IT達(dá)人們對于vShield Zones的性能不滿意時，可以找到一大把開源產(chǎn)品替代VMware的虛擬防火墻或入侵檢測系統(tǒng)。其中的一些我感覺要比vShield產(chǎn)品更好。

公平地講，我對vShield產(chǎn)品的經(jīng)驗(yàn)很少，僅使用過VMware vShield Zones(包含一個vSphere Enterprise Plus授權(quán))和vShield Edge，但我對它的體驗(yàn)是負(fù)面的。

VMware vShield Zones安裝和配置很簡單，但是我稍后發(fā)現(xiàn)它效率不高。所有集群中的主機(jī)必須安裝Zones，而每臺虛擬機(jī)的流量都要通過Zones的虛擬應(yīng)用。而在通過Zones提供的最基本的簡易防火墻時，速度受到了影響(這也是為什么被稱為慢路徑模式)。

在我感覺vShield Edge也沒有好多少。在使用標(biāo)準(zhǔn)vSwitch，而不是vNetwork Distributed Switch的集群配置中受到很多限制。例如，我希望測試Edge的端口組隔離功能，該功能可以在虛擬機(jī)和外網(wǎng)之間創(chuàng)建隔離很好地保護(hù)虛擬機(jī)。然而，這只有在vNetwork Distributed Switch配置下發(fā)揮作用，而不支持標(biāo)準(zhǔn)vSwitch。另外vShield Edge看起來會產(chǎn)生大量的網(wǎng)絡(luò)流量，并在集群沒有任務(wù)的時候也顯示占用部分CPU計(jì)算資源。

考慮開源的替代品

我希望現(xiàn)在已經(jīng)被合作伙伴廣泛采用的VMsafe快路徑API可以改善vShield系列產(chǎn)品的性能。同時，還有大量很好的開源產(chǎn)品可以取代vShield套件提供虛擬防火墻、入侵防御系統(tǒng)(IPS)和入侵檢測系統(tǒng)(IDS)。

開源虛擬防火墻和IPS工具對于小型企業(yè)和實(shí)驗(yàn)室是很好的選擇。多數(shù)大型網(wǎng)絡(luò)供應(yīng)商都為各自的產(chǎn)品提供了虛擬應(yīng)用，但同時也伴隨高額的初始費(fèi)用和后續(xù)維護(hù)成本。

在VMware的虛擬應(yīng)用市場您可以找到很多虛擬應(yīng)用，同時通過Google也可以找到那些真正開源的適用于VMware的工具。

[page]

開源虛擬防火墻產(chǎn)品

說到防火墻，我是IPCop、SmoothWall Express， m0n0wall和Vyatta等老字號產(chǎn)品的忠實(shí)粉絲。這些包提供了可靠的檢測防護(hù)，并可以和Linux和部分Windows內(nèi)核緊密結(jié)合。它們或許沒有絢麗的圖形用戶管理界面，但具備了基本的功能，如包檢測、網(wǎng)絡(luò)地址轉(zhuǎn)換和規(guī)則。而這往往就是您所需要的。

另外，很多上面提到的產(chǎn)品還進(jìn)一步開發(fā)出一些基本的，甚至遠(yuǎn)超昂貴的商業(yè)產(chǎn)品的功能，增加簡單網(wǎng)絡(luò)管理協(xié)議、反向代理、流量整形、虛擬私有網(wǎng)絡(luò)等功能。我個人喜歡使用Vyatta提供的可靠開源產(chǎn)品，因?yàn)樗拿钚薪缑骖愃朴谥笆褂玫乃伎飘a(chǎn)品。

虛擬IPS和IDS選擇

我提到的很多防火墻可以提供虛擬IPS。類似的專用產(chǎn)品有思科的ASA系列網(wǎng)絡(luò)安全設(shè)備，提供IPS和上百種其它功能，但是您不得不考慮這些功能是否和其成本相匹配。

如果您計(jì)劃使用IPS，那么也應(yīng)該部署IDS。很多人不理解IPS和IDS之間的差別。實(shí)際上，這些安全工具都是對一個應(yīng)用中提供的，IPS跟外部網(wǎng)絡(luò)連接相關(guān)而IDS跟vSwitch相連位于虛擬防火墻內(nèi)部。

Catbird Networks Inc.， Stonesoft Corp. 和 Sourcefire Inc.等供應(yīng)商以付費(fèi)的模式提供了整合的IPS/IDS應(yīng)用。而在開源產(chǎn)品中，成熟的Snort(加上前端的Snorby)，再配合Bro Network Security Monitor和Suricata是我的最愛。近期我安裝了Bro，對它的功能包、易安裝和易配置印象深刻。它使我重新考慮這些產(chǎn)品。

那之后，Bro成為我第一優(yōu)先選擇。其它的產(chǎn)品包括Smooth-Sec 和 SIEM-live(都是基于Suricata)，另外我經(jīng)常配合使用一些可引導(dǎo)CD，如Network Security Toolkit(已成為網(wǎng)絡(luò)和安全方面約定俗成的標(biāo)準(zhǔn)) 和Security Onion。

如果您不需要或希望降低安裝和維護(hù)商業(yè)化虛擬防火墻和IPS/IDS應(yīng)用的費(fèi)用，可以嘗試一下這些開源產(chǎn)品?；蛟S會發(fā)現(xiàn)一款滿足您需求的。