如何将虚拟机放置在DMZ中？

我有一台运行KVM的虚拟机的Ubuntu 12.04服务器。

我想在互联网上公开一些这些虚拟机，以使客户可以testing我们正在开发的产品，并提供用于演示目的的其他产品。

其中一个服务器网卡configuration了公共IP。但是，在暴露networking上的任何东西之前，我想确定如果其中一台虚拟机受到攻击，攻击者就无法到达其他主机。

我想要做的就是把这些虚拟机放到DMZ中 。

这些是我打算做的步骤：

在虚拟化主机中创build一个tap接口（假设tap1 ）
使用tap1创build一个网桥，并为其分配一个独立于其他主机的子网。比方说10.0.0.1
将DMZ虚拟机连接到网桥并静态configuration其IP（10.0.0.2,10.0.0.3等）
使用UFW，禁止从10.0.0.0/24到任何内部主机的任何stream量，允许来自内部主机的stream量朝向10.0.0.0/24，并使用端口转发来暴露Web上的虚拟机。

你认为这个设置是安全的吗？你能提出任何改进或更好/更安全的方法吗？

我想确定，如果其中一台虚拟机受到攻击，攻击者将无法到达其他主机。

为此， 除了正确的防火墙之外 ，您还需要sVirt ，它是RHEL6 / CentOS 6 KVM主机开箱即用的。它甚至启用和默认工作。我不知道它是否甚至可以用Ubuntu安装程序。