EXSi Deditzierter Server - sinnvolle Konzepte für Webhosting?

[=DarkEagle=]

Hallo,
nehmen wir an, man hat einen leistungsstarken Rootserver. Gibt es sicherheitstechnisch gesehen Konzepte, wo EXsi zur Virtualisierung genutzt wird und die "Sicherheit erhöht" wird. OK. Hört sich gerade blöd formuliert an.

Anderer Versuch. Ein Webserver (eigener dedizierter Server mit Mehrkern-CPU) stellt ne Homepage, nen Blog und sowas bereit. Könnte es Sinn machen, dass auf diesem dedizierten Server nun ein EXSi installiert wird und der Webserver dann dort in einer virtuellen Maschine landet. Ich beziehe mich nun nur auf den bereich Sicherheit. Idee ist, dass man dann noch ein Firewallsystem virtualisiert, weil man dann evtl. eher DDos und andere Angriffe besser abwehren kann als mit den Möglichkeiten, die ein normales Debian als Webserver bietet? Gibt es da Konzepte oder Erfahrungen?

Meine Websites wurden bisher noch nicht attackiert (außer Portscanns und SSH-Bruteforce), aber ich überlege schon, ob es mittels Virtualisierung nicht noch bessere Abwehrmöglichkeiten gibt. Bin für jede Idee offen/dankbar.

 

[LinuxMcBook]

Hm, eigentlich nicht. Die meisten Vorteile vom ESXi fallen sowieso weg, wenn du nur einen Host-Server hast und nur ein Gast-OS laufen lässt.

Trotzdem sind solche Dinge wie Backup trotzdem einfacher. Und du kannst, wenn der Server mal kaputt geht, alles sofort auf einen anderen ESXi Server schieben ohne eine Neuinstallation.

 

[Sannyboy111985]

Du hast auf jeden Fall auch ein Problem mit den IPs. Wurde einen esx nicht ins Internet stellen.

 

[=DarkEagle=]

Hm, eigentlich nicht. Die meisten Vorteile vom ESXi fallen sowieso weg, wenn du nur einen Host-Server hast und nur ein Gast-OS laufen lässt.

Trotzdem sind solche Dinge wie Backup trotzdem einfacher. Und du kannst, wenn der Server mal kaputt geht, alles sofort auf einen anderen ESXi Server schieben ohne eine Neuinstallation.

Läuft auch alles ohne EXSi gut und auch wegen Backup ist der EXSi in meinem Fall kein muss :-)
Neueinrichtung vom Server mit Scripten und allem dauert ca. 1 Stunde.

Du hast auf jeden Fall auch ein Problem mit den IPs. Wurde einen esx nicht ins Internet stellen.

In wie fern habe ich Probleme mit den IPs. Ich muss zugeben, dass ich den EXSi nun noch nicht intensiv genutzt habe. Idee war, dass die Firewall seine 2 IPs bekommt und der Webserver 1 und die Firewall vom Webserver so gepolt wird, dass nur Traffic von der virtualisierten Firewall akzeptiert wird und der Rest verworfen wird. Mal schauen, was der EXSi da an Möglichkeiten bietet.

https://www.xing.com/net/itconnecti...erheit-appliances-utm-firewall-co-43622975/p0

Bin inzwischen auch dort über eine Diskussion gestolpert. Ich werde das Ganze mal lokal testen und schauen, ob was was taugt.

 

[Mickey Mouse]

was soll das bringen?
das OS in der VM bleibt ja genauso anfällig wie auf einem "richtigen" Rechner. Das einzige was du änderst ist, dass du jetzt noch ESXi mit eventuellen Sicherheitslücken dazu packst. Es wird also im Zweifel nur unsicherer.

Man könnte sich jetzt irgendwelche Konstrukte mit zusätzlicher DMZ und Firewalls ausdenken, dafür brauchst du aber mehrere VM's.

 

[M-X]

Erstens das Ding heißt ESXi!

Zweiten, aus sicherheitstechnischer Sicht macht es keinen Sinn, aus anderen Gründen aber durchaus.

 

[=DarkEagle=]

was soll das bringen?
das OS in der VM bleibt ja genauso anfällig wie auf einem "richtigen" Rechner. Das einzige was du änderst ist, dass du jetzt noch ESXi mit eventuellen Sicherheitslücken dazu packst. Es wird also im Zweifel nur unsicherer.

Man könnte sich jetzt irgendwelche Konstrukte mit zusätzlicher DMZ und Firewalls ausdenken, dafür brauchst du aber mehrere VM's.

Solche Konstrukte waren die Idee :-) Problem ist natürlich wirklich, dass ESXi als hypervisor ein zusätzliches Einfallstor darstellt.

Erstens das Ding heißt ESXi!

Zweiten, aus sicherheitstechnischer Sicht macht es keinen Sinn, aus anderen Gründen aber durchaus.

Erstens verstanden :-) ESXi ;-)
Zu zweitens. OK. Dann lasse ich das wohl mal. Mag du mir zu " aus anderen Gründen aber durchaus." noch ein paar kurze Stichwörter nennen?


Sicherheitslücken in ESXi
http://www.tecchannel.de/sicherheit...sluecken_in_vmware_esx_und_esxi_ausgebessert/
Ich lasse den Spaß eindeutig. ESXi setze ich lieber doch nur lokal ein.

 

[M-X]

Naja Backups gestalten sich sehr einfach. Im falle eine Systemumzugs kannst du die VM einfach rüberschieben.

 

[Daaron]

Man könnte bei so einem Konstrukt auch darüber nachdenken, mehrere virtuelle Maschinen aufzusetzen und strikt zwischen HTTPD, SQL und Mail zu trennen. Zusätzlich könnte man beim SQL ne Master-Slave-Replikation einrichten.
Wenn eine VM durch irgend etwas n Sockenschuss kriegt schmiert nicht das ganze Konstrukt ab.

Oder man könnte, bevor man größere Veränderungen (Distributionsupdate) vornimmt, die gesamte VM duplizieren.

ESXi als Zwischenschritt macht Sinn, ist der Hacking-Sicherheit aber nicht zuträglich.