Как дать виртуальной машине доступ в интернет, но заблокировать из локальной сети?

Question

Я настраиваю виртуальную машину с помощью Microsoft Virtual PC в Windows 7. ВМ будет работать под управлением Windows XP.

Я хочу настроить на нем общедоступный сервер для веб-страниц, subversion и других вещей и проинструктировать маршрутизатор перенаправлять любые запросы на эту виртуальную машину.

Мне удалось это сделать - я назначил виртуальную машину сетевому адаптеру, и теперь она действует как еще один DHCP-клиент, но для повышения безопасности я хотел бы заблокировать виртуальную машину от остальной части локальной сети, чтобы она принимала только входящие подключения из Интернета. Чтобы это было эффективным в случае компромисса, это должно происходить на уровне виртуальных машин, насколько я вижу.

Можно ли это сделать?

Answer 1

Возможно, вам нужна вторая сетевая карта, подключенная напрямую к маршрутизатору / брандмауэру. Когда вы соединяете карту виртуальных машин с физической картой, это почти как если бы вы подключали ненадежный ПК к коммутатору в вашей доверенной сети.

Поэтому вам следует подключить его напрямую к маршрутизатору и, возможно, настроить некоторые правила ACL (http://en.wikipedia.org/wiki/Access_control_list). Но просто не установка маршрута к вашей доверенной сети будет достаточно. Однако вы, вероятно, хотите получить доступ из доверенной сети, например, для администрирования, поэтому я предлагаю использовать ACL.

Теоретически возможно использовать конфигурацию "моста" и фильтрацию нежелательных пакетов на хосте, но это будет зависеть от операционной системы хоста и программного обеспечения для виртуализации. Но я не знаком с сутулыми конфигурациями.

Другим вариантом является настройка виртуальной сетевой карты в режиме NAT. Затем вы можете настроить брандмауэр на вашем компьютере. Вы должны перенаправить порты в программном обеспечении виртуализации, чтобы ваш сервер работал правильно. Затем вы должны заблокировать доступ к вашей доверенной сети с помощью программного обеспечения для виртуализации.

Я бы больше доверял первому решению.

Answer 2

Насколько я знаю, для этого нужен брандмауэр. Просто ограничьте брандмауэр только для связи с вашим NAT/ маршрутизатором.