IT達(dá)人們對(duì)于vShield Zones的性能不滿意時(shí)，可以找到一大把開源產(chǎn)品替代VMware的虛擬防火墻或入侵檢測系統(tǒng)。其中的一些我感覺要比vShield產(chǎn)品更好。

　　公平地講，我對(duì)vShield產(chǎn)品的經(jīng)驗(yàn)很少，僅使用過VMware vShield Zones(包含一個(gè)vSphere Enterprise Plus授權(quán))和vShield Edge，但我對(duì)它的體驗(yàn)是負(fù)面的。

　　VMware vShield Zones安裝和配置很簡單，但是我稍后發(fā)現(xiàn)它效率不高。所有集群中的主機(jī)必須安裝Zones，而每臺(tái)虛擬機(jī)的流量都要通過Zones的虛擬應(yīng)用。而在通過Zones提供的最基本的簡易防火墻時(shí)，速度受到了影響(這也是為什么被稱為慢路徑模式)。

　　在我感覺vShield Edge也沒有好多少。在使用標(biāo)準(zhǔn)vSwitch，而不是vNetwork Distributed Switch的集群配置中受到很多限制。例如，我希望測試Edge的端口組隔離功能，該功能可以在虛擬機(jī)和外網(wǎng)之間創(chuàng)建隔離很好地保護(hù)虛擬機(jī)。然而，這只有在vNetwork Distributed Switch配置下發(fā)揮作用，而不支持標(biāo)準(zhǔn)vSwitch。另外vShield Edge看起來會(huì)產(chǎn)生大量的網(wǎng)絡(luò)流量，并在集群沒有任務(wù)的時(shí)候也顯示占用部分CPU計(jì)算資源。

　　考慮開源的替代品

　　我希望現(xiàn)在已經(jīng)被合作伙伴廣泛采用的VMsafe快路徑API可以改善vShield系列產(chǎn)品的性能。同時(shí)，還有大量很好的開源產(chǎn)品可以取代vShield套件提供虛擬防火墻、入侵防御系統(tǒng)(IPS)和入侵檢測系統(tǒng)(IDS)。

　　開源虛擬防火墻和IPS工具對(duì)于小型企業(yè)和實(shí)驗(yàn)室是很好的選擇。多數(shù)大型網(wǎng)絡(luò)供應(yīng)商都為各自的產(chǎn)品提供了虛擬應(yīng)用，但同時(shí)也伴隨高額的初始費(fèi)用和后續(xù)維護(hù)成本。

　　在VMware的虛擬應(yīng)用市場您可以找到很多虛擬應(yīng)用，同時(shí)通過Google也可以找到那些真正開源的適用于VMware的工具。

　　開源虛擬防火墻產(chǎn)品

　　說到防火墻，我是IPCop、SmoothWall Express, m0n0wall和Vyatta等老字號(hào)產(chǎn)品的忠實(shí)粉絲。這些包提供了可靠的檢測防護(hù)，并可以和Linux和部分Windows內(nèi)核緊密結(jié)合。它們或許沒有絢麗的圖形用戶管理界面，但具備了基本的功能，如包檢測、網(wǎng)絡(luò)地址轉(zhuǎn)換和規(guī)則。而這往往就是您所需要的。

　　另外，很多上面提到的產(chǎn)品還進(jìn)一步開發(fā)出一些基本的，甚至遠(yuǎn)超昂貴的商業(yè)產(chǎn)品的功能，增加簡單網(wǎng)絡(luò)管理協(xié)議、反向代理、流量整形、虛擬私有網(wǎng)絡(luò)等功能。我個(gè)人喜歡使用Vyatta提供的可靠開源產(chǎn)品，因?yàn)樗拿钚薪缑骖愃朴谥笆褂玫乃伎飘a(chǎn)品。

　　虛擬IPS和IDS選擇

　　我提到的很多防火墻可以提供虛擬IPS。類似的專用產(chǎn)品有思科的ASA系列網(wǎng)絡(luò)安全設(shè)備，提供IPS和上百種其它功能，但是您不得不考慮這些功能是否和其成本相匹配。

　　如果您計(jì)劃使用IPS，那么也應(yīng)該部署IDS。很多人不理解IPS和IDS之間的差別。實(shí)際上，這些安全工具都是對(duì)一個(gè)應(yīng)用中提供的，IPS跟外部網(wǎng)絡(luò)連接相關(guān)而IDS跟vSwitch相連位于虛擬防火墻內(nèi)部。

　　Catbird Networks Inc., Stonesoft Corp. 和 Sourcefire Inc.等供應(yīng)商以付費(fèi)的模式提供了整合的IPS/IDS應(yīng)用。而在開源產(chǎn)品中，成熟的Snort(加上前端的Snorby)，再配合Bro Network Security Monitor和Suricata是我的最愛。近期我安裝了Bro，對(duì)它的功能包、易安裝和易配置印象深刻。它使我重新考慮這些產(chǎn)品。

　　那之后，Bro成為我第一優(yōu)先選擇。其它的產(chǎn)品包括Smooth-Sec 和 SIEM-live(都是基于Suricata)，另外我經(jīng)常配合使用一些可引導(dǎo)CD，如Network Security Toolkit(已成為網(wǎng)絡(luò)和安全方面約定俗成的標(biāo)準(zhǔn)) 和Security Onion。

　　如果您不需要或希望降低安裝和維護(hù)商業(yè)化虛擬防火墻和IPS/IDS應(yīng)用的費(fèi)用，可以嘗試一下這些開源產(chǎn)品?；蛟S會(huì)發(fā)現(xiàn)一款滿足您需求的。