Tips, Tricks und HOWTOs Virtualisierung für Profis und Einsteiger Serverkonsolidierung, Testumgebung, mobile Demo

Transkript

1 mit VMware und Virtual PC Tips, Tricks und HOWTOs Virtualisierung für Profis und Einsteiger Serverkonsolidierung, Testumgebung, mobile Demo virtuelle DMZ Netzwerkzeichnung und Erweiterung Als Ergänzung zum c t-artikel aus 02/05 S.96 dient folgende Zeichnung für das bessere Verständnis der Netzkonfiguration unter VMware. Weiterhin wird das Vorgehen zur Anbindung eines physischen LANs sowie zur Anbindung weiterer virtueller Maschinen beschrieben. HINWEIS: Sollten für Sie Begriffe, wie Routing, Default-Gateway und IP-Netz böhmische Dörfer sein, konsultieren Sie vorher bitte unbedingt ein Fachbuch, oder eine Internetseite mit Basiswissen! MS Virtual PC? Wenn Sie die DMZ mittels der Anleitung auf VMaschinen.de unter VPC aufgebaut haben, können Sie trotzdem die Anbindung des externen LANs, so wie hier beschrieben, realisieren. Grundlagen? Newsletter! Beachten Sie auch die Grundlagenartikel zu virtuellen Netzen, den Adaptertypen und mit vielen Tipps und Tricks im kostenlosen und werbefreien Newsletter von VMaschinen.de! 1

2 TALK / DATA TALK RS CS TR RD TD CD Netzwerkplan zum Artikel Folgender Netzwerkplan stellt die im Artikel beschriebene Konfiguration übersichtlich dar und soll zur besseren Orientierung dienen. Im Anschluss wird diese Zeichnung noch erweitert, um ein LAN und weitere abgesicherte VMs anzubinden. virtuelles Netz unter VMWare am internen Netzwerk VMNet2 virtuelle Maschine mit drei virtuellen Netzadaptern PC mit VMware und einer physischen Netzkarte VM2 (Webserver) virtuelle DMZ (VMNet2) x VM3 (Weitere Dienste) NIC2: Custom (VMnet2) ORANGE (eth1) VM1 (IPCop) Firewall mit NAT, Portforwarding, DSL über PPPoE NIC1: Host-only GREEN (eth0) NIC3: Bridget RED (eth2) PPPoE VMware Adapter VMnet1 (Host-only) VMWare Bridge Protokoll Host-PC PPPoE (bridged von VM1) DSL-Modem Internet dedizierte physische Netzkarte im Host, nur mit VMware Bridge Protocoll Netzwerkzeichnung zum C't-Artikel (02/05) über eine virtuelle DMZ Sämtlicher Netzverkehr zwischen dem Internet (DSL-Modem) und dem roten Interface der IPCop-Firewall (VM1) wird via "VMware Bridge Protocoll" direkt über den physischen Netz-Adapter im Host-PC getunnelt, ungesehen vom Betriebssystem des Hosts. Die virtuellen Maschinen in der DMZ können über das orange Interface von IPCop mit dem Internet via NAT kommunizieren. Dazu sind alle VMs am virtuellen Switch VMnet2 von VMware angeschlossen. Vom Internet aus können diese VMs nur mittels vorher definierter Portforwarding-Regeln (IPCop) über VM1 erreicht werden. Der Host-PC selbst kann die Internetverbindung ebenfalls indirekt mittels NAT verwenden. Dazu kommuniziert er über den logischen Netzadapter "VMware Virtual Ethernet Adapter for VMnet1" mit dem grünen Interface von IPCop im "Host only" Netzwerk von VMware. Der Host-PC ist nicht vom Internet aus zu erreichen. Netzverkehr aus einem eventuell vorhandenem LAN kann, mittels einer weiteren Netzkarte im Host-PC, ebenfalls zum grünen Interface von IPCop geroutet werden. Damit wird dann mittels NAT allen PC des physischen Netzwerkes eine Internetverbindung ermöglicht Sven Ahnert 2

3 TALK / DATA TALK RS CS TR RD TD CD Erweiterungen des Netzwerkes Erweiterte Zeichnung: LAN-Anbindung und sichere VMs Um ein LAN anzubinden, bzw. um weiteren VMs sicheren Internetzugang zu gewähren, muss die Konfiguration entsprechend erweitert werden. Lesen Sie weiter unten die genaue Funktionsbeschreibung! blau: für das physische LAN nötig, grün Host-only (sichere VMs) virtuelles Netz unter VMWare Host-only-Adapter am Host-only-Netz am internen Netzwerk VMNet2 virtuelle DMZ (VMNet2) x VM23 Def.Gw.: DNS: NIC2: Custom (VMnet2) ORANGE (eth1) NIC3: Bridget RED (eth2) PPPoE VMware Host-only-Netz x NIC1: Host-only GREEN (eth0) VMware Adapter VMnet1 (Host-only) VMWare Bridge Protokoll zweite Host-Netzkarte mit TCP/IP usw. für normale LAN-Kommunikation 2. physische Karte Def.Gw.: DNS: PPPoE (bridged von VM1) LAN-PC IP: Def.Gw.: DNS: VM2 (Webserver) VM3 (Weitere Dienste) VM1 (IPCop) Firewall mit NAT, Portforwarding, DSL über PPPoE route add -net netmask gw Host-PC DSL-Modem dedizierte physische Netzkarte im Host, nur mit VMware Bridge Protocoll Internet Netzwerkzeichnung zum C't-Artikel (02/05) über eine virtuelle DMZ mit Ergänzungen Sämtlicher Netzverkehr zwischen dem Internet (DSL-Modem) und dem roten Interface der IPCop-Firewall (VM1) wird via "VMware Bridge Protocoll" direkt über den physischen Netz-Adapter im Host-PC getunnelt, ungesehen vom Betriebssystem des Hosts. Die virtuellen Maschinen in der DMZ können über das orange Interface von IPCop mit dem Internet via NAT kommunizieren. Dazu sind alle VMs am virtuellen Switch VMnet2 von VMware angeschlossen. Vom Internet aus können diese VMs nur mittels vorher definierter Portforwarding-Regeln (IPCop) über VM1 erreicht werden. Der Host-PC selbst kann die Internetverbindung ebenfalls indirekt mittels NAT verwenden. Dazu kommuniziert er über den logischen Netzadapter "VMware Virtual Ethernet Adapter for VMnet1" mit dem grünen Interface von IPCop im "Host only" Netzwerk von VMware. Der Host-PC ist nicht vom Internet aus zu erreichen! Netzverkehr aus einem vorhandenem LAN kann, mittels einer weiteren physischen Netzkarte im Host-PC, ebenfalls zum grünen Interface von IPCop geroutet werden. Damit wird dann (über NAT von IPCop) allen PC des physischen Netzwerkes eine sichere Internetverbindung ermöglicht. Um weiteren virtuellen Maschinen einen gesicherten Internetzugang zu ermöglichen, sind diese VMs mit einem Host-Only-Adapter auszustatten. Sie können dann ebenfalls über den grünen Adapter von IPCop gesichert im Internet surfen. Sie befinden sich zusammen mit dem Host und dem grünen Interface von VM1 gemeinsam im Host-only-Netz Sven Ahnert 3

4 Anbindung eines LAN Am häufigsten wird der Wunsch bestehen, dem vorhandenen LAN einen sicheren Internetzugang über die IPCop-Firewall bereitzustellen. Dazu ist eine zweite physische Netzkarte im Host-PC notwendig! Weitere Voraussetzung ist eine bereits lauffähige und sorgfältig getestete(!) Konfiguration der virtuellen Firewall laut c't-artikel 02/05 Seite 96. (sh. erster Plan ganz oben) Wir nehmen an, dass ein vorhandenes LAN im Bereich x besteht. Wenn Ihr LAN ein anderes IP-Netz verwendet, dann ersetzen Sie die x im folgenden durch Ihr vorhandenes Netz! Zuerst ist die Netzkarte im Host in Betrieb zu nehmen. Als IP wird die verwendet (oder eine freie Adresse aus Ihrem LAN). Das Default-Gateway zeigt auf das grüne Netz von IPCop, also Ebenso der DNS-Server. Vor weiteren Schritten ist jetzt schon zu Testen, ob ein Ping vom Host auf einen beliebigen PC im LAN funktioniert. Machen Sie an dieser Stelle nicht weiter, bis das klappt! Machen Sie zur Vorsicht auch noch ein Ping auf die Adresse (IPCop). Wenn Sie einen Windows-Host verwenden, prüfen Sie nun über Start > Ausführen > cmd und den Befehl ipconfig /all, ob Routing auf Ihrem Host aktiviert ist. Ganz oben muss die Zeile IP-Routing aktiviert : Ja erscheinen, sonst wird keiner der LAN-PC später IPCop erreichen können! Unter Systemsteuerung > Verwaltung > Dienste, kann dazu der Dienst "Routing und RAS" gestartet werden, oder in der Registry kann folgender Key eingetragen werden: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ Tcpip\Parameters Wert "IPEnableRouter" auf "1" setzen. (Sh. - Danke für den Hinweis Andreas Hoffmann!) Jetzt müssen Sie sich am IPCop mit dem Benutzer root und dem richtigen Passwort an der Konsole anmelden und folgenden Befehl eingeben: route add -net netmask gw Das setzt die Rückroute in Ihr physisches LAN, damit Antworten aus dem Internet auch wieder zu den PCs finden. Testen Sie jetzt im IPCop folgenden Ping: 4

5 ping (Sie können den fortlaufenden Ping mit STRG+C beenden) Machen Sie an dieser Stelle nicht weiter, wenn keine Antwort auf Ihr Ping erfolgt! Überprüfen Sie gegebenenfalls den route-befehl nochmals und schauen Sie nach, ob "Routing und RAS" am Host wirklich läuft! Schauen Sie, ob Ihre zweite physische Netzkarte wirklich die Adresse (oder Ihre eigene gewählte) hat und das Def.Gateway eingetragen ist! Wenn das Ping funktioniert, ist an den einzelnen LAN-PC das Default-Gateway auf die Adresse der neuen Karte im Host zu setzen, also Der DNS-Eintrag muß auf den IPCop zeigen ( ). Testen Sie jetzt vom LAN-PC ein Ping auf die (geht nicht? Adressen von Host oder LAN-PC sind nicht im gleichen Netz.) Dann ein Ping auf die (geht nicht? "Routing und RAS" läuft nicht am Host, Def.Gateway falsch am LAN-PC) Dann ein Ping auf die (geht nicht? Def.Gateway am Host falsch, Route in IPCop falsch) Erst jetzt ein Ping auf eine beliebige Internet-Adresse. z.b. (geht nicht? Falscher DNS-Eintrag am LAN-PC) Hat alles funktioniert? Gratulation! Sie können mit Ihren LAN-PCs sicher im Internet surfen! Routing-Eintrag auf IPCop permanent machen Solange wie IPCop durchläuft, funktioniert Ihr Internetzugang für die LAN-PC nun wunderbar. Leider vergisst IPCop bei jedem Neustart die gesetzte Rückroute ins physische LAN. Um diese permanent zu machen, ist es notwendig, sie in einem Startscript des Systems zu hinterlegen. Dazu verwenden wir den berühmt/berüchtigten Texteditior vi. Gehen Sie folgendermaßen vor: Anmelden an der Konsole von IPCop mit User root. Verzeichnis wechseln: cd /etc/rc.d Inhalt anzeigen: ls Folgende Datei muss mit aufgelistet werden: rc.netaddress.up Diese Datei editieren: vi rc.netaddress.up In der Datei ganz nach unten blättern ein "i" tippen - das wechselt in den Edit-Modus 5

6 (ganz unten müsste "-INSERT-" erscheinen!) mit dem Cursor ans Ende der letzten Zeile gehen neue Zeile beginnen mit ENTER folgendes eingeben: route add -net netmask gw EditModus verlassen mit ESC ("-INSERT-" verschwindet wieder) Datei speichern: ":x" eingeben (Doppelpunkt+x) und ENTER IPCop neu starten: STRG+ALT+EINFG (EINFG wegen VMware!) Nach dem Start mit User root anmelden Routingtabelle anzeigen: route (oben gesetzte Route sichtbar?) Testen: ping (Abbrechen mit STRG+C) Fertig! Jetzt setzt IPCop die notwendige Route bei jedem Start automatisch. Anbindung weiterer VMs Sollen weitere VMs (z.b. Virenupdates, SUS-Server oder Testmaschinen) sicher ans Internet angebunden werden, dann ist das ebenfalls möglich. Die virtuellen Maschinen erhalten einen Adapter im Modus "Hostonly" und befinden sich damit im grünen Netz von IPCop, gemeinsam mit dem Adapter "VMware Virtual Ethernet Adapter for VMnet1" des Host-PC. Unter VPC werden die VMs mit dem MS Loopback Adapter verbunden, an dem auch der Host hängt! Die virtuellen Maschinen erhalten IP-Adressen aus dem Netz x, z.b Das Default-Gateway zeigt auf (IPCop). Der DNS-Server ist ebenfalls IPCop ( ). Fertig! Die VMs sind nicht aus dem Internet erreichbar und surfen sicher über NAT und Firewall von IPCop. Müssen die VMs vom LAN aus erreichbar sein, fehlt nur noch ein manueller Routing-Eintrag mit der Rückroute zum LAN: route add mask p Der Parameter p sorgt bei Windows-VMs dafür, dass die Route permanent bleibt. Viel Spaß beim Ausprobieren! Sven Ahnert 6