网络空间安全:行业资讯、技术分享、法规研讨、趋势分析……

忘记密码
“游侠安全网”创建了网络安全从业者QQ大群(群号:1255197) ,欢迎各位同仁加入!有其它问题如合作等,请联系站长“网路游侠”,QQ:55984512


能替代VMware vShield Zones的开源产品

2012-03-09 10:11 推荐: 浏览: 76 字号:

摘要:   【TechTarget中国原创】IT达人们对于vShield Zones的性能不满意时,可以找到一大把开源产品替代VMware的虚拟防火墙或入侵检测系统。其中的一些我感觉要比vShield产品更好。   公平地讲,我对vShield产品的经验很少,仅使用过...

  【TechTarget中国原创】IT达人们对于vShield Zones的性能不满意时,可以找到一大把开源产品替代VMware的虚拟防火墙或入侵检测系统。其中的一些我感觉要比vShield产品更好。

  公平地讲,我对vShield产品的经验很少,仅使用过VMware vShield Zones(包含一个vSphere Enterprise Plus授权)和vShield Edge,但我对它的体验是负面的。

  VMware vShield Zones安装和配置很简单,但是我稍后发现它效率不高。所有集群中的主机必须安装Zones,而每台虚拟机的流量都要通过Zones的虚拟应用。而在通过Zones提供的最基本的简易防火墙时,速度受到了影响(这也是为什么被称为慢路径模式)。

  在我感觉vShield Edge也没有好多少。在使用标准vSwitch,而不是vNetwork Distributed Switch的集群配置中受到很多限制。例如,我希望测试Edge的端口组隔离功能,该功能可以在虚拟机和外网之间创建隔离很好地保护虚拟机。然而,这只有在vNetwork Distributed Switch配置下发挥作用,而不支持标准vSwitch。另外vShield Edge看起来会产生大量的网络流量,并在集群没有任务的时候也显示占用部分CPU计算资源。

  考虑开源的替代品

  我希望现在已经被合作伙伴广泛采用的VMsafe快路径API可以改善vShield系列产品的性能。同时,还有大量很好的开源产品可以取代vShield套件提供虚拟防火墙、入侵防御系统(IPS)和入侵检测系统(IDS)。

  开源虚拟防火墙和IPS工具对于小型企业和实验室是很好的选择。多数大型网络供应商都为各自的产品提供了虚拟应用,但同时也伴随高额的初始费用和后续维护成本。

  在VMware的虚拟应用市场您可以找到很多虚拟应用,同时通过Google也可以找到那些真正开源的适用于VMware的工具。

  开源虚拟防火墙产品

  说到防火墙,我是IPCop、SmoothWall Express, m0n0wall和Vyatta等老字号产品的忠实粉丝。这些包提供了可靠的检测防护,并可以和Linux和部分Windows内核紧密结合。它们或许没有绚丽的图形用户管理界面,但具备了基本的功能,如包检测、网络地址转换和规则。而这往往就是您所需要的。

  另外,很多上面提到的产品还进一步开发出一些基本的,甚至远超昂贵的商业产品的功能,增加简单网络管理协议、反向代理、流量整形、虚拟私有网络等功能。我个人喜欢使用Vyatta提供的可靠开源产品,因为它的命令行界面类似于之前使用的思科产品。

  虚拟IPS和IDS选择

  我提到的很多防火墙可以提供虚拟IPS。类似的专用产品有思科的ASA系列网络安全设备,提供IPS和上百种其它功能,但是您不得不考虑这些功能是否和其成本相匹配。

  如果您计划使用IPS,那么也应该部署IDS。很多人不理解IPS和IDS之间的差别。实际上,这些安全工具都是对一个应用中提供的,IPS跟外部网络连接相关而IDS跟vSwitch相连位于虚拟防火墙内部。

  Catbird Networks Inc., Stonesoft Corp. 和 Sourcefire Inc.等供应商以付费的模式提供了整合的IPS/IDS应用。而在开源产品中,成熟的Snort(加上前端的Snorby),再配合Bro Network Security Monitor和Suricata是我的最爱。近期我安装了Bro,对它的功能包、易安装和易配置印象深刻。它使我重新考虑这些产品。

  那之后,Bro成为我第一优先选择。其它的产品包括Smooth-Sec 和 SIEM-live(都是基于Suricata),另外我经常配合使用一些可引导CD,如Network Security Toolkit(已成为网络和安全方面约定俗成的标准) 和Security Onion。

  如果您不需要或希望降低安装和维护商业化虚拟防火墙和IPS/IDS应用的费用,可以尝试一下这些开源产品。或许会发现一款满足您需求的。

TechTarget中国原创内容,原文链接:http://www.searchvirtual.com.cn/showcontent_59002.htm?lg=t

联系站长租广告位!

中国首席信息安全官