Hyper-V: Firewall im virtuellen Switch?

[RobertWi 81]

Moin,

 

mal eine Frage aus einem Bereich, mit dem ich mich nur am Rande auskennen und wo ich wohl auch den richtigen Suchbegriff nicht gefunden haben.

 

Mehrere virtuelle Maschinen teilen sich einen vSwitch auf drei Hyper-V-Clusterknoten. Aus netzwerktechnischen Gründen laufen alle im gleichen vLAN und der gleichen IP-Range. Außerdem fällt die Windows Firewall als verbindliche Sicherheitslösung aus, da die Leute aus betrieblichen Gründen lokale Admins sein müssen.

 

Bietet Hyper-V eine Möglichkeit, auf Ebene des vSwitches eine Firewall zu implementieren? Es soll verhindert werden, dass VM1 mit VM2 kommunizieren kann, egal, was in der Maschine passiert.

[Dukel 468]

Meines Wissens gibt es seit einiger Zeit in der Hyper-V Netzwerkkonfiguration Schnittstellen für 3rd Party Hersteller und diese liefern Firewalls.

 

z.B.: http://www.windowspro.de/wolfgang-sommergut/5nine-security-hyper-v-anti-malware-virtual-firewall

http://www.winfrasoft.com/products/appliances/smoothwall/

[Dunkelmann 96]

Moin,

 

Hyper-V bietet ab 2012R2 Port-ACL für den virtuellen Switch. Nicht ganz so komfortabel, aber dafür umsonst

http://technet.microsoft.com/de-de/library/dn375962.aspx

[Daniel -MSFT- 129]

Meines Wissens gibt es seit einiger Zeit in der Hyper-V Netzwerkkonfiguration Schnittstellen für 3rd Party Hersteller und diese liefern Firewalls.

 

z.B.: http://www.windowspro.de/wolfgang-sommergut/5nine-security-hyper-v-anti-malware-virtual-firewall

http://www.winfrasoft.com/products/appliances/smoothwall/

 

Letzteres ist imho eine virtuelle Appliance und kein Plugin für den Microsofts Extensible Switch in Hyper-V (wie ersteres). Es gibt solche Plugins z.B. von Cisco (Nexus 1000V), NEC (ProgrammableFlow PF1000), IBM (Distributed Virtual Switch 5000V), etc.

[Necron 71]

Hi,

 

wie schon genannt Port ACLs (build in) oder halt 5nine.  Andere Lösung wäre die Hyper-V Network Virtualization, aber das wäre mit Kanonen auf Spatzen zu schiessen.

[RobertWi 81]

Danke für die Infos.

 

Den Cisco Link habe ich an die Netzwerker weitergegeben.

 

Das ich die ACL nicht gefunden habe, liegt vermutlich daran, dass ich nicht auf die Idee gekommen bin nach "ACL" zu suchen. :)

 

Das ist vielleicht nicht so komfortabel, kann aber genau die einfache Lösung sein, die gebraucht wird, da es hier ja nicht um differenzierte Regeln, sondern einen Totalblock geht.