{
 "id": 36941,
 "slug": "2021-08-31_proteger-vmware-esxi",
 "url": "https://agents.willem.com/fr/posts/2021-08-31_proteger-vmware-esxi/",
 "source_url": "https://willem.com/fr/2021-08-31_proteger-vmware-esxi/",
 "language": "fr",
 "date": "2021-08-31",
 "published": "2021-08-31T00:00:00+02:00",
 "created": "2025-06-26T22:09:31.532000+02:00",
 "updated": "2026-10-20T09:22:52.260000+02:00",
 "title": "Protéger VMware ESXi",
 "subtitle": "Améliore la sécurité avec un pare-feu et un serveur proxy",
 "summary": "Suite à un incident sur un serveur, j'ai détecté une possible faille de sécurité. La machine concernée faisait tourner VMware ESXi, un hyperviseur bare metal utilisé pour exécuter des serveurs privés virtuels. En mode autonome, une console de gestion web offre un contrôle total sur l'infrastructure, ce qui présente un risque.",
 "topics": [
  "cloud",
  "cyber-security",
  "linux",
  "networking",
  "server",
  "web"
 ],
 "author": {
  "name": "Willem L. Middelkoop",
  "url": "https://willem.com"
 },
 "provenance": {
  "kind": "model",
  "method": "Claude Sonnet, two passes (translation, then proofreading) against a glossary and hunspell",
  "date": "2026-10-20",
  "reviewed_by_native_reader": false,
  "language": "fr",
  "source_language": "en"
 },
 "translations": [
  {
   "language": "en",
   "title": "Protecting VMware ESXi",
   "url": "https://agents.willem.com/en/posts/2021-08-31_protecting-vmware-esxi/",
   "source_url": "https://willem.com/en/2021-08-31_protecting-vmware-esxi/"
  },
  {
   "language": "nl",
   "title": "VMware ESXi beveiligen",
   "url": "https://agents.willem.com/nl/posts/2021-08-31_vmware-esxi-beveiligen/",
   "source_url": "https://willem.com/nl/2021-08-31_vmware-esxi-beveiligen/"
  },
  {
   "language": "de",
   "title": "VMware ESXi schützen",
   "url": "https://agents.willem.com/de/posts/2021-08-31_vmware-esxi-schutzen/",
   "source_url": "https://willem.com/de/2021-08-31_vmware-esxi-schutzen/"
  },
  {
   "language": "es",
   "title": "Proteger VMware ESXi",
   "url": "https://agents.willem.com/es/posts/2021-08-31_proteger-vmware-esxi/",
   "source_url": "https://willem.com/es/2021-08-31_proteger-vmware-esxi/"
  },
  {
   "language": "it",
   "title": "Proteggere VMware ESXi",
   "url": "https://agents.willem.com/it/posts/2021-08-31_proteggere-vmware-esxi/",
   "source_url": "https://willem.com/it/2021-08-31_proteggere-vmware-esxi/"
  },
  {
   "language": "pt",
   "title": "Proteger o VMware ESXi",
   "url": "https://agents.willem.com/pt/posts/2021-08-31_proteger-o-vmware-esxi/",
   "source_url": "https://willem.com/pt/2021-08-31_proteger-o-vmware-esxi/"
  },
  {
   "language": "pap",
   "title": "Protehá VMware ESXi",
   "url": "https://agents.willem.com/pap/posts/2021-08-31_proteha-vmware-esxi/",
   "source_url": "https://willem.com/pap/2021-08-31_proteha-vmware-esxi/"
  },
  {
   "language": "fy",
   "title": "VMware ESXi beskermje",
   "url": "https://agents.willem.com/fy/posts/2021-08-31_vmware-esxi-beskermje/",
   "source_url": "https://willem.com/fy/2021-08-31_vmware-esxi-beskermje/"
  }
 ],
 "image": "https://willem.com/global/images/4275f82f096d.webp",
 "image_width": 2560,
 "images": [
  {
   "url": "https://willem.com/global/images/15606d128603.webp",
   "description": "VMware ESXi est un hyperviseur bare metal qui divise un serveur physique en plusieurs serveurs virtuels",
   "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_36941_images-1.png"
  },
  {
   "url": "https://willem.com/global/images/dae8ec43ceca.webp",
   "description": "L'interface web de VMware ESXi : elle t'invite, toi et d'autres, à gérer cette machine physique",
   "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_36941_images-2.png"
  },
  {
   "url": "https://willem.com/global/images/936addf5c1b8.webp",
   "description": "Trouver des interfaces web VMware ESXi exposées ne demande rien d'autre que quelques compétences sur Google",
   "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_36941_images-3.png"
  },
  {
   "url": "https://willem.com/global/images/48c92af16a45.webp",
   "description": "Pré-authentifie le trafic vers la console d'administration via un petit serveur Debian GNU/Linux tout simple avec un proxy nginx",
   "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_36941_images-4.png"
  },
  {
   "url": "https://willem.com/global/images/bb1ad8e30b8e.webp",
   "description": "Deux serveurs proxy qui donnent un accès sécurisé à plusieurs hôtes VMware",
   "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_36941_images-5.png"
  },
  {
   "url": "https://willem.com/global/images/b43f9ed92c73.webp",
   "description": "Configuration nginx pour authentifier et rediriger le trafic vers une console d'administration VMware",
   "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_36941_images-6.png"
  }
 ],
 "text": "Les gros serveurs puissants offrent une énorme capacité de calcul, souvent bien plus que ce dont une seule application a besoin.  Grâce à la virtualisation, les opérateurs cloud optimisent l'usage du matériel en chargeant dynamiquement plusieurs machines virtuelles sur une seule machine physique.\nLes machines physiques sous VMware ESXi sont gérées soit via un réseau vSphere centralisé, soit en machine autonome. Les administrateurs créent, gèrent et configurent les machines virtuelles via une puissante interface web. Sans réseau vSphere centralisé, les administrateurs ont besoin de cette interface web, mais l'exposer sur l'internet public attire une attention indésirable de la part des pirates.\nLes personnes malveillantes cherchent activement des consoles de gestion exposées, dans l'espoir d'en trouver une avec un mot de passe faible ou des failles_de_sécurité (https://www.cvedetails.com/vulnerability-list.php?vendor_id=252&product_id=22134) connues. Réveille l'explorateur curieux qui sommeille en toi et utilise simplement Google pour trouver_tout_un_tas_de_machines_exposées_avec_une_requête_spéciale (https://www.google.com/search?q=%22To+streamline+your+IT+operations+with+vSphere%22&filter=0). Lis mon article sur les_requêtes_spéciales_dans_Google (https://willem.com/en/2019-04-25_search-like-a-pro-google-search-operators/) si tu dois rafraîchir tes compétences de recherche.\nSi tu laisses la console de gestion exposée, n'importe qui peut essayer de se connecter. Les pirates et leurs robots automatisés le feront à coup sûr ! L'accès à distance pour les comptes utilisateurs locaux d'ESXi est verrouillé temporairement après plusieurs échecs de connexion, pour tout le monde ! Ça peut être frustrant quand toi, administrateur légitime, tu as besoin d'accéder à la console.\nEn suivant mes propres conseils_simples_de_cybersécurité (https://willem.com/en/2018-03-10_cyber-security-5-easy-tips-to-protect-your-server-against-hackers/), on peut améliorer la sécurité de VMware ESXi en cachant complètement la console de gestion. Tu pourrais être tenté d'utiliser un simple pare-feu « qui bloque tout », mais pense à l'utilité de la console d'administration : elle donne un accès vital aux machines virtuelles en cours d'exécution. Tu veux vraiment que tes administrateurs puissent accéder à l'interface 24 h sur 24 et 7 jours sur 7, de n'importe où, en cas d'urgence.\nAu lieu de fermer ou de cacher complètement l'interface de gestion, j'ai donc cherché un moyen d'autoriser l'accès de façon sélective tout en gardant un profil discret en ligne. Comme je veux que les administrateurs légitimes puissent accéder à l'interface depuis n'importe où dans le monde, je ne pouvais pas utiliser un simple filtre d'adresses IP. Avec une machine Debian GNU/Linux et nginx comme serveur proxy, je peux pré-authentifier le trafic vers la console de gestion.\nDans cette configuration, la machine Debian tourne sur un réseau séparé, sur un matériel différent, avec une adresse IP fixe. Le serveur VMware n'accepte que le trafic de ce serveur proxy, grâce à son pare-feu. Le serveur proxy filtre le trafic avec une authentification HTTP sur SSL/TLS. N'importe qui peut se connecter au serveur proxy, mais seuls ceux qui ont des identifiants valides atteignent la console d'administration VMware. Pour quiconque le scanne, le serveur proxy ressemble à un tout petit serveur web standard : une signature en ligne très discrète.\nAjoute un autre serveur proxy, sur un autre réseau et un autre matériel, pour éviter un point de défaillance unique. Nginx peut rediriger le trafic authentifié vers différentes consoles d'administration selon le nom d'hôte, ce qui te permet de réutiliser un seul proxy pour sécuriser plusieurs machines VMware. Les serveurs proxy peuvent être configurés avec l'authentification HTTP Basic à l'aide d'outils standard et simples, consulte la_documentation_nginx_pour_des_conseils_à_ce_sujet (https://docs.nginx.com/nginx/admin-guide/security-controls/configuring-http-basic-authentication/).\nConclusion\nEn utilisant nginx comme proxy devant la console d'administration, tu ajoutes une couche d'authentification et tu crées une signature discrète pour quiconque scanne ton réseau. Ça améliore la sécurité de tes machines VMware en les rendant plus difficiles à trouver et à atteindre. Les administrateurs légitimes accèdent toujours à la console d'administration depuis n'importe quel ordinateur, sans VPN ni adresse IP pré-authentifiée. Les personnes malveillantes, les pirates et les robots auront du mal à te trouver. Tu te caches à la vue de tous !",
 "word_count": 617,
 "markdown_url": "https://agents.willem.com/fr/posts/2021-08-31_proteger-vmware-esxi/post.md"
}