پرش به محتوا
ساهورارتباطات، امنیت، شبکه

امن‌سازی میزبان ESXi

قفل حساب پس از تلاش ناموفق، خاموشی خودکار Shell و SSH، محدود کردن SSH به شبکه‌ی مدیریت، NTP و ارسال لاگ به syslog مرکزی.

VMware ESXi 8سطح: متوسطبه‌روزرسانی: ۱۷ آبان ۱۴۰۵

۱. قفل حساب و پیچیدگی رمز

shell
esxcli system settings advanced set -o /Security/AccountLockFailures -i 5
esxcli system settings advanced set -o /Security/AccountUnlockTime -i 900
esxcli system settings advanced list -o /Security/PasswordQualityControl

بعد از ۵ تلاش ناموفق، حساب ۱۵ دقیقه قفل می‌شود.

۲. SSH و Shell فقط هنگام نیاز

shell
# Auto-disable the service 15 minutes after enabling, and close idle sessions
esxcli system settings advanced set -o /UserVars/ESXiShellTimeOut -i 900
esxcli system settings advanced set -o /UserVars/ESXiShellInteractiveTimeOut -i 900

# When done:
vim-cmd hostsvc/stop_ssh
vim-cmd hostsvc/disable_ssh

۳. محدود کردن SSH و رابط وب به شبکه‌ی مدیریت

shell
esxcli network firewall ruleset set -r sshServer --allowed-all false
esxcli network firewall ruleset allowedip add -r sshServer -i 192.168.10.0/24
esxcli network firewall ruleset allowedip list -r sshServer

برای webAccess و vSphereClient هم همین کار را می‌توان کرد، ولی اول مطمئن شوید IP کامپیوتر خودتان در محدوده است. اشتباه در این مرحله دسترسی را تا ورود از کنسول فیزیکی (DCUI) قطع می‌کند.

۴. زمان دقیق

shell
esxcli system ntp set --server=0.ir.pool.ntp.org --server=1.ir.pool.ntp.org --enabled=true
esxcli system ntp get
esxcli system time get

لاگ‌ها و گواهی‌ها با ساعت غلط بی‌ارزش می‌شوند.

۵. ارسال لاگ به سرور مرکزی

لاگ ESXi در حافظه است و با راه‌اندازی مجدد از دست می‌رود، مگر اینکه scratch پایدار یا syslog بیرونی داشته باشید:

shell
esxcli system syslog config set --loghost='udp://192.168.10.70:514'
esxcli network firewall ruleset set -r syslog -e true
esxcli system syslog reload
esxcli system syslog mark -s "syslog test from esxi01"

۶. چند نکته‌ی دیگر

  • Lockdown Mode: اگر میزبان با vCenter مدیریت می‌شود، از vCenter حالت Normal Lockdown را فعال کنید. بعد از آن ورود مستقیم فقط برای کاربران فهرست Exception Users ممکن است.
  • وصله: نسخه‌ی فعلی را با esxcli system version get ببینید و با اطلاعیه‌های امنیتی VMware (VMSA) مقایسه کنید. ESXi هدف اصلی باج‌افزارهاست.
  • سرویس SLP: اگر از آن استفاده نمی‌کنید خاموشش کنید. آسیب‌پذیری‌های مهمی از این سرویس سوءاستفاده کرده‌اند:
shell
/etc/init.d/slpd stop
esxcli network firewall ruleset set -r CIMSLP -e 0
chkconfig slpd off