Sicherheit bei HyperV

[sgn9 3]

Hallo

Betriebt ihr "externe Angebote" (also z.B. Webserver zum Austausch von Dokumenten mit Fremdfirmen, z.B. Owncloud/NextCloud und so) auf dem selben HyperV-"Blech" wie "interne Angebote" (wie ActiveDirectory, Fileserver, Gehaltsdatenbank)?

Habt ihr noch ne Firewall-Appliance (Sonicwall, Watchguard, oder so) davor, oder macht ihr eine Begrenzung auf Port 443 nur in Windows?

Ciao

[Dukel 436]

Wir haben das bei Kunden sowohl getrennt als auch auf der gleichen Physik. Bei der Trennung auch teilweise auf verschiedenen Ebenen (Storage, Compute und Netzwerk).

 

Wenn es das Budget hergibt würde ich versuchen zu trennen.

[sgn9 3]

Ist aber erstmal nur ein geplantes OwnCloud/NextCloud, aktuell steht da so eine QNAP-Kiste oben aufm Serverrack, da müsste ich ja dann zwei Hyper-V-Bleche anschaffen um das redundant zu haben

[Dukel 436]

Ja. Wie gesagt Budget vs. Anforderungen.

Wenn das Budget da ist um bei Problemen mit dem Hypervisor (Ausbruch aus einer VM) abzusichern macht man das, wenn einem das Budget für diese Anforderung fehlt, dann ist die Anforderung nicht wichtig genug und man macht das nicht.

[sgn9 3]

Habt ihr noch ne Firewall-Appliance (Sonicwall, Watchguard, oder so) davor, oder macht ihr eine Begrenzung auf Port 443 nur in Windows?

[Dukel 436]

In der Regel gibt es bei den Kunden Firewalls (Juniper, Cisco, Fortigate), das machen aber die Kollegen aus dem Netzwerk / Security Bereich.

[sgn9 3]

macht man dann im Hypervisor einen getrennten virtuellen Switch für das OwnCloud & Co, oder geht der ganze Traffic über einen virtuellen Switch?

bearbeitet 20. Dezember 2019 von sgn9

[Dukel 436]

Wieviel Security Know-How hast du denn? Hier wäre evtl. ein Workshop mit einem Security Dienstleister angebracht.

Ich würde nicht mit einzelnen Einstellungen anfangen sondern mit einem umfangreichen Sicherheitskonzept. Einzelne Einstellungen purzeln dann zum Schluss heraus.

[sgn9 3]

die nächsten 6 Monate wird da kein Geld für ausgegeben, wir kämpfen noch an anderen Baustellen.

Wenn das so kompliziert ist...

[djmaker 95]

Eventuell ist es einfacher vorhandene externe Angebote zu nutzen. Wir nutzen (wenn auch in anderer Dimension) Citrix Fileshare. Zu den Kosten kann ich Dir aber nichts sagen.

 

https://www.citrix.com/de-de/lp/sharefile/

[falkebo 18]

Am 20.12.2019 um 10:26 schrieb sgn9:

macht man dann im Hypervisor einen getrennten virtuellen Switch für das OwnCloud & Co, oder geht der ganze Traffic über einen virtuellen Switch?

Wir machen nen NIC-Team an jedem Host, anschließend erstellen wir einen externen Hyper-V Switch (mit Host System geshared) und in den VM Einstellungen wird dann das entsprechende VLAN zugewiesen. Damit sind die verschiedenen Systeme Netzwerktechnisch getrennt und können nur noch über die Firewall bei Bedarf geroutet werden.