とことこロゴス
仮想スイッチ
ソフトウェアで実現するレイヤー2のスイッチである。仮想マシンの仮想NICを接続し、仮想マシン同士や物理ネットワークとの間でイーサネットフレームを転送する。
イマシルちゃんの解説
一台のサーバの中で複数の仮想マシンを動かすと、それらをネットワークにつなぐ仕組みが必要になるよ。
仮想スイッチは、サーバ内にソフトウェアで用意するスイッチなんだ。
各仮想マシンの通信の出入口である仮想NICを接続して、フレームを送り先へ渡すよ。
物理NICにもつなぐ構成なら、サーバの外にある機器とも通信できるの。
一台だけ通信を止めたいときは、その仮想マシンの接続を外せるよ。
物理ケーブルを抜いて同じサーバの全員を止める必要を減らせるんだ。
この解説はわかりやすかったですか？
より深い解説
仮想マシンから外部へつなぐ
一般的な構成では、仮想マシンの仮想NICを仮想スイッチのポートへ接続する。外部ネットワークにも接続する場合は、ホストサーバの物理NICをアップリンクとして使い、その先の物理L2スイッチへ送る。
| 通信する相手 | 代表的な通り道 |
|---|---|
| 同じホスト内の同じ仮想LAN | 仮想NIC → 仮想スイッチ → 相手の仮想NIC |
| ホストの外の機器 | 仮想NIC → 仮想スイッチ → 物理NIC → 物理ネットワーク |
同一ホスト内で完結する通信は、物理スイッチへ出ない場合がある。このため、物理ポートのミラーリングだけでは仮想マシン間の全通信を観測できるとは限らない。仮想側の監視機能や通信経路も確認する。
接続範囲を設定する
外部へ接続しない仮想スイッチも作れる。例えばHyper-Vでは、外部の物理ネットワークへつなぐ外部型、ホストと仮想マシン間で使う内部型、仮想マシン間だけで使うプライベート型を区別する。名称と機能の対応は製品ごとに確認する。
仮想ポートへVLANを割り当てる構成もある。論理的に分離したグループ同士の通信には、ルータやファイアウォールによる中継が必要になる。VLAN IDと、物理側の許可VLANの対応が合わなければ、外部へ通信できない。
感染した仮想マシンを隔離する
VDI上の仮想PCがマルウェアに感染した場合は、管理コンソールから対象の仮想NICを切断する、接続先を隔離用ネットワークへ変更する、仮想ポートのアクセス制御を適用するなどの方法がある。通信経路を止める対象を仮想PC単位で選べる。
ホストの物理NICを無効にすると、そこを共有する正常な仮想PCまで通信できなくなる場合がある。また、対象に複数の仮想NICや別の転送経路がある場合は、一つの接続を外すだけで隔離が完了するとは限らない。必要な調査・管理経路を含め、残る接続を確認する。
隔離は被害拡大を抑えるための操作であり、マルウェアの除去そのものではない。状態の記録、原因調査、復旧後の安全確認を別に行う。