是否应该允许虚拟化主机运行任何服务？

Question

我最近为我经营的小公司设置了一个虚拟化服务器。该服务器运行少量用于开发、测试等的虚拟机...

我的业务伙伴在远程位置工作，因此我还在虚拟化主机上安装了 vpn 服务器，使他可以安全地访问公司服务。此外，再次在虚拟化主机上，我安装了bacula 来执行数据的备份。

这样做是可取的/好的做法还是我应该再创建一台虚拟机来进行备份和 VPN？在主机本身上运行这些服务是一个坏主意吗？如果是，为什么？

Answer 1

虚拟化主机应该是您拥有的最安全的机器。最安全的机器是根本没有连接到网络的机器;-)

考虑到这一点，最好不要在您的公共接口上提供任何服务。您甚至不应该在那里拥有 IP（虚拟机的网桥是 layer2）。

将 VM 主机视为 DMZ：禁止流量进入，没有问题。

所以在你的例子中：

• VNC：不好 - 这是一个传入服务
• 备份：没问题 - 会话是从这里到外部发起的

但即便如此 - 您应该只运行不会占用 VM 主机上的 RAM/CPU/IO 的服务 - 否则您的 VM 将遭受资源缺乏的困扰。

Answer 2

我建议将 VPN 功能与基于硬件的防火墙或单独的设备分开......例如，如果服务器关闭会发生什么？

但取而代之的是，可以使用现有的虚拟化主机作为 VPN 的终点。备份也不一定是问题。

这听起来像是一个小设置（你使用的是什么类型的硬件？），但如果你问，也许你有一些保留？为什么你认为这可能不是一个好主意？