ルーターを仮想化するのに危険はありますか？
私は、pfSenseを仮想化するのは危険だと言っているpfSenseに関するいくつかのフォーラムを読みました。述べられた理由は、攻撃者がpfsenseをハイパーバイザーへの攻撃の踏み台として使用し、それを使用して他の仮想マシンにアクセスし、最終的にすべてをオフラインにする可能性があることでした。
クレイジーに聞こえるかもしれませんが、そのアイデアには現実の断片がありますか？仮想サーバーでルーターを実行することは悪い考えですか？
人々が一般的に反対する議論は、ハイパーバイザー自体のセキュリティであり、その歴史はほとんど心配されていないことが証明されています。これは常に変化する可能性がありますが、ハイパーバイザーのセキュリティに関する重大な問題が繰り返し発生することはまだありません。一部の人々は、正当な理由もなく、それを信頼することを拒否します。誰かがファイアウォールを所有している場合、それは他のホストを攻撃することではありません。その場合、どこで実行されているかは問題ではなく、侵害される可能性のあるすべてのもののうち、ファイアウォールは、openのような愚かなことをしない限り、リストからダウンします。デフォルトのパスワードを設定して、インターネット全体を管理します。それらの人々は、何らかの方法でハイパーバイザーに何かをするつもりのブリッジされたインターフェースの1つを介してインターネットから送信される魔法の「ルートESX」パケットが存在することになるという不合理な恐れを抱えています。それが異常に起こりそうにないことである、あなたのネットワークが危険にさらされるであろう何百万ものより可能性の高い方法があります。
ESXではpfSenseを実行する多数の本番データセンターがあり、私だけでおそらく100台を超えるセットアップを行っています。ファイアウォールはESXで実行されます。これらすべての経験から、ファイアウォールを仮想化することのわずかな欠点は次の2つだけです。1）仮想化インフラストラクチャがダウンした場合、物理的にその場所にいない場合、そのインフラストラクチャにアクセスしてトラブルシューティングを行うことはできません（ほとんどの場合）。 coloデータセンターに適用されます）。特に、物理ホストごとに1つのファイアウォールを使用してCARPを展開している場合、これは非常にまれです。しかし、これが発生する場合もあります。仮想ファイアウォールでパスだけがダウンしているため、誰かが物理的にその場所に行ってハイパーバイザーの問題を確認する必要があります。 2）セキュリティーの問題を引き起こす可能性のある構成の誤りが発生しやすくなります。フィルターされていないインターネットトラフィックのvswitchと1つまたは複数のプライベートネットワークトラフィックがある場合、フィルターされていないインターネットトラフィックがプライベートネットワークにドロップされる可能性がいくつかあります（影響の可能性は環境によって異なります）。それらは非常にまれなシナリオですが、完全に信頼できないトラフィックが内部ホストに接続されていない環境で同じ種類の失敗をするよりははるかに可能性が高いです。
どちらも、そうすることを妨げるものではありません。特に、ファイアウォールを失って物理的なアクセスの準備ができていないデータセンターにある場合は、シナリオ1の停止を回避するように注意してください。
インターネット期間に接続されているものには危険があります。
不滅の奇妙なアルを引用するには：
コンピュータの電源を切り、電源がオフになっていることを確認します
地面の43フィートの穴に落とします
完全に埋めます。岩と岩は大丈夫です
次に、オンラインでいつでも身に着けていた服をすべて燃やします。
外の世界にさらされたものはすべて攻撃の対象となります。専用のハードウェアでpfSenseを実行していて、それが危険にさらされている場合、攻撃者はすべてを内部的に攻撃するための踏み台を手に入れました。 pfSense仮想マシンが危険にさらされた場合、攻撃者は追加の攻撃ベクトル-ハイパーバイザーツール（インストール済みであることが前提）-を機能させることができますが、その時点で、ネットワークは既に危険にさらされており、世界にいるとにかく傷ついた。
それでは、仮想化されたpfSenseインスタンスを使用する方が安全ではありませんか？はい、わずかに。気になりますか？番号。
編集：さらに検討した後-pfSenseに特定のエラーがあり、仮想NICに何らかの問題があり、セキュリティ上の欠陥が生じていることに気付いていない場合、上記は無効です。しかし、私はそのような脆弱性に気づいていません。
話しているサーバーの種類に関係なく、仮想環境内でも何かを実行すると、いくつかの固有の危険があります。私は最近 同様の質問 に応答しました。ルーター/ファイアウォールはすでに内部ネットワークにアクセスできるので、ハイパーバイザーレベルを攻撃する本当の理由はありません-利用可能なはるかに優れた攻撃ベクトルがあります。
私がハイパーバイザーの後を追うことができる唯一の理由は、仮想マシンがDMZに常駐している場合です。そこから、ハイパーバイザーを追跡し、内部ネットワーク上のマシンに入ることができます。それはあなたが説明しているユースケースではありません。
個人的には、DRの目的でファイアウォールの仮想化コピーを保持しています。使用は理想的ではありませんが、オプションです。