[Advies] Veilige netwerktoegang virtuele machines in DC

[Eagle Creek]

Hi!

Het uiteindelijke doel is om:
- Een groep gebruikers toegang te geven tot
-- meerdere virtuele machines
--- die in een publiek DC hangen
--- die bij voorkeur enigszins te configureren zijn door de gebruikers zelf (bv. maken snapshop of reboot)
--- die mogelijk geïnfecteerd worden met virussen

Ik heb in eerste instantie geen voorkeur voor hypervisor (zolang hij maar gratis is). Het maakt dus niet uit of de oplossing wordt gevormd met Hyper-V of VMware vSphere bijvoorbeeld.

Daar de server in een publiek DC hangt is security wel een puntje. De individuele virtuele machines zullen situaties kennen waarbij de firewall uitgeschakeld wordt, moet ook dit in gedachten worden genomen.

Er is de beschikking over IPv6. Alle virtuele machines zouden dus een uniek adres kunnen krijgen, maar ik weet niet of dit de voorkeur heeft (ivm attack surface en mogelijk beperkte beveiliging).
Er is de beschikking over 2 IPv4-adressen (i.v.m. remote access mogelijkheden op de server)

Iemand in mijn omgeving riep enthousiast Direct Access. DA is een mooi product, maar heeft meerdere nadelen: alle cliënts moeten minimaal voorzien zijn van Windows 7, en opgenomen zijn in de DA van het te bereiken netwerken. Beide zaken zijn niet het geval (cliënts variëren van XP - 7 en zijn privé pc's en geen domein members).

Een andere optie is om een W2K8 server te combineren met RAS. Men maakt via VPN verbinding met deze server, en de individuele virtuele machines zijn vanuit daar te bereiken.

Je ziet dat ik wat in de Microsoft hoek stuur. Wanneer ik bv. VMware zou installeren, dan moet ik nog een andere machine gebruiken om de remote access op zich te nemen. Dit lijkt me extra load met zich mee te brengen vergeleken met een alles-in-1. Is echter geen vereiste: ik sta open voor meerdere opties. Een andere optie is bv. om middels een vSphere client te connecteren naar de VMWare server.

Wat is handig om te doen, in het achterhoofd houdende dat de virtuele cliënts mogelijk virussen bevatten / geen firewall draaien, en dus enigszins afgeschermd hun werk moeten kunnen doen. Allemaal middels IPv6 nettoegang klinkt leuk, maar is wellicht niet handig.

Overigens moet het bij voorkeur niet mogelijk zijn voor cliënts die naar de virtuele omgeving verbinden, om elkaar te bereiken in deze omgeving. Een eerdere oplossing uitgevoerd middels Hamachi veroorzaakte dit wel.

[ Voor 3% gewijzigd door Eagle Creek op 08-08-2011 21:23 ]

[Verwijderd]

Kan je iets verduidelijken? Is het de bedoeling dat je gebruikers de VM's kunnen beheren ( zoals je doet blijken ivm met connectie maken via vSphere ) of is het de bedoeling dat ze rechstreeks kunnen werken op de VM's zonder eigenlijk te weten dat ze op VM's zitten ( remote desktop/ssh op de VM's )?

Ik heb in eerste instantie geen voorkeur voor hypervisor (zolang hij maar gratis is). Het maakt dus niet uit of de oplossing wordt gevormd met Hyper-V of VMware vSphere bijvoorbeeld.

Beide zijn niet gratis volledig gratis natuurlijk. Hyper-V zit in een Windows Enterprise Licentie ( dacht ik ). VMWare heeft wel zijn ESXi versie's maar je moet eerst eens kijken of daar alle nodige functie's inzitten en je niet tegen bepaalde beperkingen zal lopen ( aantal CPU's, RAM, ... )

Indien je jouw gebruikers toegang moet geven tot de VM's zou ik waarschijnlijk voor Hyper-V gaan. Een RDP via VPN ( of evt. op een of ander obscure poort met sterk wachtwoord maar dit is minder aan te raden ) naar de host en daaruit de guests beheren.

Met VMWare heb je in principe geen extra management-pc nodig. Je connecteert met de vSphere client op de ESX server en vraagt aan het DC waarin je server hangt om op de L4-Firewall van hen in te stellen zodat slechts enkele IP's toegang hebben op de TCP port van de ESX management. Dit kan natuurlijk alleen maar als je weet van welke IP's je gebruikers zullen connecteren.

btw: Is het de bedoeling dat ieder user alle VM's ziet of wil een een systeem met rechten zodat niet alle users alle VM's zien?

[ Voor 4% gewijzigd door Equator op 09-08-2011 09:11 . Reden: Hyper-Z :P ]

[moppentappers]

Om even in te haken op het RRAS verhaal, je kan naar mijn mening dan beter monowall of pFsense gebruiken, dat is lichter dan een windows server, heeft meer mogelijkheden en werkt (naar mijn mening) een stuk makkelijker. Wat betreft hypervisor denk ik dat ESXi het makkelijkste is maar om dat goed te kunnen bepalen is wat meer informatie nodig

[Eagle Creek]

Bedankt voor jullie reacties!

Ik hoop altijd in mijn startpost voldoende informatie te verschaffen, maar gaandeweg komen er vaak nog vragen naar boven. Prima!

De bedoeling is dat de gebruikers op de virtuele machines programma's kunnen gaan uittesten. Ook kunnen ze gebruikt worden om te spelen met virussen. Zij mogen weten dat ze op een virtuele machine werken.

Het zou een pré zijn wanneer zij in staat zijn om vanuit de hypervisor zelf de machines kunnen herstarten (bv bij een crash), en bv. snapshots kunnen maken en terugzetten. Dit kan zowel met Hyper-V als vSphere. Dit is echter geen vereiste, maar wel te realiseren met zowel VM als MS.

Voor zover ik weet is vSphere gratis, maar dit is snel uit te vinden. Ik weet dat VMware een gratis product aanbiedt. Anderzijds is Hyper-V server core ook gratis, en heb ik een licentie voor een enterprise liggen dus dat is geen bezwaar.

btw: Is het de bedoeling dat ieder user alle VM's ziet of wil een een systeem met rechten zodat niet alle users alle VM's zien?

In principe mogen ze alle machines zien. Als ik het onder kan verdelen is het een pré, maar geen eis. (ik kan bv af met het hernoemen van één machine naar “afblijven!”, bij wijze van spreken).

Om even in te haken op het RRAS verhaal, je kan naar mijn mening dan beter monowall of pFsense gebruiken, dat is lichter dan een windows server, heeft meer mogelijkheden en werkt (naar mijn mening) een stuk makkelijker.

Ik heb de beschikking over één fysieke machine. Ik kan dus geen extra machines bijplaatsen. Wanneer ik een 2008-machine gebruik voor zowel Hyper-V als RAS, dan zou ik dit mooi kunnen koppelen. Is wederom geen eis, slechts een suggestie.

Een optie zou bv. kunnen zijn om met vSphere een virtuele PFsense op te zetten, en vanuit daar verder te connecteren. Heb ik geen ervaring mee, ben ik bereid te leren, is dus een optie.

[Verwijderd]

Eagle Creek schreef op dinsdag 09 augustus 2011 @ 10:35:
Ik heb de beschikking over één fysieke machine. Ik kan dus geen extra machines bijplaatsen. Wanneer ik een 2008-machine gebruik voor zowel Hyper-V als RAS, dan zou ik dit mooi kunnen koppelen. Is wederom geen eis, slechts een suggestie.

Een optie zou bv. kunnen zijn om met vSphere een virtuele PFsense op te zetten, en vanuit daar verder te connecteren. Heb ik geen ervaring mee, ben ik bereid te leren, is dus een optie.

Wat je ook kan doen is je pfSense draaien in een VM op je machine en RAS gebruiken in noodgevallen. Dan heb je een veilige omgeving en kan je in principe zelfs een intern netwerk maken met je VM's zonder een externe connectie... Je moet wel zeker een stok achter de deur houden voor moest iemand jouw router-VM afsluiten, anders heb je wel een probleem

Voordeel van vSphere vindt ik de weinige overhead die je hebt van de hypervisor. Hyper-V heeft een windows installatie nodig ( al hoewel een Windows Server Core ook kan, maar daar heb ik geen ervaring mee... )

[ItsValium]

Ikzelf zou in dit geval kiezen voor een ESXi omgeving met één virtuele pfsense die dan een niet-publiek lan opzet naar alle windows vm's. Via de pfsense kan je de toegang best makkelijk regelen, stel voor alle gebruikers een mobile vpn accountje en je ben vertrokken. De VM(s) kunnen dan benaderd worden via RDP

De ESXi zelf connecteer je aan datzelfde interne lan, zodat je via de vpn een vSphere client kan laten verbinden om zo de ESXi host te beheren, echter zou ik deze wel beperken tot enkele gebruikers gezien het risico dat ze de pfsense vm kunnen afsluiten ...

[ Voor 4% gewijzigd door ItsValium op 09-08-2011 15:07 ]

[p.m.]

Je zou ESXi kunnen installeren, vervolgens maak je 2 netwerken aan, 1 met de fysieke NICs en 1 zonder NICs. In dat laatste netwerk plaats je de VM's.
Voor de connectie kun je van http://www.vyatta.org een vApp downloaden die als Internet gateway dient. Deze gateway geef je een vNIC in beide netwerken, 1 voor ontsluiting naar buiten toe zodat'ie benaderbaar is, en 1 voor de connectie naar de VM's. De Vyatta-gateway kun je als NAT/DHCP/DNS/Firewall/VPN/etc. gebruiken. Je kunt de gebruikers via deze machine laten binnenkomen en door laten hoppen naar hun VM. Vervolgens kunnen ze vanaf een lokaal op de VM geinstalleerde vSphere client connecten naar Vcenter of de ESXi, als je dat zou willen.

[alt-92]

vSphere is niet gratis.

Alleen de hypervisor ESXi wordt gratis aangeboden - maar dan zonder alle interessante management tools zoals self-provisioning dashboards die jij nu juist wil gebruiken
+ je vergeet voor het gemak dat je nog steeds een Hosting license voor je clients zal moeten afnemen.

Zelfde geldt voor Microsoft's Hyper-V: je kan een gratis variant van de Hypervisor genaamd Hyper-V Server 2008 (R2) krijgen, maar dan heb je zelf nog wel wat scriptwerk te doen als je het ding ook managed wil aanbieden.
En aangezien jij ook nog eens meerdere Server Roles wil gebruiken valt die sowieso al af.

[ Voor 16% gewijzigd door alt-92 op 09-08-2011 17:20 ]

[Zer0]

Als je geen bijzonder dingen als PCI-passthrough nodig hebt zou je ook kunnen kijkken naar https://code.google.com/p/phpvirtualbox/

[Verwijderd]

Zer0 schreef op dinsdag 09 augustus 2011 @ 17:40:
Als je geen bijzonder dingen als PCI-passthrough nodig hebt zou je ook kunnen kijkken naar https://code.google.com/p/phpvirtualbox/

misschien even off-topic: maar werkt dit goed? Ik heb dit ooit eens geïnstalleerd en kreeg het niet aan de praat. Het is wel al een paar maanden geleden

on-topic: Als je de management nodig hebt zoals alt-92 aanhaalt, dan kijk je inderdaad best eens naar de licentie kosten van de mogelijkheden, misschien zullen er daardoor al mogelijkheden afvallen...

[CAPSLOCK2000]

Eagle Creek schreef op dinsdag 09 augustus 2011 @ 10:35:

De bedoeling is dat de gebruikers op de virtuele machines programma's kunnen gaan uittesten. Ook kunnen ze gebruikt worden om te spelen met virussen. Zij mogen weten dat ze op een virtuele machine werken.

Ik krijg hier eerlijk gezegd een beetje vies gevoel bij. Virussen testen hoor je te doen op een machine zonder netwerkverbinding, niet in een publiek DC. Dat je gebruikers ook software testen suggereert dat die VMs gewoon een netwerkverbinding gaan krijgen. Ik zou die functies op z'n minst scheiden zodat je die virussen kan testen op vms zonder netwerkkaart.

Ik heb de beschikking over één fysieke machine. Ik kan dus geen extra machines bijplaatsen. Wanneer ik een 2008-machine gebruik voor zowel Hyper-V als RAS, dan zou ik dit mooi kunnen koppelen. Is wederom geen eis, slechts een suggestie.

Zolang het niet om kritieke infrastructuur gaat kun je eventuele management-machines ook virtueel draaien.

Een optie zou bv. kunnen zijn om met vSphere een virtuele PFsense op te zetten, en vanuit daar verder te connecteren. Heb ik geen ervaring mee, ben ik bereid te leren, is dus een optie.

Al die vms achter een aparte firewall hangen is sowieso een goed idee.

[Jazzy]

Wie zegt dat die VM's een netwerkverbinding hoeven te krijgen? Je kunt ze ook benaderen via de beheeromgeving van de hypervisor en zo als afgeschermde speeltuin te gebruiken.

Maar aan de TS zou ik aanbevelen om zijn wensen eens rustig op een rijtje te zetten, misschien beter niet in verhalende vorm maar in de vorm van een lijstje met bullets. Maak een onderscheid tussen de verschillende componenten van de uiteindelijke oplossing, bijvoorbeeld:

Hypervisor:
- Moet een self-service portal hebben
- Mogelijkheid om de console van VM te beheren voor gebruikers

Netwerk:
- Gescheiden VLAN's
- Internettoegang
- Remote toegang voor beheer

Virtuele server:
- Standaard image/golden image
- Lifecycle management

Datacenter/hosting:
- Hoeveel capaciteit nodig

Door een beetje orde te scheppen in de chaos kun je veel beter op zoek gaan naar de juiste componenten voor de oplossing. Want eerlijk gezegd vind ik je topicstart over virussen, virtualisatie, IPv4 en IPv6, firewalls en een datacenter niet veel meer dan een opsomming van allerlei dingetjes die jij in je hoofd hebt. En het lijkt er haast even op dat je verwacht dat hier iemand de naam van het product gaat noemen.

[Eagle Creek]

Alleen de hypervisor ESXi wordt gratis aangeboden - maar dan zonder alle interessante management tools zoals self-provisioning dashboards die jij nu juist wil gebruiken

Voor zover ik weet is de vSphere client gratis, en kunnen zij daarmee de machine beheren.

Zelfde geldt voor Microsoft's Hyper-V: je kan een gratis variant van de Hypervisor genaamd Hyper-V Server 2008 (R2) krijgen, maar dan heb je zelf nog wel wat scriptwerk te doen als je het ding ook managed wil aanbieden.

Dat hoeft niet. Je kunt middels een managementmachine de VM's beheren.
En een beetje scripting met cmd of ps is ook niet een probleem.

+ je vergeet voor het gemak dat je nog steeds een Hosting license voor je clients zal moeten afnemen

Dat is helemaal waar, maar dat is geen probleem. Tevens zal een deel v/d machines linux based zijn, en daar heb je sowieso geen licenties.

Je bent wel altijd scherp in je antwoorden (gericht op praktijksituaties) en dat waardeer ik.

En aangezien jij ook nog eens meerdere Server Roles wil gebruiken valt die sowieso al af.

Wieso?

Dat je gebruikers ook software testen suggereert dat die VMs gewoon een netwerkverbinding gaan krijgen. Ik zou die functies op z'n minst scheiden zodat je die virussen kan testen op vms zonder netwerkkaart.

Primair is het geen virustesting. Dat kan incidenteel gebeuren. Ik snap wel wat je bedoelt, en neem dit zeker in overweging .

Wie zegt dat die VM's een netwerkverbinding hoeven te krijgen? Je kunt ze ook benaderen via de beheeromgeving van de hypervisor en zo als afgeschermde speeltuin te gebruiken

Juist!

Zolang het niet om kritieke infrastructuur gaat kun je eventuele management-machines ook virtueel draaien.

Juist.

Maar aan de TS zou ik aanbevelen om zijn wensen eens rustig op een rijtje te zetten, misschien beter niet in verhalende vorm maar in de vorm van een lijstje met bullets

Kan, maar er liggen niet zulke harde eisen. De meeste zaken zijn voorkeur en pré. Primair liggen er de eisen zoals gesteld in de startpost: VM's in een DC die veilig te bereiken zijn.

Want eerlijk gezegd vind ik je topicstart over virussen, virtualisatie, IPv4 en IPv6, firewalls en een datacenter niet veel meer dan een opsomming van allerlei dingetjes die jij in je hoofd hebt

Correct. Is dat een bezwaar dan?

En het lijkt er haast even op dat je verwacht dat hier iemand de naam van het product gaat noemen.

Nee, ik vraag alleen om suggesties. Jullie mening is belangrijk voor me, daarmee ga ik zelf aan de slag. Het is geen -dump-and-wait-for-answer-topic .

[Jazzy]

Eagle Creek schreef op woensdag 10 augustus 2011 @ 12:31:
Correct. Is dat een bezwaar dan?

Als je mijn tijd belangrijk vind wel ja. Als het je vooral om je eigen tijd gaat, doe dan niet moeilijk en dump de hele shit gewoon. Doe vooral geen moeite om een apart topic te maken over netwerktoegang in een datacenter, of een apart topic over de keuze van een hypervisors. Het zou je namelijk wel eens tijd kunnen kosten om je eisen duidelijk op een rijtje te zetten, en je kunt natuurlijk beter pas vertellen welk OS de VM's gaan draaien als iemand anders wat geroepen heeft over licenties.

Ik ben geen moderator maar dit is wel PNS waar je post. Op dit moment zie ik weinig complex of geavanceerds aan wat je wilt doen, het enige wat het complex maakt is je onduidelijke aanpak.

[Eagle Creek]

doe dan niet moeilijk en dump de hele shit gewoon

Wtf?

Ik heb dit topic geopend om ideeën op te doen van mede-tweakers (zoals de meeste posts van dit topic hierin mij prima voorzien). Niet om een kant en klare oplossing te krijgen.

Ik heb gelukkig nog de mogelijkheid om op mijn gemak te orienteren, zonder dat er harde eisen zijn. En dat doe ik dan ook .

Chill..

[ Voor 19% gewijzigd door Eagle Creek op 10-08-2011 15:32 ]

[Jazzy]

Leg mij dan eens goed uit waarom je al je vragen in één topic gestopt hebt. Was het niet beter om je eerst eens in remote toegang te verdiepen? In een andere topic kijken wat voor self service portals er eigenlijk bestaan? De keuze voor een hypervisor gewoon zelf maken aan de hand van je eisen? En wat doet dat verhaal over virussen en IPv6/IPv4 er eigenlijk toe?

Zal beste zo zijn dat het niet je bedoeling is om het te dumpen, maar zo komt het in ieder geval wel over.

[Powermage]

Eagle Creek schreef op woensdag 10 augustus 2011 @ 12:31:
[...]

Voor zover ik weet is de vSphere client gratis, en kunnen zij daarmee de machine beheren.

De client zelf is gratis, maar in de voorwaarden voor de gratis esxi zal vast eea vermeld staan dat je dit niet mag gebruiken om aan te bieden aan je klanten cq alleen voor intern gebruik.

[Eagle Creek]

Het is voor intern gebruik. Hoewel het in een publiek DC hangt zullen er alleen developers op aan de slag gaan.

(Ik reageer later op Jazzy, zit nu op m'n werk )

[Verwijderd]

Een andere mogelijkheid:

- De 2008R2 Enterprise als host installeren
- Hyper-V role
- Websitepanel (= het vroegere DotNetPanel, vroeger betalend, onlangs hebben de ontwikkelaars een grote som van Microsoft gekregen om het gratis beschikbaar te maken): Heeft een module om Hyper-V te beheren via een webbased control panel: stop/start/provisioneren)

Enige echte nadeel van Hyper-V wat mij betreft is de ondersteuning voor guest OS'en. Die is spijtig genoeg nog niet zo uitgebreid als bv bij ESX(i). Als je bv een PFsense wil gebruiken als firewall/router moet je al flink sleutelen om dit deftig te laten draaien. Op ESX draait dit out-of-the-box perfect.