대한민국 2014-11

궁금한 사안이 있어 문의드립니다...
그림의 개념으로 봤을때는 인터넷과 ESXI가 직접적으로 맞다아있는데요....
상단에 무언가 방화벽 장비를 두지 않고서는 ESxi를 보호할 방법이 없는건가요?

NGC 2014-11

pfsense자체가 방화벽 역할을 하기때문에 큰 문제는 없을것 같습니다.

이성만 2014-11

NGC 님 말씀처럼, ESXi 의 VM 과 기가빗 인터넷의 모든 트래픽은 pfSense 를 거쳐서 지나다닙니다.

WAN LAN 이라고 표시된 부분은 가상스위치구요, WAN으로 들어오는 트래픽은 바로 pfSense 로 들어가게 되어 있습니다. pfSense 가 방화벽, 공유기 등등 역할을 합니다.

외부에서 볼 때 pfSense 가 리얼서버인지 가상서버인지 모르지 않을까요?

빠시온 2014-11

저게 맹점이 뭐냐면 esxi를 업데이트 할 때입니다.

esxi를 업데이트 하려면 무조건 유지보수모드를 실행하여야 합니다.
그런데 유지보수모드 동작을 시키려면 모든 VM을 꺼야합니다.

pfsense도 VM이기 때문에 pfsense를 끄게되면 DHCP가 작동을 안하면서
라우팅이 전혀 안되게 됩니다.

유지보수모드를 키고 ESXi의 SSH쉘로 접속해서
업데이트를 진행시켜야 하는데
pfsense VM이 꺼지게되면 아에 접속 자체를 못하지요.

원래 네트워크 장비랑 서버장비는 분리를 시키는 것이
원칙이라고 합니다.

눈빛마음 2014-11

그래서 저는 2대의 VM 으로 서로 업데이트시 다른쪽으로 접속할 수 있게 내부망을 연결했습니다.

이성만 2014-11

조언 감사합니다.

원문에서도 방화벽은 리얼머신에서 쓰기를 추천한다고 되어있긴 했는데, 이런 이유도 있어서겠지요^^

"Disclaimer/flame-retardant:  If you’re going to be running pfSense as a perimeter firewall for an organization and want to minimize the “attack surface”, many will say it is preferable to run it unvirtualized on stand-alone hardware.  I’ll leave that decision to you. Now back to the topic."

호이호이호 2014-11

좋은 글 잘 봤습니다.

즐거운이 2014-11

좋은 글 감사합니다. 업데이트시 까지 생각해서 2대의 VM 을 사용한다니, 것도 좋네요.
다만 비용이...  pfSense만 따로 하나의 저렴한 VM System(Network전용)으로 만들어 사는 사용하는 것도 좋겠네요..
어쨌든 비용 추가는 어쩔 수 없나요?^^

이성만 2014-11

pfSense 용으로 따로 두시려면 VM 이 아니라 남는 PC에다 설치하시는게 여러모로 좋겠습니다..