Die Virtualisierung und der Trend zu Cloud-Umgebungen ist klar auszumachen. Eben so klar ist die Tatsache, dass sie eine konkrete Gefahr für alle Angestellten in der ICT-Branche ist. Vor allem für jene im Bereich der Security und den operativen Aspekten der Branche. Die Grenzen verschwinden zusehends. Nicht nur jene der Boxen, die Maschine von Maschine getrennt hat. Auch die Dinge, welche die Boxen einst verbunden haben, verschwinden immer weiter in die virtuelle Ebene. Es geht hier nicht nur um die Network-Interfaces sondern auch um die Kabel, die wir einst benutzt haben, die Computer mit einem Switchport zu verbinden, wie auch den Switch selbst.

Virtual Switches managen und regeln den Traffic in einem Virtual Environment. Oftmals haben Network Engineers aber keinen direkten Zugriff auf diese vSwitches. Diese vSwitches sind oft innerhalb von Hypervisors und bieten nicht dieselbe Sichtbarkeit oder die selbe Freiheit in Punkto Management wie die physische Box. Doch mittlerweile gibt es Alternativen zu den Standard vSwitches in Hypervisors, die wir uns im folgenden Kapitel ansehen möchten.

Der Einfluss von vSwitches auf Netzwerke

In einer virtualisierten Umgebung ist die Access Layer des Netzwerks in den Hypervisor eingebettet während interne vSwitches den Packet Traffic regeln. Physische Switches finden heraus, wohin die Mitteilung geht, basierend auf MAC-Adressen der phyischen Geräte. vSwitches funktionieren ähnlich, da jeder virtuelle Host sich gleich mit einem vSwitch verbinden muss wie ein physischer Host mit einem physischen Switch.

Bei näherer Betrachtung zeigen sich aber die Unterschiede zwischen physischen un virtuellen Switches. Während der Verwendung von physischen Switches ist nur ein Server betroffen, wenn ein Netzwerk-Kabel oder ein Port ausfällt. Im Zuge der Virtualisation aber übernimmt ein Kabel die Verbindung von mehreren Virtual Machines, was bei Ausfall dazu führt, dass mehrere VMs vom Ausfall betroffen sind.

Andererseits benötigt die Verbindung von mehreren VMs mehr Bandbreite, die vom vSwitch geregelt werden muss. Diese Unterschiede sind besonders in grossen Netzwerken mit komplexen Designs bemerkbar, wie zum Beispiel solche in Datacenters oder in Notfallwiederherstellungsservices. Standardisierte vSwitches sind manuell konfiguriert und werden mittels dem Hypervisor geregelt. Aber: Grobe Fehler können von einem Administrator oder einem Network Engineer ohne grosses Verständnis der Virtualisation und dem Verwalten von Hypervisors implementiert werden.

vSwitch: Typen und Features

Die einfachen vSwitches in einem Hypervisor verfügt über ein geradliniges management interface, das alle grundlegenden Features unterstützt, die benötigt werden, um ein virtuelles Netzwerk zu verwalten. Damit die Migration in die Virtualisation in Datacenters einfacher wird, haben Hersteller Technologien entwickelt, die einem vSwitch in einem Hypervisor weitere Funktionalität hinzufügen. Das kostet zwar mehr, aber bietet ein feingliedrigeres Management Interface wie auch Zugang zu weiter fortgeschrittenen Switch Features. Das erhöht und sichert den Level der Sicherheit.

Diese fortgeschrittenen Features benötigen eine erweiterte Schicht der Virtualisation, die mehrere Hypervisors und Netzwerk-Geräte unterstützt. Die Lösung nennt sich Distributed Virtual Switch und besteht aus

• einem Kontrollmodul
• einem virtuellen Ethernet oder einem Switch-Modul

die mit anderen Komponenten der virtuellen Umgebung zusammenarbeiten und so den Datenaustausch wie in der folgenden Grafik

Die folgende Tabelle listet die meistgenutzten vSwitch-Lösungen auf.

Alle diese Switches unterstützen 802.1Q Tagging, was die Nutzung mehrerer VLANs auf einem physischen Switch Port erlaubt, was wiederum die Anzahl pNICs, die ein Host benötigt, reduziert. Dies funktioniert, indem Tags den Network Frames hinzugefügt werden, welche die Frames einem VLAN zuordnen.

Generelle Probleme mit vSwitches

Networking Team verlieren oft die Kontrolle über das Management in einer virtualisierten Umgebung. Denn die Virtualisierung bringt neue Herausforderungen wie

• Begrenzte Network Traffic visibility in virtual network switches
• Inkonsistende Umsetzung der Network Policy (Bedarf an neuartiger Umsetzung der Network Policy)
• Schlechte Skalierbarkeit und oft auftretende manuelle vSwitch- und Netzwerk-Rekonfigurationen.
• Beschränkte I/O Bandbreite (Zum Beispiel Kapazitätsprobleme durch VM-Migration)

Jenseits der technischen Herausforderungen kann die Virtualisation auch organisatorische Probleme zwischen Administratoren und der Virtualisation mit sich bringen. Viele dieser Probleme stammen daher, dass Traffic zwischen den VMs auf dem selben Host den Server nie verlassen um über ein physisches Netzwerk zu laufen. Das erschwert die Arbeit der Networking Teams, den Traffic zu überwachen und zu verwalten. Mangel an Sichtbarkeit bedeutet auch, dass Netzwerk Firewalls, QoS, ACLs und IDS/IPS-Systeme die Datentransfer-Aktivität im physischen Netzwerk nicht sehen können.

Zudem haben die Standardausführung umd die Distributed vSwitches keine Features die einfach zu verwalten sind. Administrators haben nur die Kontrolle über ihre Uplink-Ports der physischen NICs im Host und nicht über die virtuellen Ports, die in einer Vielzahl in einem vSwitch existieren.

Damit diese Probleme gelöst werden, bedienen sich Networking Teams neuer Management- und Sicherheitsprodukte, die speziell dazu da sind, den Traffic in einem virtualisierten Netzwerk zu überwachen, ihn zu sichern und ihn zu kontrollieren. Nachfolgend eine Liste solcher Lösungen:

• VMware vShield (neu auch vCNS genannt, was für vCloud Networking and Security steht)
• Cisco Virtual Secure Gateway (VSG)
• Juniper Virtual Gateway (vGW)
• Reflex System’s Virtual Management Centre
• Altor Networks’ Virtual Firewall
• Catbird’s vSecurity

Schauen wir uns also die Features in zwei der meistgenutzten Lösungen etwas genauer an: Den Cisco 1000v und der Open vSwitch (was grösstenteils auch auf NSX zutrifft).

Open vSwitch (NSX)

Here is an overview of the features on the Open vSwitch (OVS) solution:

Es gilt anzumerken, dass das OSV und das Nexus 1000v eigentlich ein System in einer VM-Lösung ist, aber das NSX hat seinen Code im Hypervisor (ESXi) integriert. Und das macht einen grossen Unterschied.

vSwitch Sicherheitsempfehlungen

Die Sicherheit ist bei Lösungen mit vSwitches nicht ausser Acht zu lassen. Um diese Übersicht zu beenden, habe ich einige Tipps zusammengestellt, die helfen sollen, Ihr virtuelles Netzwerk sicher zu machen:

Ich hoffe, diese Übersicht hat einige gute Ratschläge zum Zugang zur Sicherheit in Ihrem virtualisierten Netzwerk gegeben.

Über den Autor

Andrea Covello ist seit den 1990er Jahren im Bereich der Informationssicherheit tätig. Seine Schwerpunkte liegen traditionell im Engineering, wobei er als Spezialist im Bereich Windows-Sicherheit, Firewalling und Virtualisierung gilt.