Смена неизвестного пароля root на ESX

Ситуация жизненная, поэтому пару слов по смене пароля рута, если сам пароль неизвестен:

Это, в общем то, несложно, единственное, что необходимо - физический доступ к серверу. Т.е. доступа по ssh не хватит, а что то типа iRMC\iLO\DRAC\RSA - хватит:

• Перезагружаем ESX.
• Во время загрузки - в первом меню жмем “a”
• Далее выбираем “single”
• Далее, загружается только ServiceConsole, притом мы безо всякой авторизации оказываемся уже залогинеными под рутом
• Команда “passwd” поможет задать нам новый пароль
• Перезагружаем ESX в штатном режиме

Источник

и еще ссылка на операцию в картинках и подробно

• 
  

Параметры VMX или защита ВМ

Очень нужная статья о дырах безопасности из-за vmware-tools.

Для VMXNet3 нужно писать: vmxnet3.noOprom="true"

Рекомендации по правке VMX файлов с точки зрения безопасности

Автор рассказывает про недоработки\уязвимости в VMware tools для некоторых ситуаций.
Например, пользователь на терминальном\citrix сервере без прав администратора может запустить VMware tools, затем отключить сетевую карту. Отключится она для всего сервера(всей ВМ).

Лечится прописыванием в vmx параметров

isolation.device.connectable.disable = "true"

isolation.device.edit.disable = "true"

Еще, пользователь не администратор может там же изменить настройку "Синхронизовать время с SC". Опять же, это может доставить неприятностей.

Рекомендации:

isolation.device.connectable.disable = "true"
isolation.device.edit.disable = "true"
isolation.tools.setOption.disable = "true"
isolation.tools.log.disable = "true"
isolation.tools.diskWiper.disable = "true"
isolation.tools.diskShrink.disable = "true"
isolation.tools.copy.disable = "true"
isolation.tools.paste.disable = "true"
isolation.tools.setGUIOptions.enable = "false"
log.rotateSize = "100000"
log.keepOld = "10"
vlance.noOprom = "true"
vmxnet.noOprom = "true"

# PXE boot on the e1000 vNIC can be disabled with this directive:
ethernet0.opromsize = "0"
Источник

и еще один - Hardening the VMX File: How Your Servers May Already be 0wned by Your Users

Как ограничить доступ к VMware vCenter через Web Access по IP-адресу

Как вы знаете, Web Access на VMware ESX 4 в vSphere отключен по умолчанию. Для VMware vCenter иногда требуется отключить Web Access насовсем в целях безопасности. Однако как быть, если вы хотите ограничить доступ пользователей к VMware Web Access на vCenter по IP-адресу для администраторов? Очень просто - добавляем в файл:

C:\Program Files\VMware\Infrastructure\VirtualCenter Server\tomcat\conf\server.xml

на сервере VMware vCenter следующую строчку:

 

где 192.168.2.15 и 192.168.1.* - разрешенные для доступа к vCenter IP-адреса или их диапазоны.

Источник

Поддержка VLAN (802.1Q)

Мне всегда казалось, что драйверов с поддержкой VLAN для VM нет, оказывается я ошибался. Процетирую первоисточник:

"Было найдено элегантное решение: для ВМ мы указали, что установим Windows 2003 x64. А установили, соответственно, Windows 2003 x32. После установки нас ждал “сюрприз” - вместо стандартного виртуального адаптера мы увидели Intel PRO1000. А вот этот адаптер с помощью драйверов позволяет сегментирование сетей по тэгу на разные VLAN."

Ссылки: Поддержка VLAN (802.1Q) в ISA Server

Список портов, используемых VMware ESX

Недавно потребовалась информация об используемых портах VMware VI3:

Источник: http://farm4.static.flickr.com/3096/3103670464_674d0e5a01_b.jpg