Запуск брандмауэра (IPCop) в Hyper-V
В настоящее время я использую IPCop для нашего корпоративного брандмауэра и VPN. Я хочу объединить несколько серверов и собираюсь включить в консолидацию сервер брандмауэра. В настоящее время я планирую использовать Server 2008 с Hyper-V для виртуализации. Кто-нибудь пробовал виртуализировать IPCop? Есть что-нибудь, о чем я должен знать? В частности, IPCop имеет несколько ограниченную аппаратную поддержку сетевых карт - какое оборудование виртуальная машина увидит для сетевой карты?
3 ответа
Как правило, я бы не советовал виртуализировать ваш брандмауэр. Это еще одно место для безопасности. Веб-фильтр, VPN-концентратор, да - периметр fw, нет.
Я бы сказал, однако, если вы собираетесь это сделать, это, вероятно, сработает. Я работаю в SmoothWall (наш брандмауэр GPL был дедушкой IPCop), и у нас есть hyper-v, некоторые из наших продуктов веб-фильтров в порядке.
Последнее, что я посмотрел, однако, вы были ограничены одним ядром процессора под Linux - поэтому, если требуется высокая производительность, это может быть проблемой - хотя одного ядра должно быть более чем достаточно для простой работы брандмауэра.
За последний год я использовал несколько виртуальных машин IPCop на Hyper-V. Они работают нормально для использования с низкой пропускной способностью.
У меня возникли следующие проблемы:
- Вам необходимо использовать "Устаревший сетевой адаптер", а не "Службы интеграции".
- Обязательно отключите службу интеграции для совместного использования времени хоста с виртуальной машиной, это может вызвать некоторые запутанные проблемы.
- Пропускная способность довольно плохая. У меня IPCop работает на виртуальных машинах Quad Core 3+Ghz Core 2. Ящики IPCop ограничены одним виртуальным процессором, но загрузка процессора намного выше, чем ожидалось. Отключение Snort помогает в некоторой степени и значительно уменьшает использование памяти. Тем не менее, я получаю около 20 Мбит / с максимальной пропускной способности. Я считаю, что эта проблема может быть связана с использованием устаревших сетевых адаптеров.
- Брандмауэр IPCop может зависать при постоянном большом количестве подключений в течение нескольких часов. Я не смог диагностировать причину этой проблемы. Веб-интерфейс по-прежнему доступен, и виртуальная машина может быть сброшена с помощью этого или интерфейса управления Hyper-V, чтобы устранить проблему (временно).
Я не нашел лучшего решения для виртуализированного брандмауэра Hyper-V. Брандмауэр Endian, по-видимому, демонстрирует еще более выраженное ограничение пропускной способности (всего 5 Мбит / с на той же настройке оборудования / ВМ, что и выше). Предложения по лучшему решению были бы очень кстати!
Я настоятельно рекомендую не использовать брандмауэр с другими системами.
Тем не менее, я виртуализирую свой брандмауэр. 1 ВМ в 1 физическом боксе с использованием XenServer. Моя причина сделать это: возможность создания снимков и быстрое восстановление (возьмите другую коробку, установите XenServer, импортируйте.xva)