build议使用可公开访问的范围和2个NIC来设置安全的ESXi环境

简而言之：

1. 创build（至less）两个vSwitch，一个“公共”，连接到一个服务器网卡和一个“私有”，它不连接到任何物理网卡。
2. select在专用vSwitch上使用的RFC1918子网，例如10.0.0.0/24 。
3. 在虚拟机中安装pfSense ，将其WAN接口分配给公共vSwitch，并将其LAN接口分配给专用vSwitch。 另外，将VMware vKernelpipe理端口分配给专用vSwitch。
4. 在pfSense中设置一个VPN以及适当的路由到达专用networking。 OpenVPN很容易设置，但IPsec也可以。
5. 对于任何服务器虚拟机，将其接口分配给专用networking。
6. 在pfSense中为其余的公有IP地址创build虚拟IP，然后为您需要的人员从主机之外访问的任何服务设置端口转发。

在这一点上，pfSense虚拟机将是stream量可以从外部到其他服务器和pipe理界面的唯一途径。 因此，您可以指定关于哪些stream量被允许以及哪些stream量被阻止的非常具体的规则。 连接到您在步骤4中configuration的VPN后，您将可以使用vSphere Client。

如果所有build议的scheme都出现这种情况，那么看起来好像没什么意义 – 添加其他设备（无论是路由器还是同一networking中的其他机器），从您的托pipe服务提供商处购买VPN服务或在您的ESXi主机上创build虚拟机处理VPNstream量不是一个好的select。

从ESXi获得的最好结果是无状态数据包筛选器（可在ESXi5中使用）。 我会build议在这里做：

• 除了HTTPS（tcp / 443）和VMRC（tcp / 903）（如果您使用的是技术支持模式，可能还有SSH（tcp / 22）），可以使用ESXi防火墙或通过要求托pipe服务提供商设置filter
• 加载可validation的证书（如果pipe理站倾向于更改或者您拥有很多证书，则需要从公共CA获取证书）
• 为所有用户设置复杂的密码
• 公开暴露pipe理界面。

因为即使是家庭/中小型企业路由器也不会比没有任何产品更便宜，您能在ESX系统和外部之间放置什么吗？ 然后，您可以使用路由器将所需的端口转发到系统，并拥有更安全的ESX系统。 这将是相当简单，成本低。 你至less可以让它运行相对安全

只是我的观点…

1. ESX中的networking环路只是一个问题，如果你是双归属虚拟机，其他方面没有什么可担心的。 事实上，在一个典型的ESXconfiguration中，每个交换机至less有两个链接，它们通常是主动/主动的。 因此，如果有任何可能的方式来获得只能通过VPN或其他安全方式访问的专用networking上的第二个NIC设置，那么这是正确的方式来configuration此。
2. 由于你的双手绑在一起，要知道ESX自己有防火墙。 所以我会考虑确保它被locking，以便它只能被一个非常特定的IP范围pipe理。 您需要为SSH和您的GUI控制台执行此操作如果您告诉我您正在运行的ESXi版本，我会为您提供更多信息。
3. pfsense看起来像一个很好的configuration，但是如果你能find一些方法来获得像Cisco ASA 5505这样的小型产品，那么这对你来说将是一个改进的世界。