Salve a tutti, sono un ormai vecchio sistemista nuovo di vmware, dove siamo finalmente approdati lo scorso settembre, con enorme piacere visto quanto semplifica la vita... l'unica cosa in cui abbiamo avuto difficoltà è affrontare quotidianamente lo scetticismo dei colleghi più tradizionalisti :smileyplain:
Attualmente abbiamo sotto mano un sistema dell-blade con due 'lame' che fanno da host esxi 4.1 più una col virtual center.
Gli host hanno 8 schede di rete che ci sono state configurate con due schede sulla vlan interna di "management" e le altre sei sulla vlan dove ci sono tutti i pc e server dell'ufficio. Metto la foto dei miei vSwitch che è sicuramente più chiara 
Domanda 1: volendo virtualizzare in questa struttura il successore del nostro amato ISA server bisogna "portare dentro" la rete pubblica. Se non ho capito male dovrei 'sganciare' dal vSwitch2 una coppia di schede e collegarle a una nuova VLAN dove attaccherò il router che va su internet. Poi creare un nuovo vSwitch3 che comprenda le due schede suddette. Dopoci sarà da fare una VM con TMG che sarà collegata al vSwitch2 e 3, eccetera Giusto?
Ammesso che non abbia (ancora) detto cavolate, ci sono altre cose da fare per tenere in sicurezza l'host ESXi che, facendo quanto sopra, viene fisicamente connesso alla rete pubblica?
Domanda 2: in un futuro prossimo virtualizzeremo anche l'incasinatissima struttura che fa funzionare i nostri siti web. Prevediamo l'acquisto di 3 host (con 4 schede di rete ciascuno) con le quali formeremo un secondo cluster entro lo stesso datacenter dove sta il cluster con i 2 host di cui sopra. Anche qui vorremmo avere una VM che fa da firewall/reverse proxy/load balancer. Cosa si trova di valido sul mercato o free, oltre a TMG (che è inviso ai "clienti" della parte web)? Ho visto/sto vedendo Vyatta (mi è parso ostico), Astaro, qualche distro tipo moonwall (meglio se è una cosa cost free). Ogni consiglio e commento anche feroce è ben accetto 
Grazie in anticipo a chi mi ha letto!
Alessandro
grazie! la cercherò sicuramente
(ps: ho provato a cliccare su 'risposta utile' ma mi da errore js isa con ie sia con chrome :smileyconfused:)
grazie mille per la risposta molto dettagliata, fammi pure le pulci e anche qualche zecca
1. sì ho qualche VM in quel portgroup, prima di cancellarlo cercherò di capire meglio perché è stato fatto (quando vennero a fare l'installazione eravamo totalmente digiuni quindi molti dettagli li abbiamo persi; dovrebbero venire nuovamente i consulenti che l'hanno fatta per installare una terza lama, approfitterò per approfondire tutti i dubbi)
2. la FT attualmente non è usata, non sono sicuro che la useremo e nel casò saranno pochissime VM. Come sopra, ne ragionerò quando avrò sottomano i consulenti
3. forse non ho capito bene.... comunque negli switch modulari ci sono due VLAN, una dove arrivano le 2 nic del vSwitch0, una dove arrivano attualmente le altre 6 del vSwitch2. La prima è stata riservata come rete di "management" chiusa, la seconda è la rete interna di tutta l'azienda. In firewallese sarebbe la rete "trusted" ma ormai ci sono dentro "c&p" e quindi la considero poco "trustable". Per questo preferirei mantenere questa distinzione.
4. gli switch sono dell M6220 e l'LACP ce l'hanno, valuteremo anche questa cosa.
Sì ho la advanced (mi scuso per non averlo specificato), di vShield zones ne apprendo ora, corro a studiarlo appena finito questo post
m0n0wall e vyatta li ho messi su con l'intenzione di provare e vederli, insieme a astaro e TMG che metterò su oggi con la versione di prova.
Intanto mi sono messo a giocare un po' e ho creato un vSwitch senza alcuna scheda di rete fisica. Lo utilizzerò come zona "internet" e ho messo una VM con scheda di rete collegata solo su questo vSwitch: rappresenterà il web server pubblico e l'attaccante ipotetico .
