Netwerken onder VMware

[tijgetje57]

Hallo,

Dit is mijn eerste post op het forum binnen tweakers. En heb het topic netwerken gekozen omdat dit toch wel netwerk gerelateerd is. Tenminste lijkt mij.

En ik heb een dilemma. Nou hebben wij VMware en daar onder draaien wij XP.

Nou hebben we ook een domein. En voor dat domein gelden bepaalde policies en bijvoorbeeld FTP mag niet. Dit op papier gezien, de geen ftp policy is niet enabled.

Maar nu kun je onder VMware de netwerkkaart gebruiken van de notebook desktop voor evt een ander apparaat. Dit om daar mee te communiceren cq. data over te brengen.

Maar als je dan weer de netwerkkabel erin steekt om op het domein te komen. Zou je dus technisch gezien vanaf de VM naar het domein kunnen FTP' en.

Maar dat wil ik dus niet.

is dit technisch haalbaar om op te lossen?

[ Voor 4% gewijzigd door tijgetje57 op 23-02-2010 14:55 ]

[YellowOnline]

Kan je AUB je post even opnieuw formuleren? Ik ken best wat van netwerken in VM, maar ik snap niet wat je nu precies wil doen.

[CherandarGuard]

Eh.. Je vertrouwt op AD policies om je netwerk security te regelen?
Dat lijkt me nou niet de meest waterdichte oplossing.

Hoe ziet de rest van de netwerkomgeving er uit?

[Question Mark]

Geef als je wilt ook even aan welk produkt van de fabrikant VMWare je gebruikt.

[Jazzy]

Je hebt gelijk, een virtuele machine die de gebruiker aanmaakt is gewoon een "vreemde" pc die jij niet beheert met GPO's in je domein. Daarom regel je dit soort dingen bij voorkeur op een firewall of proxy-server en niet op de werkplekken.

[lordgandalf]

hoe bedoel je ftppen naar het domein.
zodra je inlogt op het domein dan word de geen ftp policy toch van kracht.
of bedoel je dat je lappie eerst in een niet domein omgeving hangt en daar gebruikt om je bestanden te downloaden en dan weer switched.
mocht het zo zijn dat je het laatste niet wilt dan moet je gok ik kijken naar end-point security

[ Voor 16% gewijzigd door lordgandalf op 23-02-2010 14:57 ]

[tijgetje57]

Idd het laatste van Ndeleeuw is het geval.

Het betreft VMware Workstation 6.

Het lappie hangt eerst in een niet beheerde omgeving. Een testkast bijvoorbeeld, maar die communiceert alleen maar met FTP. Anders niet.

Vervolgens wordt deze los gehaald van de kast en aan het netwerk gehangen. Maar dan heb je nog steeds je FTP op je VM' tje staan. En die kan gewoon op het netwerk komen.....

Maar dan komt het waarom wij een VM gebruiken, het netwerk is redelijk beveiligd. Het bevat ook een netwerkcontrole script. Dat script detecteert de netwerkverbinding, is dat een niet gevalideerde verbinding. Dan slaat de netwerkkaart gewoon dicht. Vervolgens kan je dus niks meer.

Dus aan de ene kant omzeilen op een nette manier, maar daarmee maak je ook weer iets van wat je eigenlijk niet wil als beheerder zijnde. En dat is een beveiligingslek.....

Is dit te scheiden.

[ Voor 39% gewijzigd door tijgetje57 op 23-02-2010 15:01 ]

[lordgandalf]

okee maar hoe bedoel je ftp ?? een ftp server of een client ?? en die ftp is dat op de laptop of op het vm guest os ??

[ Voor 3% gewijzigd door lordgandalf op 23-02-2010 15:08 ]

[tijgetje57]

Nou je installeert Total Commander en gaat dus via ftp naar het domein vanaf het guest OS.

[lordgandalf]

owkee nu denk ik dat ik het snap. je hebt een domein genaamt domein.nl en daar ftp je naar toe begrijp ik dit goed ?? en dat domein.nl is ook je AD domein ??

[tijgetje57]

jij begrijpt hem.

Maar hoe kill je local die ftp mogelijkheid. Maar alle fileservers, DC, printserver.... Alles hangt hierin. Naja, bijna alles, er is een gedeelte van het netwerk wat niet in dit domein hangt. Maar daar zal ik niet verder over uitweiden.

Want dit moet zo direct wel 150 keer uitgeleverd gaan worden. Maar ik voorzie grote problemen.

[ Voor 38% gewijzigd door tijgetje57 op 24-02-2010 08:53 ]

[lordgandalf]

zorg dat mensen uberhaupt geen install mogelijkheden hebben en anders endpoint security denk ik

[Question Mark]

tijgetje57 schreef op dinsdag 23 februari 2010 @ 14:57:
Maar dan komt het waarom wij een VM gebruiken, het netwerk is redelijk beveiligd. Het bevat ook een netwerkcontrole script. Dat script detecteert de netwerkverbinding, is dat een niet gevalideerde verbinding. Dan slaat de netwerkkaart gewoon dicht. Vervolgens kan je dus niks meer.

Dus aan de ene kant omzeilen op een nette manier, maar daarmee maak je ook weer iets van wat je eigenlijk niet wil als beheerder zijnde.

Sorry, maar dit stuk snap ik niet. Waarom wordt nu gebruik gemaakt van VMWare workstation? En als dit om wat voor reden noodzakelijk is, waarom hangen die VM's dan niet gewoon in het domein zodat je group policy ook gewoon voor deze hosts gelden.

Maak in plaats van VMWare workstation gebruik van VMWare player zodat gebruikers zelf geen nieuwe VM's aan kunnen maken en je bent toch klaar?

[tijgetje57]

@? dat zal niet gaan omdat er bepaalde situaties zijn waarin de gebruiker zelf software moet gaan installeren.

Er moet ook Linux Red Hat op. Dit omdat bepaalde zaken waarop de software gezet moet worden al bijna 20 jaar oud zijn. Maar te kostbaar om te vervangen zoals je met een gewone pc doet.

En een dual-boot opstelling is verboden, anders had ik dat al lang en breed gedaan. Tevens werkt het ook niet samen met een encryptie programma wat wij gebruiken.

Voor zover bedankt voor ieders reactie.

[tijgetje57]

Heb het opgelost.

Heb een endpoint security pakket geinstalleerd, genaamd Forticlient. En daarbij de instelling gemaakt dat port 21 gewoon potdicht zit. Om de gebruiker te beschermen en mijn werk heb ik er ook maar even een password opgezet.

Dus everybody bedankt. Mijn probleem is zo goed als opgelost.

[Jazzy]

Maar als ik mijn eigen laptop meeneem dan kan ik nog steeds met ftp naar buiten?

[leuk_he]

Eerst een plaatje:

Rood=internet
Firewall 2= je (endpoint )security firewall. Hier regel je toegang tot internet.
Lan = waar je PC en en je vmware pc hangt.

Alles wat op je LAN draait wil je afschermen van internet. Je wil heel strak regelen welk netwerk verkeer van internet naar je lan kan en vice versa. Redelijk standaard is dat je enkel toestaat dat al het verkeer van internet via de web proxy gaat. Als je 1 PC meer rechten geeft in je lan, dan lekt in theorie al heel je LAN naar internet.

VMWARE maakt niet uit in dit verhaal, vmware netwerk draait meestal in 1 van de volgende modes:
-Bridge, van buiten af aan gedraagd de virtuele machine zich als een losse machine waaraan niet te zien is welk zijn host pc is.
-NAT, al het netwerk verkeer lijkt van buiten af aan vanaf de host te komen (die het doorstuurd)

Ik hoop dat je firewall 2 je "endpoint security is"en dat niet een fireal pakketje op je hostpc.

Overigens is poort 21 dichtzetten niet genoeg he? Als je 1 poort open laat staan kan ik voor je regelen dat heel je LAN toegankelijk is op internet. ftp kan ook over andere poorten draaien en ook getunneled worden.

(ik hoop dat dit nog een beetje duidelijk is want ik houd het een beetje kort, Wellicht dat dit hele verhaal nergens op slaat)

[ppl]

Question Mark schreef op woensdag 24 februari 2010 @ 09:35:
[...]

Maak in plaats van VMWare workstation gebruik van VMWare player zodat gebruikers zelf geen nieuwe VM's aan kunnen maken en je bent toch klaar?

Dat mag licentietechnisch niet, VMware Player is alleen beschikbaar voor non-commercial use terwijl het hier nou juist gaat om commercial use. Men moet dus iets anders nemen wat daar licentietechnisch wel voor geschikt is en dan kom je bij Workstation uit. Daarnaast kunnen ook nog een aantal features een rol van betekenis spelen maar ik denk dat dat in dit geval niet zal opgaan.

[Question Mark]

ppl schreef op woensdag 24 februari 2010 @ 22:30:
[...]

Dat mag licentietechnisch niet, VMware Player is alleen beschikbaar voor non-commercial use terwijl het hier nou juist gaat om commercial use.

Thx, wist ik niet

[Zwelgje]

ppl schreef op woensdag 24 februari 2010 @ 22:30:
[...]

Dat mag licentietechnisch niet, VMware Player is alleen beschikbaar voor non-commercial use terwijl het hier nou juist gaat om commercial use. Men moet dus iets anders nemen wat daar licentietechnisch wel voor geschikt is en dan kom je bij Workstation uit. Daarnaast kunnen ook nog een aantal features een rol van betekenis spelen maar ik denk dat dat in dit geval niet zal opgaan.

intekenen voor distribution use

http://www.vmware.com/par...ibution_registration.html

maar je hebt gelijk, je zou liever de workstation versie moeten gebruiken. kan je ook veel meer mee in een bedrijf

[leuk_he]

Powershell schreef op donderdag 25 februari 2010 @ 09:48:
[...]
maar je hebt gelijk, je zou liever de workstation versie moeten gebruiken. kan je ook veel meer mee in een bedrijf

Je hebt nog veel meer opties he?

Ikzelf draai vmware server op mijn desktop, omdat ik dan geen 10 handtekeningen moet verzamelen om budget voor vmware workstation te krijgen.

Een collega doet hetzelfde met sun virtual box, maar die is waarschijnlijk "free for personal use". Ook microsoft heeft virtual pc, gratis te gebruiken bij windows, maar dat is geen optie voor mij omdat virtual pc geen USB kan virtualiseren.

Als je hem vaak moet uitrollen is een goede licentie uitzoeken wel de moeite waard.

[Zwelgje]

leuk_he schreef op donderdag 25 februari 2010 @ 11:39:
[...]


Je hebt nog veel meer opties he?

Ikzelf draai vmware server op mijn desktop, omdat ik dan geen 10 handtekeningen moet verzamelen om budget voor vmware workstation te krijgen.

Een collega doet hetzelfde met sun virtual box, maar die is waarschijnlijk "free for personal use". Ook microsoft heeft virtual pc, gratis te gebruiken bij windows, maar dat is geen optie voor mij omdat virtual pc geen USB kan virtualiseren.

Als je hem vaak moet uitrollen is een goede licentie uitzoeken wel de moeite waard.

voor echt bedrijfsmatige gebruik zijn er geen alternatieven (ja eventueel med-v van MS) maar de ACE functionaliteit icm workstation zou ik niet willen missen

http://www.vmware.com/products/ace/

letwel: we hebben het hier niet over een simpel vm'etje draaien he, ik wil die dingen echt beheren en centraal kunnen deployen (daarom zeg ik ook zakelijk en niet 'huis/tuin/keuken' use

[ppl]

Powershell schreef op donderdag 25 februari 2010 @ 09:48:
[...]


intekenen voor distribution use

http://www.vmware.com/par...ibution_registration.html

maar je hebt gelijk, je zou liever de workstation versie moeten gebruiken. kan je ook veel meer mee in een bedrijf

Nee dat is iets heel wat anders. Het gaat daar echt alleen maar over het mogen uitrollen van Player in je netwerk. Het gebruik van Player moet nog steeds non-commercial zijn en dat is het dus niet in het bedrijfsleven. Deze optie is dan ook eerder iets voor het onderwijs waarbij men VMware Player wil uitrollen op de diverse werkstation. Het gebruik is daar non-commercial (non-profit en educatie organisatie) maar men wil het distribueren. Een hele verstandige keuze van VMware omdat Microsoft nogal erg diep geworteld zit in het onderwijs vanwege de pakketten die ze aanbieden. Virtual PC hoort daar ook bij en die mogen onderwijsinstellingen dus ook gewoon draaien. Dat VMware Player moet je dan zien als de concurrent voor die situatie.

Bij VirtualBox is het licentie model wat vriendelijker: zolang de gebruiker het maar zelf installeert mag diegene het voor non-commercial en voor commercial purposes gebruiken. De IT-afdeling mag het echter niet automatisch overal op installeren. Volgens mij kun je wel de installer distribueren die gebruikers dan gewoon kunnen starten om het daarna te installeren. Helaas heeft VMware zoiets niet voor Player waar juist zo'n soort licentie optimaal is (veel betere concurrentie met VirtualBox en Virtual PC bijv.).

Een centrale virtualisatie server is ook wel een aardige, dat kun je dan met diverse applicaties oplossen zoals VMware Server en ESXi (beiden gratis) maar ook met Citrix XenServer (ook gratis). In dat opzicht zijn er mogelijkheden genoeg