虚拟化路由器有危险吗？

Question

我在一些关于 pfSense 的论坛上读到过，说虚拟化 pfSense 很危险。之所以这么说，是因为攻击者可以使用 pfsense 作为对管理程序进行攻击的跳板，然后使用它来访问其他虚拟机并最终使所有内容脱机。

这对我来说听起来很疯狂，但这个想法是否有一点现实意义？在虚拟服务器中运行路由器是个坏主意吗？

Answer 1

人们普遍反对的论点是虚拟机管理程序本身的安全性，历史已经证明这一点并不重要。这可能总是会改变，但还没有任何真正重要的重复出现的虚拟机管理程序安全问题。有些人就是拒绝相信它，没有充分的理由。如果有人拥有防火墙，这与攻击其他主机无关，在这种情况下，它在何处运行无关紧要，并且在所有可能受到威胁的事情中，防火墙在列表中的位置非常低，除非您执行诸如 open 之类的愚蠢操作其管理到整个互联网的默认密码设置。那些人有一些非理性的恐惧，担心会通过 Internet 的桥接接口之一从 Internet 发送一些神奇的“根 ESX”数据包，以某种方式对管理程序做一些事情。这是极不可能的，您的网络可能会受到数百万种攻击。

许多生产数据中心在 ESX 中运行 pfSense，仅我个人就可能设置了 100 多个。我们的防火墙在 ESX 中运行。从所有这些经验来看，虚拟化您的防火墙的唯一几个小缺点是：1) 如果您的虚拟化基础架构出现故障，如果您不在该位置（大多数情况下），您将无法对其进行故障排除适用于 colo 数据中心）。这种情况应该很少见，特别是如果您在每个物理主机上部署了一个防火墙的 CARP。我确实偶尔会看到发生这种情况的场景，并且有人必须亲自前往该位置查看他们的虚拟机管理程序有什么问题，因为他们的虚拟防火墙也只有进入的路径也关闭了。2) 更容易出现可能造成安全问题的配置错误。当您有一个包含未过滤互联网流量的 vswitch 和一个或多个专用网络流量时，有几种可能会将未过滤的互联网流量放入您的专用网络（其潜在影响因环境而异）。它们是不太可能发生的情况，但比在完全不受信任的流量未以任何方式连接到内部主机的环境中发生同样的事情更有可能。

这些都不应该阻止你这样做 - 只是要小心避免场景 1 中断，特别是如果它位于数据中心，如果你失去防火墙，你没有准备好物理访问。

Answer 2

任何与互联网相关的事物都存在危险。

引用不朽的古怪艾尔：

关闭计算机并确保它已关闭 将
其放入地下 43 英尺的洞中 将
其完全掩埋；岩石和巨石应该没问题
然后烧掉你上网时可能穿过的所有衣服！

任何暴露于外界的事物都有可能受到攻击。如果您在专用硬件上运行 pfSense，并且它遭到入侵，那么您的攻击者现在有一个跳板可以在内部攻击所有内容。如果您的 pfSense 虚拟机受到威胁，攻击者确实有一个额外的攻击媒介 - 管理程序工具（假设您已经安装了它们） - 可以使用它来工作，但此时，您的网络已经受到威胁，您就在一个世界中无论如何伤害。

那么使用虚拟化的 pfSense 实例是不是不太安全？是的，一点点。我有什么可担心的吗？不。

编辑： 经过进一步考虑 - 如果 pfSense 中存在我不知道的特定错误，其中虚拟化 NIC 存在以某种方式创建安全漏洞的问题，则上述内容无效。然而，我不知道这样的漏洞。

Answer 3

无论您说的是哪种服务器，在虚拟环境中运行任何东西都存在一些固有的危险。我最近回答了一个类似的问题。由于您的路由器/防火墙已经可以访问您的内部网络，因此没有真正的理由攻击管理程序级别 - 已经有更好的攻击媒介可用。

我真正看到要使用虚拟机管理程序的唯一原因是您的虚拟机是否驻留在 DMZ 中。从那里您可以跟踪管理程序并进入内部网络上的机器。这不是您描述的用例。

我个人为灾难恢复目的保留了我的防火墙的虚拟化副本。使用它并不理想，但它是一种选择。