VMware NSX за най-малките. Част 1

Ако погледнем конфигурацията на който и да е фаервал, вероятно ще видим дълъг списък с множество IP адреси, портове, протоколи и подсистеми. По този класически начин се реализират политиките за мрежова сигурност, които осигуряват достъп на потребителите до ресурсите. Първоначално в конфигурацията се стремят да поддържат ред, но с времето служителите започват да преминават от отдел в отдел, сървърите се размножават и променят своите роли, появяват се достъпи за различни проекти там, където обикновено нямат право, и накрая се получават стотици неизвестни пътеки.

Около някакви правила, ако имате късмет, има написани коментари „Помолих Вася да го направи“ или „Това е проход в DMZ“. Мрежовият администратор напуска, и всичко става съвсем неясно. После някой решава да почисти конфигурацията от Вася, и SAP спира, защото някога Вася е искал този достъп, за да работи с действителния SAP.

Днес ще разкажа за решението VMware NSX, което помага да се прилагат точно определени политики за мрежова взаимодействие и сигурност без объркване в конфигурациите на фаервалите. Ще покажа какви нови функции са добавени в сравнение с предишните версии на VMware в тази сфера.

VMWare NSX е платформа за виртуализация и осигуряване на сигурността на мрежовите услуги. NSX решава задачи за маршрутизиране, свързване, баланс на натоварването, фаервал и може да направи много други интересни неща.

NSX е наследник на собствения продукт на VMware vCloud Networking and Security (vCNS) и придобития Nicira NVP.

От vCNS към NSX

По-рано при клиента в облака, построен на VMware vCloud, имаше отделна виртуална машина vCNS vShield Edge. Тя изпълняваше ролята на граничен шлюз, където можеше да се настройват множество мрежови функции: NAT, DHCP, фаервал, VPN, баланс на натоварването и др. vShield Edge ограничаваше взаимодействието на виртуалната машина с външния свят според правилата, написани в фаервала и NAT. Вътре в мрежата виртуалните машини общуваха свободно помежду си в рамките на подсистемите. Ако искате да разделяте и управлявате трафика, може да създадете отделна мрежа за различни части на приложения (различни виртуални машини) и да напишете в фаервала съответните правила за тяхното мрежово взаимодействие. Но това е дълго, сложно и неинтересно, особено когато имате десетки виртуални машини.

В NSX VMware реализира концепцията за микросегментация чрез разпределен фаервал (distributed firewall), вграден в ядрото на хипервизора. В него се задават политиките за сигурност и мрежово взаимодействие не само за IP и MAC адреси, но и за други обекти: виртуални машини, приложения. Ако NSX е разположен вътре в организацията, такива обекти могат да станат потребител или група потребители от Active Directory. Всеки такъв обект се превръща в микросегмент в своя контур на сигурност, в необходимата подсистема, със собствен уютен DMZ :).

По-рано, защитният периметър беше един за целия ресурсен пул, защитен от граничен комутатор, а с NSX можете да защитите отделна виртуална машина от ненужни взаимодействия дори в рамките на една мрежа.

Политиките за сигурност и мрежово взаимодействие се адаптират, ако обектът премине в друга мрежа. Например, ако прехвърлим машина с база данни в друг мрежов сегмент или дори в друг свързан виртуален дата-център, правилата, зададени за тази виртуална машина, ще продължат да важат независимо от новото й местоположение. Сървърът на приложенията все още ще може да взаимодейства с базата данни.

На мястото на самия граничен шлюз vCNS vShield Edge идва NSX Edge. Той разполага с целия „джентълменски комплект“ на стария Edge плюс няколко нови полезни функции. За тях ще стане дума по-нататък.

Какво ново има в NSX Edge?

Функционалността на NSX Edge зависи от редакцията NSX. Има общо пет: Standard, Professional, Advanced, Enterprise, Plus Remote Branch Office. Всичко ново и интересно може да се види само от Advanced нататък. Включително и новият интерфейс, който до окончателния преход на vCloud към HTML5 (VMware обещава лятото на 2019 г.) ще се отваря в нов таб.

Firewall. Като обекти, на които ще се прилагат правилата, можете да изберете IP адреси, мрежи, интерфейси на шлюза и виртуални машини.

DHCP. В допълнение към настройката на диапазона от IP адреси, които автоматично ще се предоставят на виртуалните машини в тази мрежа, в NSX Edge стана достъпна функционалност Връзка и Relay.

В таба Bindings може да се свърже MAC адрес на виртуална машина с IP адрес, ако е нужно IP адресът да остане същият. Важно е този IP адрес да не попада в DHCP Pool.

В таба Relay настройва ретранслиране на DHCP съобщения до DHCP сървъри, които се намират извън вашата организация в vCloud Director, включително и DHCP сървъри на физическата инфраструктура.

Маршрутиране. В vShield Edge можеше да се настройва само статично маршрутиране. Тук се появи динамично маршрутиране с поддръжка на протоколите OSPF и BGP. Също така станаха достъпни настройки на ECMP (Active-active), което означава и аварийно превключване тип „активен-активен“ на физическите маршрутизатори.

Настройка на OSPF

Настройка на BGP.

Още от новото – настройка на прехвърляне на маршрути между различни протоколи,
переразпределение на маршрути (route redistribution).

L4/L7 Балансировщик на натоварването. Появи се X-Forwarded-For за заглавието HTTPs. Без него всички плачеха. Например, имате сайт, който балансирате. Без прехвърляне на това заглавие всичко работи, но в статистиката на уеб сървъра вие виждали не IP адресите на посетителите, а IP адреса на балансировчика. Сега всичко е наред.

Също така в таб Applications Rules вече може да добавяте скриптове, които да управляват директно балансировката на трафика.

VPN. В допълнение към IPSec VPN, NSX Edge поддържа:

• L2 VPN, който позволява разширяване на мрежи между географски разнесени места. Този VPN е необходим, например, за да остане виртуалната машина в същата подмрежа и да запази IP адреса си при преместване на друго място.

• SSL VPN Plus, който позволява на потребителите да се свързват дистанционно с корпоративната мрежа. На ниво vSphere тази функция вече съществуваше, но за vCloud Director е новост.

SSL сертификати. На NSX Edge вече могат да се инсталират сертификати. Отново стигаме до въпроса, на кого му трябваше балансировчик без сертификат за https.

Групи на обекти (Grouping Objects). На този раздел се задават групи от обекти, за които ще действат определени правила за мрежово взаимодействие, например правила на защитната стена.

Тези обекти могат да бъдат IP и MAC адреси.

 


Тук също е посочен списък на услуги (комбинация протокол-порт) и приложения, които могат да се използват при съставянето на правила за защитната стена. Нови услуги и приложения може да добавя само администраторът на портала vCD.

 


Статистика. Статистика на връзките: трафикът, който преминава през шлюза, защитната стена и балансировчика.

Статус и статистика за всеки тунел IPSEC VPN и L2 VPN.

Логиране. В раздела Edge Settings можете да зададете сървър за запис на логовете. Логиране работи за DNAT/SNAT, DHCP, Firewall, маршрутизация, балансировщик, IPsec VPN, SSL VPN Plus.
 
За всеки обект/услуга са налични следните типове уведомления:

— Debug
— Alert
— Critical
— Error
— Warning
— Notice
— Info

Размери на NSX Edge

В зависимост от решаваните задачи и обемите VMware препоръчва създава NSX Edge с以下 размери:

NSX Edge
(Compact)

NSX Edge
(Large)

NSX Edge
(Quad-Large)

NSX Edge
(X-Large)

vCPU

1

2

4

6

Памет

512MB

1GB

1GB

8GB

Disk

512MB

512MB

512MB

4.5GB + 4GB

Приложение

Едно
приложение, тестово
датацентър

Небольшо
или средно
датацентър

натоварена
защитна стена

Балансиране
натоварвания на ниво L7

По-долу в таблицата – работни метрики на мрежовите услуги в зависимост от размера на NSX Edge.

NSX Edge
(Compact)

NSX Edge
(Large)

NSX Edge
(Quad-Large)

NSX Edge
(X-Large)

Интерфейси

10

10

10

10

Sub Interfaces (Trunk)

200

200

200

200

NAT Rules

2,048

4,096

4,096

8,192

ARP Entries
Until Overwrite

1,024

2,048

2,048

2,048

FW Rules

2000

2000

2000

2000

FW Performance

3Gbps

9.7Gbps

9.7Gbps

9.7Gbps

DHCP Pools

20,000

20,000

20,000

20,000

ECMP Paths

8

8

8

8

Статични маршрути

2,048

2,048

2,048

2,048

LB Pools

64

64

64

1,024

LB Виртуални сървъри

64

64

64

1,024

LB Сървър / Pool

32

32

32

32

LB Проверки на здравето

320

320

320

3,072

LB Правила на приложения

4,096

4,096

4,096

4,096

L2VPN Клиенти Hub to Spoke

5

5

5

5

L2VPN Мрежи на клиент/сървър

200

200

200

200

IPSec Тунели

512

1,600

4,096

6,000

SSLVPN Тунели

50

100

100

1,000

SSLVPN Частни мрежи

16

16

16

16

Паралелни сесии

64,000

1,000,000

1,000,000

1,000,000

Сесии/Секунда

8,000

50,000

50,000

50,000

LB Пропускателна способност L7 Proxy)

2.2Gbps

2.2Gbps

3Gbps

LB Пропускателна способност L4 Режим)

6Gbps

6Gbps

6Gbps

LB Връзки/s (L7 Proxy)

46,000

50,000

50,000

LB Паралелни връзки (L7 Proxy)

8,000

60,000

60,000

LB Връзки/s (L4 Режим)

50,000

50,000

50,000

LB Паралелни връзки (L4 Режим)

600,000

1,000,000

1,000,000

BGP Маршрути

20,000

50,000

250,000

250,000

BGP Съседни

10

20

100

100

BGP Маршрути на разпределение

Без ограничение

Без ограничение

Без ограничение

Без ограничение

OSPF Маршрути

20,000

50,000

100,000

100,000

OSPF LSA Записи Макс 750 Тип-1

20,000

50,000

100,000

100,000

OSPF Съседства

10

20

40

40

OSPF Маршрути на разпределение

2000

5000

20,000

20,000

Общо маршрути

20,000

50,000

250,000

250,000

→ Източник

От таблицата става ясно, че за продуктивни сценарии се препоръчва организиране на балансировката на NSX Edge, започвайки от размер Large.

До сега от мен всичко. В следващите части ще премина подробно през настройката на всяка мрежова услуга на NSX Edge.

Източник: habr.com