[RaistlinMajere]

my 2 cents:

war irgendwo klar, daß im zuge der ansteigenden virtualisierungslösungen auch das mal kommt. was ich davon halte? ehrlich gesagt wenig, denn, man mag mich da jetzt vllt. übertrieben konservativ nennen, aber wenn eine FW in einer eigenen virtuellen maschine läuft, ist sie ja deswegen immer noch vom darüber stehenden OS abhängig - das bedeutet eine weitere, mögliche fehler- bzw. angriffsquelle. wer bemüht sich dann schon, die FW selbst anzugreifen, wenn ein angriff auf den darüberstehenden virtualisierungsrechner genauso zum ziel führt und dabei möglicherweise gleich andere, kritische systeme mit in den abgrund reißt?

im sinne einer fehler- bzw. angriffsquellenminimierung würde ich daher ein so kritisches system wie eine firewall nicht virtualisiert laufen lassen, sondern soweit als möglich unabhängig als "echte" maschine und zwar idealerweise allein, ohne irgendwelche anderen dienste (denn jeder dienst, der auf der entsprechenden maschine läuft, bietet weitere möglichkeiten für einen potentiellen angriff).

ich verstehe schon, worin die vorteile von virtualisierung liegen, aber hier wird mMn an der falschen stelle gespart, weil bei dem ganzen prinzip offenbar davon ausgegangen wird, daß das darüberstehende OS bzw. die virtualisierungsSW "eh 100% unangreifbar und fehlerfrei ist" - nur das kann man eben mit absoluter sicherheit nie sagen. daher, wie gesagt: keep it simple, fehler- und angriffsquellen soweit möglich minimieren und das system soweit als möglich unabhängig von anderen systemen machen und genau das wird bei einer virtualisierten lösung, genauso wie bei personal firewalls (da wird ein ähnliches prinzip verfolgt) eben nicht gemacht, weil beide noch von "etwas darüber" abhängen.