如何在DMZ中放置虚拟机？

Question

我有一台 Ubuntu 12.04 服务器，运行着几个带有 KVM 的虚拟机。

我想在 Internet 上公开其中一些虚拟机，以便客户可以测试我们正在开发的产品并提供其他产品用于演示目的。

其中一个服务器 NIC 配置了公共 IP。然而，在网络上公开任何内容之前，我想确保如果其中一台虚拟机受到威胁，攻击者不会到达其余主机。

我想做的是将这些虚拟机放入DMZ 中。

这些是我计划做的步骤：

1. 在虚拟化主机中创建一个tap接口（假设是tap1）
2. 使用tap1创建网桥，并在与其他主机分开的子网中为其指定 IP。假设 10.0.0.1
3. 将 DMZ 虚拟机连接到网桥并静态配置它们的 IP（10.0.0.2、10.0.0.3 等...）
4. 使用 UFW，禁止从 10.0.0.0/24 到任何内部主机的任何流量，允许从内部主机到 10.0.0.0/24 的流量，并使用端口转发在 Web 上公开虚拟机。

你认为这个设置安全吗？你能提出任何改进或更好/更安全的方法吗？

Answer 1

我想确保，如果其中一台虚拟机遭到入侵，攻击者将无法访问其余主机。

为此，除了适当的防火墙之外，您确实需要sVirt，它随 RHEL6/CentOS 6 KVM 主机开箱即用。它甚至已启用并默认工作。我不知道它是否适用于 Ubuntu 设置。