VMware NSX за най-малките. Част 1

Ако разгледате конфигурацията на който и да е фаервол, вероятно ще видите списък с куп IP адреси, портове, протоколи и подсетове. Така класически се реализират политики за мрежова безопасност за достъп на потребителите до ресурсите. В началото се стремим да поддържаме ред в конфигурацията, но след това служителите започват да преминават от отдел в отдел, сървърите се размножават и променят своите роли, появяват се достъпи за различни проекти, където обикновено нямат право, и се образуват стотици неизвестни пътища.

Около някои правила, ако имаме късмет, са написани коментари „Помоли Васко да го направи“ или „Това е проход в DMZ“. Мрежовият администратор напуска, и всичко става напълно неясно. После някой решава да почисти конфигурацията от Васко, и SAP пада, защото някога Васко е искал този достъп за работа на производствения SAP.

Днес ще ви разкажа за решението VMware NSX, което помага точно да се прилагат политики за мрежова взаимозависимост и сигурност без объркване в конфигурациите на фаервола. Ще покажа какви нови функции са се появили в сравнение с това, което VMware е имало преди в тази област.

VMware NSX е платформа за виртуализация и осигуряване на безопасността на мрежовите услуги. NSX решава задачи за маршрутизиране, комутация, балансировка на натоварването, фаервол и може да прави много още интересни неща.

NSX е наследник на собствения продукт на VMware vCloud Networking and Security (vCNS) и придобития Nicira NVP.

От vCNS към NSX

Преди клиентът в облака, изграден на VMware vCloud, имаше отделна виртуална машина vCNS vShield Edge. Тя изпълняваше ролята на граничен шлюз, където можеше да бъде настроено множество мрежови функции: NAT, DHCP, фаервол, VPN, балансировчик на натоварването и др. vShield Edge ограничаваше взаимодействието на виртуалната машина с външния свят според правилата, записани във фаервола и NAT. Вътре в мрежата виртуалните машини комуникираха свободно помежду си в рамките на подсетите. Ако наистина искате да разделите и управлявате трафика, можете да създадете отделна мрежа за различни части на приложенията (различни виртуални машини) и да запишете във фаервола съответните правила за тяхната мрежова взаимозависимост. Но това е дълго, сложно и неинтересно, особено когато имате няколко десетки виртуални машини.

В NSX VMware реализира концепцията за микросегментация чрез разпределена защита на мрежата (distributed firewall), вградена в ядрото на хипервизора. В него се дефинират политики за сигурност и мрежова свързаност не само за IP и MAC адреси, но и за други обекти: виртуални машини, приложения. Ако NSX е внедрен във вътрешността на организацията, то такива обекти могат да станат потребител или група потребители от Active Directory. Всеки такъв обект се преобразува в микросегмент в неговата среда на сигурност, в необходимата подсетка, с уютна DMZ : ).

Преди периметърът на сигурност беше един за целия пул ресурси, защитаван от граничен комутатор, а с NSX можете да изолирате от нежелани взаимодействия отделна виртуална машина дори в рамките на една мрежа.

Политиките за сигурност и мрежова свързаност се адаптират, ако обектът преминава в друга мрежа. Например, ако преместим машина с база данни в друг мрежов сегмент или дори в друг свързан виртуален дата център, то правилата, определени за тази виртуална машина, ще продължат да действат независимо от новото ѝ местоположение. Серверът за приложения все още ще може да взаимодейства с базата данни.

На мястото на самия граничен шлюз vCNS vShield Edge дойде NSX Edge. Той разполага с целия джентълменски комплект на стария Edge плюс няколко нови полезни функции. За тях ще става дума по-нататък.

Какво ново има в NSX Edge?

Функционалността на NSX Edge зависи от изданието NSX. Общо те са пет: Standard, Professional, Advanced, Enterprise, Plus Remote Branch Office. Всичко ново и интересно може да се види само от Advanced нататък. Включително и новия интерфейс, който до пълното преминаване на vCloud към HTML5 (VMware обещава лято 2019) се отваря в нов таб.

Firewall. Като обекти, към които ще се прилагат правилата, можете да изберете IP адреси, мрежи, интерфейси на шлюза и виртуални машини.

DHCP. Освен настройката на диапазона IP адреси, които автоматично ще се предоставят на виртуалните машини в тази мрежа, в NSX Edge стана достъпна функционалността Binding и Relay.

На таба Bindings можете да свържете MAC адреса на виртуалната машина с IP адреса, ако е необходимо, за да не се променя IP адресът. Главное е, че този IP адрес не трябва да влиза в DHCP Pool.

На таба Relay Конфигуриране на ретранслация на DHCP съобщения към DHCP сървъри, които са извън организацията ви в vCloud Director, включително и към DHCP сървъри на физическата инфраструктура.

Маршрутизация. При vShield Edge можеше да се конфигурира само статична маршрутизация. Сега е налична динамична маршрутизация с поддръжка на протоколите OSPF и BGP. Също така стана възможно конфигурирането на ECMP (Active-active), което предполага и аварийно превключване тип 'активен-активен' към физически маршрутизатори.

Настройка на OSPF

Настройка на BGP

Още от новото – настройка на прехвърляне на маршрути между различни протоколи,
преразпределение на маршрути (route redistribution).

L4/L7 Балансировач на натоварването. Появи се X-Forwarded-For за HTTPs заглавието. Без него всички се оплакваха. Например, имате сайт, който балансирате. Без пренасочване на това заглавие всичко работи, но в статистиката на уеб сървъра виждате не IP адресите на посетителите, а IP адреса на балансировача. Сега всичко е наред.

Също така в раздела Application Rules вече можете да добавяте скриптове, които директно управляват балансирането на трафика.

VPN. В допълнение към IPSec VPN, NSX Edge поддържа:

• L2 VPN, позволяващ разширяване на мрежи между географски разделени локации. Такъв VPN е необходим, например, за да остане виртуалната машина в същата подсеть и да запази IP адреса си, при преместване на друга площадка.

• SSL VPN Plus, който позволява на потребителите да се свързват дистанционно с корпоративната мрежа. На ниво vSphere тази функция беше налична, а за vCloud Director това е новост.

SSL сертификати. На NSX Edge вече могат да се инсталират сертификати. Това отново повдига въпроса, кому е необходим балансировач без сертификат за https.

Групи обекти (Grouping Objects). В този раздел се задават групите обекти, за които ще действат определени правила за мрежово взаимодействие, например правила за защитна стена.

Тези обекти могат да бъдат IP и MAC адреси.

 


Тук също е посочен списък със услуги (съчетание протокол-порт) и приложения, които могат да се използват при съставяне на правила за защитна стена. Нови услуги и приложения могат да добавят само администратори на портала vCD.

 


Статистика. Статистика за връзките: трафикът, който преминава през шлюза, защитната стена и балансировача.

Статус и статистика за всеки тунел IPSEC VPN и L2 VPN.

Логиране. В таба Настройки на Edge може да се зададе сървър за запис на логове. Логването работи за DNAT/SNAT, DHCP, Файрвол, маршрутизация, балансировчик, IPsec VPN, SSL VPN Plus.
 
За всеки обект/услуга са налични следните типове известия:

— Debug
— Alert
— Critical
— Error
— Warning
— Notice
— Info

Размери на NSX Edge

В зависимост от решаваните задачи и обеми VMware препоръчва създава NSX Edge от следните размери:

NSX Edge
(Компактен)

NSX Edge
(Голям)

NSX Edge
(Квадратен-Голям)

NSX Edge
(Х-Голям)

vCPU

1

2

4

6

Памет

512MB

1GB

1GB

8GB

Диск

512MB

512MB

512MB

4.5GB + 4GB

Назначение

Едно
приложение, тестов
данен-център

Небольшой
или среден
данен-център

Засилено
файрвол

Балансировка
натоварване на ниво L7

По-долу в таблицата – работни метрики на мрежовите услуги в зависимост от размера на NSX Edge.

NSX Edge
(Компактен)

NSX Edge
(Голям)

NSX Edge
(Квадратен-Голям)

NSX Edge
(Х-Голям)

Интерфейси

10

10

10

10

Подинтерфейси (Trunk)

200

200

200

200

NAT правила

2,048

4,096

4,096

8,192

ARP запазвания
До презаписване

1,024

2,048

2,048

2,048

FW правила

2000

2000

2000

2000

FW производителност

3Gbps

9.7Gbps

9.7Gbps

9.7Gbps

DHCP пулове

20,000

20,000

20,000

20,000

ECMP маршрути

8

8

8

8

Статични маршрути

2,048

2,048

2,048

2,048

LB пулове

64

64

64

1,024

LB виртуални сървъри

64

64

64

1,024

LB сървър / пул

32

32

32

32

LB здравни проверки

320

320

320

3,072

LB правила на приложението

4,096

4,096

4,096

4,096

L2VPN клиенти Hub към Spoke

5

5

5

5

L2VPN мрежи на клиент/сървър

200

200

200

200

IPSec тунели

512

1,600

4,096

6,000

SSLVPN тунели

50

100

100

1,000

SSLVPN частни мрежи

16

16

16

16

Сходни сесии

64,000

1,000,000

1,000,000

1,000,000

Сесии/секунда

8,000

50,000

50,000

50,000

LB производителност L7 прокси)

2.2Gbps

2.2Gbps

3Gbps

LB производителност L4 режим)

6Gbps

6Gbps

6Gbps

LB свързвания/с (L7 прокси)

46,000

50,000

50,000

LB сходни свързвания (L7 прокси)

8,000

60,000

60,000

LB свързвания/с (L4 режим)

50,000

50,000

50,000

LB сходни свързвания (L4 режим)

600,000

1,000,000

1,000,000

BGP маршрути

20,000

50,000

250,000

250,000

BGP съседи

10

20

100

100

BGP маршрути преосигурени

Без лимит

Без лимит

Без лимит

Без лимит

OSPF маршрути

20,000

50,000

100,000

100,000

OSPF LSA записи макс. 750 Тип-1

20,000

50,000

100,000

100,000

OSPF съседства

10

20

40

40

OSPF маршрути преосигурени

2000

5000

20,000

20,000

Общо маршрути

20,000

50,000

250,000

250,000

→ Източник

От таблицата е видно, че балансирането на NSX Edge за продуктивни сценарии се препоръчва да се организира, само от размер Large.

За днес това е всичко. В следващите части ще разгледам подробно настройката на всяка мрежова услуга на NSX Edge.

Източник: habr.com