Virtuele Appliance

PrivateLAN wordt geleverd als kant-en-klare virtuele machine (VM-appliance). Op de downloadpagina vindt u images voor XCP-ng, Microsoft Hyper-V en VMware ESXi. Deze pagina beschrijft de systeemvereisten en schijfindeling van de appliance, en welke instellingen nodig zijn om de image in elke hypervisor te importeren.

Systeemvereisten

De appliance is gebouwd om licht en voorspelbaar te draaien:

Schijfindeling

De appliance bestaat uit 3 virtuele schijven:

Offline updates: heeft de appliance geen internettoegang voor het ingebouwde updatemechanisme (zie Software-updates)? Dan kan schijf 1 worden vervangen door de schijf 1 uit een nieuwere VM-image, terwijl schijf 2 en 3 aan de bestaande VM gekoppeld blijven. Uw database, certificaten en logs blijven hierdoor behouden. De stapsgewijze procedure staat beschreven bij Offline updates.

Verwijder of ontkoppel bij het importeren of beheren van de VM geen van de 3 schijven, ook niet als deze leeg lijkt.

Netwerkkaarten

De appliance heeft 2 virtuele netwerkadapters:

Koppel eth0 aan uw interne netwerk/portgroup en eth1 aan een netwerk met internettoegang.

Isolatie tussen eth0 (LAN) en eth1 (WAN)

eth0 en eth1 zijn op meerdere, onafhankelijke niveaus van elkaar gescheiden, zodat een internetverbinding op eth1 nooit toegang geeft tot uw interne netwerk en er ook geen verkeer vanuit eth0 via eth1 naar buiten kan:

• Firewall (nftables): de forward-keten heeft policy drop en bevat geen enkele regel, voor zowel IPv4 als IPv6 — verkeer wordt nooit tussen eth0 en eth1 doorgestuurd.
• Geen NAT: er is geen NAT/masquerade-configuratie aanwezig. Zelfs wanneer forwarding zou zijn ingeschakeld, ontbreekt het mechanisme om LAN-verkeer via eth1 naar buiten te vertalen.
• Kernel-hardening: net.ipv4.ip_forward, net.ipv4.conf..forwarding en net.ipv6.conf..forwarding staan expliciet op 0 (/etc/sysctl.d/99-privatelan-no-forwarding.conf), zodat ook op besturingssysteemniveau geen routing tussen de interfaces mogelijk is.
• Beperkt inkomend verkeer op eth1: vanaf internet wordt alleen ICMP geaccepteerd (echo-request is beperkt tot 10 pakketten/seconde tegen scans en floods), plus reacties op verkeer dat de appliance zelf heeft geïnitieerd (established/related). Nieuwe inkomende verbindingen worden altijd geweigerd.
• IPv6 op eth1: input, forward en output staan volledig dicht (policy drop, geen regels), zodat geen onbedoeld IPv6-lek via bijvoorbeeld SLAAC kan ontstaan.

Door deze combinatie kunt u eth1 zonder verdere voorzorgsmaatregelen aansluiten op een internetverbinding voor software-updates en telemetrie.

VM-image downloaden

Ga naar Downloads en kies het tabblad voor uw hypervisor:

• Microsoft Hyper-V — Generation 2 VM, geleverd als VHDX-bestanden met XML-configuratie
• XCP-ng / Citrix Hypervisor — XVA-bestand
• VMware ESXi / vSphere — OVA-bestand

Importeren in XCP-ng

1. Open Xen Orchestra of XenCenter
2. Kies Import (Xen Orchestra: VMs → New VM → Import; XenCenter: File → Import)
3. Selecteer het gedownloade .xva-bestand
4. Wijs een storage repository toe voor alle 3 schijven
5. Koppel eth0 aan uw interne LAN-netwerk en eth1 aan een netwerk met internettoegang
6. Start de VM op

Importeren in Microsoft Hyper-V

1. Open Hyper-V Manager
2. Kies Action → Import Virtual Machine
3. Selecteer de map met de gedownloade VHDX-bestanden en XML-configuratie
4. Kies Copy the virtual machine zodat de originele bestanden bewaard blijven
5. Koppel eth0 aan de virtuele switch voor uw interne LAN en eth1 aan een virtuele switch met internettoegang
6. Controleer bij deze Generation 2 VM de instellingen onder Security: Secure Boot staat standaard uitgeschakeld — laat dit zo
7. Start de VM op

Importeren in VMware ESXi / vSphere

1. Open de vSphere Client (of ESXi Host Client)
2. Kies Deploy OVF Template
3. Selecteer het gedownloade .ova-bestand
4. Kies de gewenste datastore en provisioningtype (thin of thick)
5. Koppel eth0 aan de portgroup voor uw interne LAN en eth1 aan een portgroup met internettoegang
6. Controleer dat alle 3 schijven worden meegenomen ("Include all disks")
7. Start de VM op

Alternatief: gebruik ovftool om het OVA-bestand vanaf de command line te deployen.

Eerste keer opstarten

Zodra de VM is geïmporteerd en opgestart, verbindt u met de appliance volgens de Snelstart-handleiding.