXi 5 può essere gestito attraverso:

  • vSphere Client: go to Host Configuration > Software > Security Profile. Praticamente la stessa gestione di ESX.
  • Command line: poiché in vSphere 5 i vecchi comandi esxcfg-* sono deprecati, il firewall è configurabile e controllabile attraverso il comando esxcli.

Limiti di questo firewall?

Esattamente come quello vecchio (in ESX) questo firewall è orientato ai servizi, rendendo più semplice la sua configurazione e gestione.

Però questa volta non è basato sul framework Linux Netfilter e Iptables e non è un firewall di tipo statefull… questo potrebbe significare minor flessibilità, e in alcuni casi, anche minor sicurezza. Perché minor sicurezza? Perché un firewall stateless è più complicato da gestire nelle sue regole (soprattutto quelle di risposta) costringendo a definire un insieme di porte spesso maggiore di quelle realmente richieste (e comportando quindi maggiori rischi di sicurezza). Quali sono i possibili rischi nella sicurezza dell’host? Nella verità sono minimi, visto che i pacchetti di risposta (in quasi tutti i casi) provengono dall’host stesso… rendendo quindi il livello di sicurezza simile a quello ottinibile con un firewall statefull.

Invece un grande miglioramento è sicuramente la possibilità di aggiungere ACL e regole su IP specifici o reti, questo può incrementare ulteriormente la sicurezza. Ma naturalmente non significa che firewall perimetrici non sono più necessari… un “personal” firewall non li sostituisce.

Share