Important note about SSL VPN compatibility for 20.0 MR1 with EoL SFOS versions and UTM9 OS. Learn more in the release notes.

This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Machbar mit Astaro Home?

Hallo,
ich möchte mir zu Hause ein sicheres Heimnetzwerk aufbauen und dafür die Astaro Home verwenden. Meine Idee ist: ein Stromsparender PC mit VMware Server2 auf Debian Lenny. Dh. an diesem PC sind 2 Netzwerkkarten verbaut. 1x int und 1x ext (DSL). Nun möchte ich sicherstellen, dass das Hostsystem von außen nicht erreichbar, bzw. nur über die Astaro erreichbar ist und zum 2. der gesamte interne Verkehr nach außen über die Astaro läuft.
Ist dies möglich? Wie sicher ist die Konstruktion? Wie kann ich das Sicherheitstechnisch auf dem Hostsystem und der Astaro verwirklichen?

Momentan bin ich soweit, dass das Grundsystem installiert ist und die Astaro läuft. Für weitere Tests muss ich nun entweder die IP der Astaro ändern, oder den VM8 NAT Adapter - geht das nicht auch über die Bridge?

Wie würdert ihr es machen?

Vielen Dank für eure Anregungen und Ideen
sunny


This thread was automatically locked due to age.
  • Kann man per ESXI eine NIC doppelt nutzen ? Oder ist diese dann nur für das jeweilige Gast-System reserviert ? Also wenn ich eine Dual-Ethernet-PCI habe, daß ich über die selbe NIC anderr Gast-OSes parallel zur laufenden ESXi-ASG haben kann ?


    Ja, das geht. Die Netzwerk-Konfigurations-Möglichkeiten des ESXi-Servers sind da sehr flexibel.

    Das Dokument "ESX Server 3i Configuration Guide"

    http://www.vmware.com/pdf/vi3_35/esx_3i_e/r35u2/vi3_35_25_u2_3i_server_config.pdf

    gibt in dem Kapitel "Networking" einen sehr schönen Überblick. Da sieht man, wie man einen oder mehrere virtuellen Switch(e) erstellt und konfiguriert, an denen alle virtuellen Maschinen angeschlossen werden. Welche physikalischen Ports man welchem virtuellen Switch zuordnet, ist dabei egal und kann frei konfiguriert werden.

    MfG
    Manuel
  • Danke für die Info. Das ist ja sehr erfreulich. Ich hoffe, mein "Atom" Dual-Core hat die atomare Kraft dazu :-) Ist doch zu schade, nur die ASG darauf laufen zu lassen.

    OT: Fast So, wie Windows 3.1 auf auf dem Handy [H]
    This is freakin' AWESOME: Windows 3.1 on a Nokia N95


    Grüße
    Michael
  • Ich habe da noch eine Verständnisfrage. Das virtuelle Astaro kommt mit einer Nat- und einer Bridge-Schnittstelle. Wie ist die Standard IP für die Bridge? Diese müsste ich doch nutzen, wenn ich innerhalb des Lans auf das Webinterface zugreifen möchte oder?  Vom Hostsystem kann ich die 150.5 anpingen. Was muss ich machen um von einem Client mit 192.168.0.66 auf das Webinterface zu greifen zu können? Nach meinem Verständnis müsste das Hostsystem routen, oder? Bzw. die Astaro steht mit dem Bridge im 192.168.0.*** Netz, oder? Verwirrt!
  • Ich habe mir den ESXi noch mal angesehen und finde die Idee gar nicht so schlecht. Warum soll ich erst nen Debian als Host installieren und dann VMWare darauf. Ich denke ich gebe dem ESXi mal eine Chance. Eine Frage vorweg, soll ich den DSL Anschluss vorher der Installation anschließen oder erkennt der ESXi die "Karte" nachträglich?

    Danke
  • bei der workstation stell ich mir die netzwerkkarte so ein das die astaro nur "bridged" karten besitzt.

    somit ist sie abgekoppelt vom host system. beim esx wirds änlich laufen. 

    wenn die astaro dann in dem 192.168.150.0/24 netz läuft, musst du deinen client auch in das gleiche netzwerk setzen damit du auf das interface zugreifen kannst (z.b. ip:192.168.150.20, subnetzmaske: 255.255.255.0)

    wenn du sie dann über das webinterface umkonfigurierst, un in dein standart netz hängst, dich dann zurück setzt in dein standart netz, kannst du auch von dort aus zugreifen. 

    ich hoffe das hat dir deine frage beantwortet. die vmware NAT modis sind nichtzwingend notwendig:

    vmware bridge0:astaro eth0:192.168.0.1(in der astaro eingestellt, was du im esx vergibst, ist irrelevant im bridged modus)
    dein client: eth0: 192.168.0.10
    ping 192.168.0.1 

    voila es ist vollbracht. [;)]

  • ..."bridged"...somit ist sie abgekoppelt vom host system...

    Warum ist bridged abgekoppelt vom Hostsyste? Bridged ist doch eigentlich nur ein weiterer Rechner im Netz, wenn die IP der VM die selbe IP ist wie aus dem Netz.[:S]

    Bin zwar grade nicht zu hause am Testsystem aber so ungefähr kenne ich die Grundeinstellungen noch. Nach der Installation des Server2 mit einer automatischen Suche des Adapters, sehen die Einstellungen so aus (alle 255.255.255.0): vmnet1 (bridged) = 192.168.88.3 vmnet8 (nat) 192.168.112.2. Das Hostsystem hat eth0 192.168.0.44 und eth1 192.168.0.45. Laut Astaro Anleitung muss ich vmnet8 (nat) auf 192.168.150.1 umstellen. Leider kann ich die Astaro dann nicht erreichen, auch wenn mein Client im selben Netz hängt.

    :in Gedanken: Ich sehe grade das auf meiner XP Kiste mit Vmware Workstation vmnet1 = hostonly ist. Ich glaube ich habe mich verrant. D.h. ich müsste wenn die Astaro in Bridged mit 192.168.0.10 läuft sie von Anfang an erreichen können. Mh.

    Das mit dem Nat hat sich wohl auch geklärt, Nat ist aus der VM aus gesehen die Verbindung nach aus, hinein ist wiederum was anderes, deshalb auch Network Address Translation.[:S]
  • bridged=virtueller adapter, kann einer physikalischen karte zugewiesen werden, muss es aber nicht (z.b. können bei automatically device=mehrere wirte eine karte des hosts nutzen)

    nat=durch das host system geroutet.
    Also n ganz simples NAT routing beispiel:
    (Subnetz überall 255.255.255.0, also ip/24)
    ESX Server: 192.168.0.1
    VMNET3 im NAT Modus bekommt:192.168.50.0
    VMWare Client bekommt bekommt VMNET3 zugewiesen und die interne IP: 192.168.50.1

    ESX Situation: ping ist möglich auf 192.168.50.x, da das ganze Netz durch NAT angesprochen wird.

    Es befindet sich somit eine art Brücke für den ESX Server, da er das komplette Netz, sowie sein eigenes erreichen kann.

    In der regel steht VMNET3 auf dem HOST nun ohne einer Netzzugehörigkeit da. welchen Sinn die vergabe einer IP dort macht, ist mir eh schleierhaft. Es würde keinen Sinn ergeben, es sei denn der HOST soll in dem Netz 192.168.50.0/24 auch über eine IP ansprechbar sein. Die vergabe eines anderen Netzes auf HOSTSeite für VMNET3 macht ebenso keinen sinn, und kann daher optional eingestellt werden. (vielleicht noch um ein drittes, weiteres, Netz ansprechen zu wollen, wo ggf. extern ein Router ansprechbar wäre oder soetwas, in der virtuellen astaro aber eine ROUTING Regel definiert sein muss um in dieses andere netz zugreifen zu können.)

    dieses Thema mit den Netzwerkadapter ist sehr komplex. Aber ich empfehle jedem, nur den Bridge modus der virtuellen adapter zu nutzen, und den Host durch den IP und Subnetzbereich ansprechbar zu machen. Dies ist die verständlichste und einfachste lösung für jedermann, der sich auf diesem gebiet in Neuland begibt. 
    Mit dem Bridge Modus kann man auch jeder physikalischen karte, eine oder mehrere virtuelle zuweisen, und kann daher ein Netzwerk auch sauber von einem DSL router trennen.


    am besten man liest sich die dazugehörige VMware manual genaustens durch und bekommt somit eventuell einen besseren überblick.


    wenn ich bei meinen erklärungsversuchen falsch lag und es jemand besser/genauer/richtiger erklären kann, dann bitte ich um berichtigung.

  • Das mit dem Nat hat sich wohl auch geklärt, Nat ist aus der VM aus gesehen die Verbindung nach aus, hinein ist wiederum was anderes, deshalb auch Network Address Translation.[:S]


    richtig vom HOST(esx, winxp,win2k3,debian etc.) in das geroutete netz. Clients von außen bekommen davon nichts mit.(oder nutzt du deinen host als gateway? [;)] )
  • Nun versuche ich seit 3 Stunden den ESXi auf den Testrechner, auf dem vorher Debian lief, zu installieren. Leider bricht die Installation nach der Lizenzzustimmung immer ab. "Unable to find supported device".

    Jemand eine Idee?
  • ESXi ist sehr wählerisch in Bezug auf die verwendete Hardware.
    Ich empfehle hier: VMware Communities: Community: VI: VMware ESXi einzusteigen.

    Am einfachsten läuft es auf Serverboards z.B. Supermicro PDSMA+, Raidcontroller am liebsten von Adaptec und Netzwerkkarten ausschließlich von Intel (Marvell geht auch)
    Realtek läuft nicht….
    Ich würde – wie weiter oben angesprochen wurde keinen Intel Atom nehmen (abgesehen davon wird es vermutlich Probleme mit dem Chipsatz geben)

    Als kleines Beispiel: 

    Bei mir läuft der ESXi auf dem Supermicroboard, Xeon Quadcore,8GB, Adaptec Raid…..
    Vier Netzwerkkarten
     -> Intern 1 (Server 2003Ent 32bit, Xp 32 bit, VistaBAckup Livesystem, Win7 64bit, Linux1 64bit, Linux2 64bit) (nicht alle zur selben Zeit was ja keinen Sinn macht  sowie das Management Interface des ESXi
    ->Intern 2 (Astaro intern als völlig getrennt) – ginge auch anders – aber so gefällt es mir besser , auch besser zum testen
    -> Extern 1 (Astaro extern- SDSL)
    ->DMZ (FTPServer)

    Alles somit in getrennten Bereichen…..
    Das ist aber mehr nee Lösung für Zuhause… da Fehler im Stack des ESXi auch das komplette System kompromittieren können!! Also Nix in wirklich wichtigen Umgebungen…. (Wie man das auch immer definieren mag)


    Gruß
    IT