Mandantenisolation & Sicherheit
Sicherheitsgrenzen, Netzwerkverkapselung, Speicherisolation, Benutzerverwaltung, Layer-2-Passthrough, Micro-Segmentierung und Mandantenüberwachung in VergeOS-Multi-Tenant-Bereitstellungen.
Das VergeOS-Isolationsmodell
VergeOS-Multi-Tenancy basiert auf architektonische Isolierung — nicht nur auf richtlinienbasierter Trennung. Jeder Mandant ist ein vollständig gekapseltes Virtual Data Center (VDC) mit eigenem Netzwerk-Stack, exklusiven Speicher-Volumes und einer unabhängigen administrativen Grenze. Dies steht im Gegensatz zu Plattformen, die auf VLANs, Ressourcenpools oder RBAC-Regeln setzen, um Mandanten innerhalb einer gemeinsamen Verwaltungsebene zu trennen.
Das Isolationsmodell ruht auf vier Säulen:
Netzwerk-Kapselung
Netzwerk-Kapselung ist die Grundlage der Mandantenisolierung. Wenn ein Mandant erstellt wird, stellt VergeOS automatisch ein virtuelles Netzwerk bereit, das den gesamten Datenverkehr dieses Mandanten aggregiert und kapselt. Aus Sicht des Mandanten ist dies sein physisches Netzwerk — er kann den Datenverkehr anderer Mandanten weder sehen noch mit ihm interagieren.
Funktionsweise
Jeder Mandant erhält sein eigenes DMZ-Netzwerk das als Routing-Backbone für alle Netzwerke innerhalb des Mandanten dient
Der Mandantenverkehr wird auf Layer 2 und Layer 3 gekapselt, wodurch die Kommunikation zwischen Mandanten auf Netzwerkebene verhindert wird
Das gekapselte Netzwerk ermöglicht es Mandantenknoten, sicher zu kommunizieren, selbst wenn sie auf unterschiedlichen physischen Hosts laufen
Mandanten können in ihrer eigenen Umgebung praktisch unbegrenzt viele interne Netzwerke erstellen
Warum das wichtig ist
Im Gegensatz zur VLAN-basierten Segmentierung — bei der ein falsch konfiguriertes VLAN-Tag oder ein kompromittierter Switch Datenverkehr zwischen Mandanten offenlegen könnte — bietet die VergeOS-Netzwerk-Kapselung Zero-Trust-Netzwerkisolierung standardmäßig. Ein Mandant kann das Netzwerk eines anderen Mandanten nicht erreichen, selbst wenn sie dieselbe physische Infrastruktur teilen.
Dedizierte Speicher-Volumes
Jeder Tenant erhält dedizierte Speicher-Volumes innerhalb des vSAN, dem Mandanten präsentiert, als hätte er sein eigenes Speichersystem. Die Isolierung wird logisch durch Container-Dateisystem-Grenzen durchgesetzt — ein Mandant kann die Daten eines anderen Mandanten weder sehen noch darauf zugreifen — während das zugrunde liegende vSAN zur Effizienz Blöcke im gesamten Cluster dedupliziert.
Wesentliche Merkmale:
Mandantenbezogene Bereitstellung — Speicher wird pro Ebene (NVMe, SSD, HDD) mit spezifischen Kapazitätszuweisungen bereitgestellt
Unabhängige Deduplizierung — Die Deduplizierungsstatistiken jedes Mandanten spiegeln nur seine eigenen Daten wider. Die Deduplizierung arbeitet auf vSAN-Blockebene über das gesamte System hinweg; für Mandanten sichtbare Kennzahlen zeigen nur die Einsparungen des jeweiligen Mandanten
Thin Provisioning — Der Mandantenspeicher wird per Thin Provisioning bereitgestellt. Ein 4-TB-VM-Laufwerk, das nur 200 GB Daten enthält, verbraucht etwa 200 GB vSAN-Kapazität (abzüglich Deduplizierungseinsparungen)
Verschlüsselungsunterstützung — vSAN-Verschlüsselung (AES-256, bei der Installation konfiguriert) gilt für alle Daten einschließlich der Mandanten-Volumes
Unabhängige Benutzerverwaltung
Jeder Mandant verwaltet seine Benutzerkonten und Authentifizierung unabhängig. Es stehen drei Authentifizierungsmodelle zur Verfügung:
Lokale Benutzer
Der Mandantenadministrator erstellt und verwaltet Benutzerkonten direkt in der Mandanten-UI
Kleine Mandanten, eigenständige Umgebungen
Parent VergeOS (via OIDC)
Der Mandant authentifiziert sich über eine OIDC-Anwendung, die auf dem Parent-VergeOS-System definiert ist, sodass die Anmeldungen des Mandanten durch das Benutzerverzeichnis des Parents unterstützt werden
Managed Service Provider, die den Mandantenzugriff zentral steuern
Drittanbieter-IdP (via OIDC)
Der Mandant integriert sich via OIDC mit einem externen Identitätsanbieter (Okta, Azure AD/Entra, Google Cloud Identity usw.)
Unternehmensmandanten mit vorhandener Identitätsinfrastruktur
Die OIDC-Integration wird pro Mandant bei der Erstellung oder Änderung konfiguriert. Wenn eine OIDC-Anwendung ausgewählt wird, verwendet der Mandant den externen Identitätsanbieter für die Authentifizierung und behält gleichzeitig die lokale Autorisierung (Berechtigungen und Rollen) bei.
Layer-2-Durchleitung zu Mandanten
In manchen Szenarien benötigt ein Mandant direkten Layer-2-Zugriff auf ein physisches VLAN — zum Beispiel, um sich mit einer dedizierten WAN-Verbindung, einem physischen Speichernetzwerk oder Legacy-Anwendungen mit erforderlicher L2-Nachbarschaft zu verbinden.
VergeOS bietet Tenant Layer 2 Networks (aktuelle VergeOS-Versionen) für eine vereinfachte VLAN-Durchleitung:
Funktionsweise
Der Host-Administrator navigiert zu Tenants → [Tenant] → Layer2 Networks → Neu
Wählt das externe Layer-2-Netzwerk (VLAN) zur Durchleitung aus
Aktiviert die Durchleitung
VergeOS erstellt automatisch drei Komponenten innerhalb des Mandanten:
Ein NIC-Schnittstelle auf dem Mandantenknoten, der mit dem VLAN verbunden ist
Ein Physisches Netzwerk (Backend-Infrastruktur)
Ein Externes Netzwerk an das sich Mandanten-VMs anhängen können
Verifizierungsliste
Host
Layer-2-Netzwerk erscheint in der Layer2-Networks-Liste des Mandanten, Enabled = ON
Mandant
Externe und physische Netzwerke erscheinen in der Networks-Liste des Mandanten
Infrastruktur
Physische Switch-Ports tragen das VLAN zu den richtigen Knoten
Konnektivität
Eine Test-VM im Externen Netzwerk des Mandanten kann Geräte im VLAN erreichen
Wichtige Einschränkungen
Reservierte VLANs
VLANs 1, 100, 101 und 102 sind für den internen VergeOS-Verkehr reserviert und können nicht für die Layer-2-Durchleitung verwendet werden.
Das externe Netzwerk des Mandanten nicht taggen
Das im Mandanten erstellte Externe Netzwerk ist bereits für das richtige VLAN getaggt. Fügen Sie nicht dem mandantenseitigen Externen Netzwerk keinen VLAN-Tag hinzu — dies ist eine häufige Fehlkonfiguration, die die Konnektivität beeinträchtigt.
Entfernungsvorgang
Das Entfernen eines Tenant Layer 2 Network erfordert eine bestimmte Reihenfolge:
Deaktivieren das Layer-2-Netzwerk auf der Host-Seite
Löschen das Layer-2-Netzwerk auf der Host-Seite (NIC wird automatisch entfernt)
Im Mandanten: löschen Sie zuerst das Externe Netzwerk, dann das Physische Netzwerk
Löschen Sie innerhalb des Mandanten immer zuerst das Externe Netzwerk und dann das Physische Netzwerk. Das Externe Netzwerk verweist auf das Physische Netzwerk als seine Schnittstelle; eine umgekehrte Reihenfolge führt zu einem Fehler.
Mikrosegmentierung innerhalb von Mandanten
Jeder Mandant kann seine eigene Mikrosegmentierungsstrategie mit denselben Netzwerkwerkzeugen umsetzen, die auf Host-Ebene verfügbar sind:
Interne Netzwerke — Jedes interne Netzwerk ist ein standardmäßig sicheres, isoliertes Segment. Es fließt kein Verkehr hinein oder hinaus, bis explizite Regeln hinzugefügt werden.
Netzwerkregeln — Granulare Firewall-Regeln (Accept, Drop, Reject), NAT/PAT und statische Routen pro Netzwerk
Netzwerk-Aliasse — IP-Adressen oder CIDR-Bereiche für eine vereinfachte Richtlinienverwaltung gruppieren
Port-Spiegelung — Den Verkehr eines Netzwerks zur Analyse auf eine VM-NIC spiegeln
Dies ermöglicht Zero-Trust-Prinzipien innerhalb jedes Mandanten — Workloads sind standardmäßig isoliert und kommunizieren nur über ausdrücklich erlaubte Pfade.
Ressourcen-Garantien
Die Ressourcenzuweisung für Mandanten wird auf Plattformebene durchgesetzt:
CPU und RAM — Den Mandantenknoten zugewiesene Kerne und RAM sind dedizierte Zuweisungen; das Host-System berücksichtigt die Ressourcen der Mandantenknoten bei der Planung
Speicher — Der pro Ebene bereitgestellte Speicher definiert die Kapazität des Mandanten. Obwohl bereitgestellter Speicher keine harte Grenze ist, werden Protokollwarnungen ausgelöst, wenn sich ein Mandant seinem Schwellenwert nähert
Netzwerkbandbreite — Ratenbegrenzung kann pro Netzwerkregel zur Traffic-Steuerung angewendet werden
Mandantenüberwachung vom Parent aus
Das Host-(Parent-)System behält vollständige Sicht auf die Mandantenaktivitäten, ohne die Mandantenisolierung zu verletzen.
Dashboard aller Mandanten
Das Dashboard aller Mandanten bietet einen Überblick über alle Mandanten mit:
Statusanzeigen — Anzahl der eingeschalteten Mandanten und Mandantenknoten
Top-Auslastungslisten — CPU-, RAM-, Speicher- und Netzwerknutzung nach Mandant sortiert
Schnelllinks — Klicken Sie auf einen beliebigen Mandanten, um zu seinem individuellen Dashboard zu gelangen
Individuelles Mandanten-Dashboard
Das Dashboard jedes Mandanten zeigt:
CPU-, RAM- und Speichernutzung in Diagrammen mit 5-Minuten-Intervallen
5-Sekunden-Heartbeat Statistiken für die Echtzeitüberwachung
Protokolleinträge mit rot hervorgehobenen Fehlern
Speichermetriken — Verwendete, bereitgestellte und zugewiesene Werte
Nutzungsberichte für die Abrechnung
VergeOS speichert Nutzungsstatistiken pro Mandant zur Unterstützung von Abrechnung nach dem 95. Perzentil:
Navigieren Sie zum Mandanten-Dashboard → Verlauf
Wählen Sie einen Filterzeitraum (Monat, benutzerdefinierter Bereich)
Klicken Sie auf Anwenden um Diagramme zu erzeugen, die Durchschnitt, Maximum und 95. Perzentil zeigen
Für die Abrechnungsintegration als CSV exportieren
Alternativ konfigurieren Sie ein Abonnement (System → Abonnements → Neu) mit:
Zieltyp: Mandanten-Dashboard
Typ: Geplant
Profil: Mandanten-Nutzung
Dies liefert automatisierte Nutzungsberichte per E-Mail gemäß Ihrem konfigurierten Zeitplan.
Snapshot-Freigabe
Wenn die System-Snapshots freigeben Option für einen Mandanten aktiviert ist, kann der Mandant die auf dem Host verfügbaren Snapshots durchsuchen und seinen eigenen Mandantensnapshot anhand der Snapshot-Zeitstempel des Anbieters selbst herunterladen. Dadurch können Mandanten ihre eigenen Systeme wiederherstellen, ohne dass ein Eingreifen des Host-Administrators erforderlich ist.
Audit und Alarmierung
Abonnements können E-Mail-Benachrichtigungen für Statusfehler, Warnungen oder Schwellenwertüberschreitungen von Mandanten auslösen
Geplante Berichte können tägliche/wöchentliche Dashboard-Zusammenfassungen an Administratoren liefern
Das API kann Mandantennutzungsdaten an externe Abrechnungs- oder Überwachungssysteme exportieren
Mandanten-Snapshots und Wiederherstellungen
Jeder Mandant kann unabhängig gesnapshottet und wiederhergestellt werden:
Snapshots pro Mandant — Der Host kann Snapshots einzelner Mandanten erstellen, ohne andere Mandanten zu beeinträchtigen
Vom Mandanten gesteuerte Snapshots — Mandanten können ihre eigenen Snapshot-Zeitpläne und Aufbewahrungsrichtlinien innerhalb ihres VDC verwalten
Granulare Wiederherstellung — Stellen Sie einen gesamten Mandanten, einzelne VMs oder bestimmte Daten aus jedem Snapshot-Zeitpunkt wieder her
DR-Replikation — Mandantensnapshots können per Site-Sync an entfernte Standorte repliziert werden, mit DR-Richtlinien pro Mandant
Best Practices
Standardmäßig Kapselung verwenden
Verwenden Sie die integrierte Netzwerk-Kapselung von VergeOS für alle Mandanten. Konfigurieren Sie Layer-2-Durchleitung nur dann, wenn eine spezifische Anforderung für direkten VLAN-Zugriff besteht.
VLAN-Zuweisungen dokumentieren
Führen Sie eine klare Dokumentation darüber, welche VLANs an welche Mandanten durchgeleitet werden, einschließlich VLAN-IDs, Zwecken und Switch-Port-Konfigurationen.
Netzwerk nach dem Prinzip der geringsten Rechte
Beginnen Sie innerhalb jedes Mandanten mit standardmäßig sicheren internen Netzwerken und öffnen Sie den Zugriff nur über explizite Firewall-Regeln. Folgen Sie Zero-Trust-Prinzipien.
Speicherschwellen überwachen
Konfigurieren Sie Abonnements, um Warnungen auszulösen, wenn der Mandantenspeicher sich den bereitgestellten Limits nähert. Thin Provisioning bedeutet, dass der zugewiesene Wert den genutzten Wert weit übersteigen kann — überwachen Sie „used“, um den tatsächlichen Verbrauch nachzuverfolgen.
OIDC für Unternehmensmandanten verwenden
Für Unternehmensmandanten mit vorhandener Identitätsinfrastruktur konfigurieren Sie eine OIDC-Integration, anstatt lokale Benutzerkonten innerhalb jedes Mandanten zu verwalten.
Reihenfolge bei der L2-Entfernung
Beim Entfernen der Layer-2-Durchleitung immer zuerst auf dem Host deaktivieren und löschen, dann innerhalb des Mandanten zuerst das Externe und danach das Physische Netzwerk bereinigen.
Zuletzt aktualisiert
War das hilfreich?