2. vSphere安全架构与信任边界
在vSphere环境中，安全设计的第一步不是配置防火墙或加固ESXi，而是先看清“谁信任谁、谁可以到达谁”。vSphere的逻辑架构由多个平面叠加而成，每个平面承担不同的通信职责，也各自形成独立的信任边界。理解这些边界，才能判断一条攻击路径是否可行、一个加固措施是否真正有效。
四个逻辑平面与信任边界
vSphere的通信可以归纳为四个逻辑平面，它们并非物理隔离，而是按功能与信任级别划分的逻辑区域：
- 管理平面：承载vCenter Server、ESXi主机、Platform Services Controller（PSC）之间的管理通信，包括vSphere Client访问、API调用、vMotion协调、HA心跳等。典型端口为443、902、5480等。管理平面一旦被攻破，攻击者可直接控制整个虚拟化平台。
- 控制平面：负责集群调度、DRS、HA、vSAN元数据协调等决策逻辑。控制平面通常与管理平面共享网络，但在大型环境中可独立划分VLAN，限制谁能发起调度指令。
- 数据平面：承载虚拟机之间的业务流量、vMotion迁移数据、vSAN数据读写。数据平面流量大、路径多，是横向移动的主要通道。
- 存储平面：承载ESXi主机与共享存储（iSCSI、NFS、FC、vSAN）之间的I/O。存储平面若被窃听或篡改，可能导致虚拟机磁盘数据泄露或损坏。
这四个平面之间的信任关系并不对等。管理平面默认信任来自vCenter的指令，ESXi主机默认信任已加入vCenter的PSC证书；而数据平面和存储平面通常不校验上层身份，只依赖网络隔离。因此，安全区域划分的核心原则是：管理平面必须与数据平面、存储平面隔离，控制平面按需收敛，数据平面按业务分组。
关键组件之间的信任关系与攻击面
vSphere环境中的主要信任关系包括：
- vCenter Server ↔ ESXi主机：vCenter通过管理平面向ESXi下发配置、迁移、电源操作等指令。ESXi信任vCenter的证书，vCenter信任ESXi的证书。攻击面在于：若vCenter被攻破，攻击者可向所有已纳管ESXi下发恶意任务；若ESXi证书被伪造，可伪装成合法主机加入集群。
- vCenter Server ↔ PSC：PSC提供SSO、证书颁发、令牌校验。vCenter依赖PSC完成身份认证。攻击面在于：PSC的STS证书若泄露，攻击者可伪造SSO令牌，绕过认证直接访问vCenter。
- ESXi主机 ↔ ESXi主机：vMotion、HA、vSAN等场景下主机之间直接通信。攻击面在于：vMotion流量默认未加密，若数据平面被监听，可截获虚拟机内存内容。
- 虚拟机 ↔ 虚拟机：同一端口组或同一VLAN内的虚拟机可二层互通。攻击面在于：若未启用PVLAN或分布式防火墙，一台被入侵的虚拟机可扫描并攻击同网段其他虚拟机。
- 管理员 ↔ 管理界面：vSphere Client、ESXi Host Client、SSH、DCUI等入口。攻击面在于：弱口令、未限制源IP、未启用MFA、SSH长期开启等。
这些信任关系共同构成了vSphere的攻击面。攻击者通常从管理平面入口（如暴露在互联网的vCenter）或数据平面横向移动（如从一台被入侵的虚拟机）切入，逐步获取更高权限。
典型vSphere环境的安全区域划分
下面这张图展示了一个典型中小规模vSphere环境的安全区域划分。图中按信任级别将网络划分为管理区、控制区、数据区、存储区和外部访问区，并标注了主要组件、通信路径和边界控制点。
图中标注了三条典型攻击路径：路径①从外部访问区直接攻击暴露的vSphere Client或ESXi Host Client，利用弱口令或未修复漏洞获取管理权限；路径②从一台被入侵的虚拟机出发，通过数据平面扫描同VLAN内其他虚拟机，寻找横向移动目标；路径③从数据平面尝试访问存储平面，若存储网络未隔离，可能直接读写共享存储上的VMDK文件。
安全区域划分的落地要点
基于上述信任边界，实际划分安全区域时应遵循以下原则：
- 管理平面独立VLAN：vCenter、PSC、ESXi管理接口放在独立VLAN，仅允许管理员跳板机或VPN网段访问443、902、5480端口，禁止从数据平面直接访问。
- vMotion网络独立：vMotion流量单独VLAN，启用vMotion加密（ESXi 6.5+支持），避免迁移内存被截获。
- 存储平面隔离：iSCSI/NFS/vSAN流量使用独立VLAN或物理网卡，配置CHAP或Kerberos认证，禁止数据平面主机直接访问存储IP。
- 数据平面微隔离：使用分布式防火墙按业务标签（如Web、App、DB）定义东西向规则，默认拒绝同网段任意互通。
- PSC与vCenter证书管理：定期轮换STS证书和VMCA证书，启用SSO锁定策略，限制administrator@vsphere.local的登录源。
理解vSphere的信任边界，本质上是回答三个问题：谁可以发起管理指令？谁可以读取业务数据？谁可以访问存储？把这三个问题的答案用网络分区和访问控制固定下来，后续的加固、审计和排障才有明确的参照系。