{
 "id": 36941,
 "slug": "2021-08-31_vmware-esxi-schutzen",
 "url": "https://agents.willem.com/de/posts/2021-08-31_vmware-esxi-schutzen/",
 "source_url": "https://willem.com/de/2021-08-31_vmware-esxi-schutzen/",
 "language": "de",
 "date": "2021-08-31",
 "published": "2021-08-31T00:00:00+02:00",
 "created": "2025-06-26T22:09:31.532000+02:00",
 "updated": "2026-10-20T09:22:52.260000+02:00",
 "title": "VMware ESXi schützen",
 "subtitle": "Mehr Sicherheit mit Firewall und Proxyserver",
 "summary": "Nach einem Vorfall auf einem Server habe ich eine mögliche Sicherheitslücke entdeckt. Auf dem betroffenen Rechner lief VMware ESXi, ein Bare-Metal-Hypervisor, mit dem man virtuelle private Server betreibt. Im Standalone-Modus bietet eine webbasierte Verwaltungskonsole volle Kontrolle über die Infrastruktur, und das ist ein Risiko.",
 "topics": [
  "cloud",
  "cyber-security",
  "linux",
  "networking",
  "server",
  "web"
 ],
 "author": {
  "name": "Willem L. Middelkoop",
  "url": "https://willem.com"
 },
 "provenance": {
  "kind": "model",
  "method": "Gemini translation (2025), reviewed and corrected by Claude Sonnet (20 Oct 2026) against a glossary and hunspell",
  "date": "2026-10-20",
  "reviewed_by_native_reader": false,
  "language": "de",
  "source_language": "en"
 },
 "translations": [
  {
   "language": "en",
   "title": "Protecting VMware ESXi",
   "url": "https://agents.willem.com/en/posts/2021-08-31_protecting-vmware-esxi/",
   "source_url": "https://willem.com/en/2021-08-31_protecting-vmware-esxi/"
  },
  {
   "language": "nl",
   "title": "VMware ESXi beveiligen",
   "url": "https://agents.willem.com/nl/posts/2021-08-31_vmware-esxi-beveiligen/",
   "source_url": "https://willem.com/nl/2021-08-31_vmware-esxi-beveiligen/"
  },
  {
   "language": "es",
   "title": "Proteger VMware ESXi",
   "url": "https://agents.willem.com/es/posts/2021-08-31_proteger-vmware-esxi/",
   "source_url": "https://willem.com/es/2021-08-31_proteger-vmware-esxi/"
  },
  {
   "language": "fr",
   "title": "Protéger VMware ESXi",
   "url": "https://agents.willem.com/fr/posts/2021-08-31_proteger-vmware-esxi/",
   "source_url": "https://willem.com/fr/2021-08-31_proteger-vmware-esxi/"
  },
  {
   "language": "it",
   "title": "Proteggere VMware ESXi",
   "url": "https://agents.willem.com/it/posts/2021-08-31_proteggere-vmware-esxi/",
   "source_url": "https://willem.com/it/2021-08-31_proteggere-vmware-esxi/"
  },
  {
   "language": "pt",
   "title": "Proteger o VMware ESXi",
   "url": "https://agents.willem.com/pt/posts/2021-08-31_proteger-o-vmware-esxi/",
   "source_url": "https://willem.com/pt/2021-08-31_proteger-o-vmware-esxi/"
  },
  {
   "language": "pap",
   "title": "Protehá VMware ESXi",
   "url": "https://agents.willem.com/pap/posts/2021-08-31_proteha-vmware-esxi/",
   "source_url": "https://willem.com/pap/2021-08-31_proteha-vmware-esxi/"
  },
  {
   "language": "fy",
   "title": "VMware ESXi beskermje",
   "url": "https://agents.willem.com/fy/posts/2021-08-31_vmware-esxi-beskermje/",
   "source_url": "https://willem.com/fy/2021-08-31_vmware-esxi-beskermje/"
  }
 ],
 "image": "https://willem.com/global/images/4275f82f096d.webp",
 "image_width": 2560,
 "images": [
  {
   "url": "https://willem.com/global/images/15606d128603.webp",
   "description": "VMware ESXi ist ein Bare-Metal-Hypervisor, der einen physischen Server in mehrere virtuelle Server aufteilt",
   "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_36941_images-1.png"
  },
  {
   "url": "https://willem.com/global/images/dae8ec43ceca.webp",
   "description": "Die Weboberfläche von VMware ESXi: Sie lädt dich und andere ein, diese physische Maschine zu verwalten",
   "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_36941_images-2.png"
  },
  {
   "url": "https://willem.com/global/images/936addf5c1b8.webp",
   "description": "Offene VMware-ESXi-Weboberflächen zu finden, erfordert nur etwas Google-Erfahrung",
   "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_36941_images-3.png"
  },
  {
   "url": "https://willem.com/global/images/48c92af16a45.webp",
   "description": "Den Datenverkehr zur Verwaltungskonsole vorab authentifizieren, über einen kleinen, einfachen Debian GNU/Linux-Server mit nginx-Proxy",
   "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_36941_images-4.png"
  },
  {
   "url": "https://willem.com/global/images/bb1ad8e30b8e.webp",
   "description": "Zwei Proxyserver sorgen für sicheren Zugriff auf mehrere VMware-Hosts",
   "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_36941_images-5.png"
  },
  {
   "url": "https://willem.com/global/images/b43f9ed92c73.webp",
   "description": "nginx-Konfiguration zum Authentifizieren und Weiterleiten des Datenverkehrs an eine VMware-Verwaltungskonsole",
   "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_36941_images-6.png"
  }
 ],
 "text": "Große, leistungsstarke Serverhardware bietet jede Menge Rechenkapazität, oft viel mehr, als eine einzelne Anwendung braucht.  Mit Virtualisierung können Cloud-Betreiber die Hardware besser auslasten, indem sie mehrere virtuelle Maschinen dynamisch auf einer einzigen physischen Maschine laufen lassen.\nPhysische Maschinen mit VMware ESXi werden entweder zentral in einem vSphere-Netzwerk oder einzeln als eigenständige Maschine verwaltet. Administratoren erstellen, verwalten und konfigurieren virtuelle Maschinen über eine mächtige Weboberfläche. Ohne zentrales vSphere-Netzwerk brauchen sie diese Weboberfläche, doch wer sie im öffentlichen Internet erreichbar macht, zieht unerwünschte Aufmerksamkeit von Hackern an.\nAngreifer suchen aktiv nach offen erreichbaren Verwaltungskonsolen und hoffen auf eine mit schwachem Passwort oder mit bekannten Sicherheitslücken (https://www.cvedetails.com/vulnerability-list.php?vendor_id=252&product_id=22134)). Lass den neugierigen Entdecker in dir von der Leine und nutze einfach Google, um mit einer_speziellen_Suchanfrage_jede_Menge_offene_Maschinen_zu_finden (https://www.google.com/search?q=%22To+streamline+your+IT+operations+with+VSphere%22&filter=0). Wenn du deine Suchkünste auffrischen willst, lies meinen Blogbeitrag über_spezielle_Suchanfragen_bei_Google (https://willem.com/en/2019-04-25_search-like-a-pro-google-search-operators/).\nLässt du die Verwaltungskonsole offen, kann jeder versuchen, sich anzumelden. Hacker und ihre automatischen Bots tun das garantiert! Nach mehreren fehlgeschlagenen Anmeldeversuchen wird der Fernzugriff für lokale ESXi-Benutzerkonten vorübergehend gesperrt, und zwar für alle! Das kann nerven, wenn du als berechtigter Administrator an die Konsole musst.\nMit meinen einfachen_Cybersicherheits-Tipps (https://willem.com/en/2018-03-10_cyber-security-5-easy-tips-to-protect-your-server-against-hackers/) lässt sich die Sicherheit von VMware ESXi verbessern, indem man die Verwaltungskonsole ganz versteckt. Vielleicht denkst du an eine simple \"Alles dicht\"-Firewall, aber bedenke, wofür du die Konsole brauchst: Sie ist dein wichtigster Zugang zu den laufenden virtuellen Maschinen. Im Notfall sollen deine Administratoren rund um die Uhr von überall auf die Oberfläche kommen.\nStatt die Verwaltungsoberfläche komplett abzuschalten oder zu verstecken, habe ich deshalb nach einem Weg gesucht, den Zugriff gezielt zu erlauben und trotzdem unauffällig zu bleiben. Berechtigte Administratoren sollen von überall auf der Welt auf die Oberfläche kommen, also konnte ich keinen einfachen IP-Filter nehmen. Mit einem Debian GNU/Linux-Rechner und nginx als Proxyserver kann ich den Datenverkehr zur Verwaltungskonsole vorab authentifizieren.\nIn diesem Aufbau läuft der Debian-Rechner in einem eigenen Netzwerk, auf anderer Hardware und mit fester IP-Adresse. Die Firewall des VMware-Servers lässt nur Datenverkehr von diesem Proxyserver durch. Der Proxyserver filtert den Verkehr per HTTP-Authentifizierung über SSL/TLS. Jeder kann sich mit dem Proxyserver verbinden, aber nur wer gültige Zugangsdaten hat, kommt an die VMware-Verwaltungskonsole. Für jeden, der ihn scannt, wirkt der Proxyserver wie ein winziger Standard-Webserver: ein unauffälliger Fingerabdruck im Netz.\nFüge einen weiteren Proxyserver aus einem anderen Netzwerk auf anderer Hardware hinzu, damit es keinen Single Point of Failure gibt. Nginx kann authentifizierten Datenverkehr anhand des Hostnamens an verschiedene Verwaltungskonsolen weiterleiten, sodass ein einziger Proxy mehrere VMware-Maschinen absichern kann. Die Proxyserver lassen sich mit einfachen Standardwerkzeugen auf HTTP-Basisauthentifizierung einstellen. Tipps dazu findest du in der nginx_Dokumentation (https://docs.nginx.com/nginx/admin-guide/security-controls/configuring-http-basic-authentication/).\nFazit\nMit nginx als Proxy vor der Verwaltungskonsole bekommst du eine zusätzliche Authentifizierungsschicht und einen unauffälligen Fingerabdruck für jeden, der dein Netzwerk scannt. Das macht deine VMware-Maschinen sicherer, weil sie schwerer zu finden und schwerer zu erreichen sind. Berechtigte Administratoren kommen weiterhin von jedem Computer an die Verwaltungskonsole, ohne VPN und ohne vorab freigegebene IP-Adresse. Angreifer, Hacker und Bots haben es schwer, dich zu finden. Du versteckst dich in aller Öffentlichkeit!",
 "word_count": 495,
 "markdown_url": "https://agents.willem.com/de/posts/2021-08-31_vmware-esxi-schutzen/post.md"
}