ছোটদের জন্য VMware NSX. অংশ 1

আপনি যদি কোনো ফায়ারওয়ালের কনফিগারেশন দেখেন, তাহলে সম্ভবত আমরা আইপি অ্যাড্রেস, পোর্ট, প্রোটোকল এবং সাবনেটের গুচ্ছ সহ একটি শীট দেখতে পাব। এইভাবে সংস্থানগুলিতে ব্যবহারকারীর অ্যাক্সেসের জন্য নেটওয়ার্ক সুরক্ষা নীতিগুলি ক্লাসিকভাবে প্রয়োগ করা হয়। প্রথমে তারা কনফিগারেশনে শৃঙ্খলা বজায় রাখার চেষ্টা করে, কিন্তু তারপরে কর্মচারীরা বিভাগ থেকে বিভাগে যেতে শুরু করে, সার্ভারগুলি সংখ্যাবৃদ্ধি করে এবং তাদের ভূমিকা পরিবর্তন করে, বিভিন্ন প্রকল্পের অ্যাক্সেস প্রদর্শিত হয় যেখানে তাদের সাধারণত অনুমতি দেওয়া হয় না এবং শত শত অজানা ছাগলের পথ বেরিয়ে আসে।

কিছু নিয়মের পাশে, আপনি যদি ভাগ্যবান হন তবে মন্তব্য রয়েছে "ভাস্যা আমাকে এটি করতে বলেছে" বা "এটি ডিএমজেডের একটি উত্তরণ।" নেটওয়ার্ক প্রশাসক প্রস্থান করে, এবং সবকিছু সম্পূর্ণরূপে অস্পষ্ট হয়ে যায়। তারপরে কেউ Vasya এর কনফিগারেশন সাফ করার সিদ্ধান্ত নিয়েছে, এবং SAP ক্র্যাশ করেছে, কারণ Vasya একবার যুদ্ধ SAP চালানোর জন্য এই অ্যাক্সেসের জন্য বলেছিল।

আজ আমি VMware NSX সমাধান সম্পর্কে কথা বলব, যা ফায়ারওয়াল কনফিগারেশনে বিভ্রান্তি ছাড়াই নেটওয়ার্ক যোগাযোগ এবং নিরাপত্তা নীতিগুলি সঠিকভাবে প্রয়োগ করতে সাহায্য করে। এই অংশে ভিএমওয়্যারের আগে যা ছিল তার তুলনায় আমি আপনাকে দেখাব কী নতুন বৈশিষ্ট্য উপস্থিত হয়েছে।

VMWare NSX হল নেটওয়ার্ক পরিষেবাগুলির জন্য একটি ভার্চুয়ালাইজেশন এবং নিরাপত্তা প্ল্যাটফর্ম৷ NSX রাউটিং, সুইচিং, লোড ব্যালেন্সিং, ফায়ারওয়ালের সমস্যা সমাধান করে এবং অন্যান্য অনেক আকর্ষণীয় জিনিস করতে পারে।

NSX হল VMware-এর নিজস্ব vCloud Networking and Security (vCNS) পণ্য এবং অর্জিত নিসিরা NVP-এর উত্তরসূরী।

vCNS থেকে NSX পর্যন্ত

পূর্বে, একটি ক্লায়েন্টের VMware vCloud-এ নির্মিত একটি ক্লাউডে একটি পৃথক vCNS vShield Edge ভার্চুয়াল মেশিন ছিল। এটি একটি বর্ডার গেটওয়ে হিসাবে কাজ করে, যেখানে অনেকগুলি নেটওয়ার্ক ফাংশন কনফিগার করা সম্ভব ছিল: NAT, DHCP, ফায়ারওয়াল, VPN, লোড ব্যালেন্সার ইত্যাদি। ফায়ারওয়াল এবং NAT। নেটওয়ার্কের মধ্যে, ভার্চুয়াল মেশিনগুলি সাবনেটের মধ্যে অবাধে একে অপরের সাথে যোগাযোগ করে। আপনি যদি সত্যিই ট্র্যাফিককে ভাগ করতে এবং জয় করতে চান তবে আপনি অ্যাপ্লিকেশনগুলির পৃথক অংশের জন্য একটি পৃথক নেটওয়ার্ক তৈরি করতে পারেন (ভিন্ন ভার্চুয়াল মেশিন) এবং ফায়ারওয়ালে তাদের নেটওয়ার্ক মিথস্ক্রিয়া জন্য উপযুক্ত নিয়ম সেট করতে পারেন। কিন্তু এটি দীর্ঘ, কঠিন এবং অরুচিকর, বিশেষ করে যখন আপনার কাছে কয়েক ডজন ভার্চুয়াল মেশিন থাকে।

এনএসএক্স-এ, ভিএমওয়্যার হাইপারভাইজার কার্নেলে নির্মিত একটি বিতরণকৃত ফায়ারওয়াল ব্যবহার করে মাইক্রো-সেগমেন্টেশনের ধারণাটি বাস্তবায়ন করেছে। এটি শুধুমাত্র IP এবং MAC ঠিকানাগুলির জন্য নয়, অন্যান্য বস্তুগুলির জন্য নিরাপত্তা এবং নেটওয়ার্ক মিথস্ক্রিয়া নীতিগুলি নির্দিষ্ট করে: ভার্চুয়াল মেশিন, অ্যাপ্লিকেশন৷ যদি NSX একটি প্রতিষ্ঠানের মধ্যে স্থাপন করা হয়, এই বস্তুগুলি সক্রিয় ডিরেক্টরি থেকে ব্যবহারকারী বা ব্যবহারকারীদের গ্রুপ হতে পারে। এই জাতীয় প্রতিটি বস্তু তার নিজস্ব নিরাপত্তা লুপে, প্রয়োজনীয় সাবনেটে, নিজস্ব আরামদায়ক DMZ সহ একটি মাইক্রোসেগমেন্টে পরিণত হয় :)।

পূর্বে, সম্পদের সম্পূর্ণ পুলের জন্য শুধুমাত্র একটি নিরাপত্তা পরিধি ছিল, একটি প্রান্ত সুইচ দ্বারা সুরক্ষিত, কিন্তু NSX এর সাহায্যে আপনি একটি পৃথক ভার্চুয়াল মেশিনকে অপ্রয়োজনীয় মিথস্ক্রিয়া থেকে রক্ষা করতে পারেন, এমনকি একই নেটওয়ার্কের মধ্যেও।

নিরাপত্তা এবং নেটওয়ার্কিং নীতিগুলি খাপ খায় যদি একটি সত্তা একটি ভিন্ন নেটওয়ার্কে চলে যায়। উদাহরণস্বরূপ, যদি আমরা একটি ডাটাবেস সহ একটি মেশিনকে অন্য নেটওয়ার্ক বিভাগে বা এমনকি অন্য সংযুক্ত ভার্চুয়াল ডেটা সেন্টারে স্থানান্তরিত করি, তাহলে এই ভার্চুয়াল মেশিনের জন্য লিখিত নিয়মগুলি তার নতুন অবস্থান নির্বিশেষে প্রযোজ্য হবে৷ অ্যাপ্লিকেশন সার্ভার এখনও ডাটাবেসের সাথে যোগাযোগ করতে সক্ষম হবে।

এজ গেটওয়ে নিজেই, vCNS vShield Edge, NSX Edge দ্বারা প্রতিস্থাপিত হয়েছে। এটিতে পুরানো এজের সমস্ত ভদ্রতাপূর্ণ বৈশিষ্ট্য রয়েছে, পাশাপাশি কয়েকটি নতুন দরকারী বৈশিষ্ট্য রয়েছে। আমরা তাদের সম্পর্কে আরও কথা বলব।

NSX এজ এর সাথে নতুন কি আছে?

NSX এজ কার্যকারিতা নির্ভর করে সংস্করণ এনএসএক্স। তাদের মধ্যে পাঁচটি রয়েছে: স্ট্যান্ডার্ড, প্রফেশনাল, অ্যাডভান্সড, এন্টারপ্রাইজ, প্লাস রিমোট ব্রাঞ্চ অফিস। নতুন এবং আকর্ষণীয় সবকিছু শুধুমাত্র অ্যাডভান্সড দিয়ে শুরু করে দেখা যায়। একটি নতুন ইন্টারফেস সহ, যেটি vCloud সম্পূর্ণরূপে HTML5 এ স্যুইচ না হওয়া পর্যন্ত (VMware গ্রীষ্ম 2019 এর প্রতিশ্রুতি দেয়), একটি নতুন ট্যাবে খোলে।

ফায়ারওয়াল আপনি আইপি ঠিকানা, নেটওয়ার্ক, গেটওয়ে ইন্টারফেস এবং ভার্চুয়াল মেশিনগুলিকে বস্তু হিসাবে নির্বাচন করতে পারেন যেখানে নিয়মগুলি প্রয়োগ করা হবে৷

ডিএইচসিপি। এই নেটওয়ার্কের ভার্চুয়াল মেশিনে স্বয়ংক্রিয়ভাবে জারি করা IP ঠিকানাগুলির পরিসর কনফিগার করার পাশাপাশি, NSX Edge-এর এখন নিম্নলিখিত ফাংশন রয়েছে: বাঁধাই и রিলেই.

ট্যাবে বাঁধাই আপনি একটি ভার্চুয়াল মেশিনের MAC ঠিকানাটিকে একটি IP ঠিকানার সাথে আবদ্ধ করতে পারেন যদি আপনার IP ঠিকানা পরিবর্তন না করার প্রয়োজন হয়। মূল বিষয় হল এই আইপি ঠিকানাটি DHCP পুলে অন্তর্ভুক্ত নয়।

ট্যাবে রিলেই DHCP বার্তাগুলির রিলে ভৌত অবকাঠামোর DHCP সার্ভার সহ vCloud ডিরেক্টরে আপনার সংস্থার বাইরে অবস্থিত DHCP সার্ভারগুলিতে কনফিগার করা হয়েছে।

রাউটিং। vShield Edge শুধুমাত্র স্ট্যাটিক রাউটিং কনফিগার করতে পারে। OSPF এবং BGP প্রোটোকলের সমর্থন সহ গতিশীল রাউটিং এখানে উপস্থিত হয়েছে। ECMP (সক্রিয়-সক্রিয়) সেটিংসও উপলব্ধ হয়ে গেছে, যার অর্থ শারীরিক রাউটারগুলিতে সক্রিয়-সক্রিয় ব্যর্থতা।

OSPF সেট আপ করা হচ্ছে

বিজিপি স্থাপন

আরেকটি নতুন জিনিস হল বিভিন্ন প্রোটোকলের মধ্যে রুট স্থানান্তর স্থাপন করা,
রুট পুনর্বন্টন।

L4/L7 লোড ব্যালেন্সার। HTTPs হেডারের জন্য X-Forwarded-For চালু করা হয়েছিল। তাকে ছাড়া সবাই কেঁদেছে। উদাহরণস্বরূপ, আপনার একটি ওয়েবসাইট আছে যা আপনি ব্যালেন্স করছেন। এই শিরোনামটি ফরোয়ার্ড না করে, সবকিছুই কাজ করে, তবে ওয়েব সার্ভারের পরিসংখ্যানে আপনি দর্শকদের আইপি নয়, ব্যালেন্সারের আইপি দেখেছেন। এখন সবকিছু ঠিক আছে।

এছাড়াও অ্যাপ্লিকেশন নিয়ম ট্যাবে আপনি এখন স্ক্রিপ্ট যোগ করতে পারেন যা সরাসরি ট্রাফিক ভারসাম্য নিয়ন্ত্রণ করবে।

VPN এর। IPSec VPN ছাড়াও, NSX Edge সমর্থন করে:

• L2 VPN, যা আপনাকে ভৌগলিকভাবে বিচ্ছুরিত সাইটগুলির মধ্যে নেটওয়ার্ক প্রসারিত করতে দেয়। যেমন একটি ভিপিএন প্রয়োজন, উদাহরণস্বরূপ, যাতে অন্য সাইটে যাওয়ার সময়, ভার্চুয়াল মেশিনটি একই সাবনেটে থাকে এবং তার আইপি ঠিকানা ধরে রাখে।

• SSL VPN প্লাস, যা ব্যবহারকারীদের একটি কর্পোরেট নেটওয়ার্কে দূর থেকে সংযোগ করতে দেয়। vSphere স্তরে এই ধরনের একটি ফাংশন ছিল, কিন্তু vCloud পরিচালকের জন্য এটি একটি উদ্ভাবন।

SSL সার্টিফিকেট। শংসাপত্রগুলি এখন NSX প্রান্তে ইনস্টল করা যেতে পারে৷ এটি আবার প্রশ্ন আসে যে কার https এর জন্য একটি শংসাপত্র ছাড়া ব্যালেন্সার প্রয়োজন।

গ্রুপিং অবজেক্ট। এই ট্যাবে, বস্তুর গোষ্ঠী নির্দিষ্ট করা হয়েছে যার জন্য নির্দিষ্ট নেটওয়ার্ক ইন্টারঅ্যাকশন নিয়ম প্রযোজ্য হবে, উদাহরণস্বরূপ, ফায়ারওয়াল নিয়ম।

এই বস্তু আইপি এবং MAC ঠিকানা হতে পারে.

 


এছাড়াও পরিষেবাগুলির একটি তালিকা রয়েছে (প্রটোকল-পোর্ট সংমিশ্রণ) এবং অ্যাপ্লিকেশন যা ফায়ারওয়াল নিয়ম তৈরি করার সময় ব্যবহার করা যেতে পারে। শুধুমাত্র ভিসিডি পোর্টাল অ্যাডমিনিস্ট্রেটর নতুন পরিষেবা এবং অ্যাপ্লিকেশন যোগ করতে পারেন।

 


পরিসংখ্যান। সংযোগ পরিসংখ্যান: ট্র্যাফিক যা গেটওয়ে, ফায়ারওয়াল এবং ব্যালেন্সারের মধ্য দিয়ে যায়।

প্রতিটি IPSEC VPN এবং L2 VPN টানেলের জন্য স্থিতি এবং পরিসংখ্যান।

লগিং। এজ সেটিংস ট্যাবে, আপনি লগ রেকর্ড করার জন্য সার্ভার সেট করতে পারেন। লগিং DNAT/SNAT, DHCP, ফায়ারওয়াল, রাউটিং, ব্যালেন্সার, IPsec VPN, SSL VPN প্লাসের জন্য কাজ করে।
 
নিম্নলিখিত ধরনের সতর্কতা প্রতিটি বস্তু/পরিষেবার জন্য উপলব্ধ:

— ডিবাগ
-সতর্ক
- সমালোচনামূলক
- ত্রুটি
- সতর্কবাণী
- লক্ষ্য করুন
- তথ্য

NSX প্রান্ত মাত্রা

সমাধান করা কাজ এবং VMware এর ভলিউমের উপর নির্ভর করে বিশেষ পরামর্শ দেওয়া হচ্ছে নিম্নলিখিত আকারে NSX এজ তৈরি করুন:

এনএসএক্স এজ
(কম্প্যাক্ট)

এনএসএক্স এজ
(বড়)

এনএসএক্স এজ
(চতুষ্কোণ-বড়)

এনএসএক্স এজ
(X-বড়)

vCPU

1

2

4

6

স্মৃতি

512MB

1GB

1GB

8GB

ডিস্ক

512MB

512MB

512MB

4.5GB + 4GB

এপয়েন্টমেন্ট

এক
আবেদন, পরীক্ষা
তথ্য কেন্দ্র

একটি ছোট
বা গড়
তথ্য কেন্দ্র

লোড করা হয়েছে
ফায়ারওয়াল

ব্যালান্সিং
লেভেল L7 এ লোড হয়

নীচে টেবিলে NSX এজ এর আকারের উপর নির্ভর করে নেটওয়ার্ক পরিষেবাগুলির অপারেটিং মেট্রিক্স রয়েছে৷

এনএসএক্স এজ
(কম্প্যাক্ট)

এনএসএক্স এজ
(বড়)

এনএসএক্স এজ
(চতুষ্কোণ-বড়)

এনএসএক্স এজ
(X-বড়)

ইন্টারফেস

10

10

10

10

সাব ইন্টারফেস (ট্রাঙ্ক)

200

200

200

200

NAT নিয়ম

2,048

4,096

4,096

8,192

এআরপি এন্ট্রি
ওভাররাইট না হওয়া পর্যন্ত

1,024

2,048

2,048

2,048

FW নিয়ম

2000

2000

2000

2000

FW পারফরম্যান্স

3Gbps

9.7Gbps

9.7Gbps

9.7Gbps

DHCP পুল

20,000

20,000

20,000

20,000

ECMP পাথ

8

8

8

8

স্ট্যাটিক রুট

2,048

2,048

2,048

2,048

এলবি পুল

64

64

64

1,024

LB ভার্চুয়াল সার্ভার

64

64

64

1,024

এলবি সার্ভার/পুল

32

32

32

32

এলবি স্বাস্থ্য পরীক্ষা

320

320

320

3,072

এলবি আবেদনের নিয়ম

4,096

4,096

4,096

4,096

L2VPN ক্লায়েন্ট হাব টু স্পোক

5

5

5

5

ক্লায়েন্ট/সার্ভার প্রতি L2VPN নেটওয়ার্ক

200

200

200

200

IPSec টানেল

512

1,600

4,096

6,000

SSLVPN টানেল

50

100

100

1,000

SSLVPN প্রাইভেট নেটওয়ার্ক

16

16

16

16

সমবর্তী অধিবেশন

64,000

1,000,000

1,000,000

1,000,000

সেশন/সেকেন্ড

8,000

50,000

50,000

50,000

LB থ্রুপুট L7 প্রক্সি)

2.2Gbps

2.2Gbps

3Gbps

LB থ্রুপুট L4 মোড)

6Gbps

6Gbps

6Gbps

LB সংযোগ/s (L7 প্রক্সি)

46,000

50,000

50,000

LB সমবর্তী সংযোগ (L7 প্রক্সি)

8,000

60,000

60,000

LB সংযোগ/s (L4 মোড)

50,000

50,000

50,000

LB সমবর্তী সংযোগ (L4 মোড)

600,000

1,000,000

1,000,000

বিজিপি রুট

20,000

50,000

250,000

250,000

বিজিপি প্রতিবেশী

10

20

100

100

BGP রুট পুনরায় বিতরণ করা হয়েছে

সীমাহীন

সীমাহীন

সীমাহীন

সীমাহীন

ওএসপিএফ রুট

20,000

50,000

100,000

100,000

OSPF LSA এন্ট্রি সর্বোচ্চ 750 Type-1

20,000

50,000

100,000

100,000

ওএসপিএফ সংলগ্ন

10

20

40

40

OSPF রুট পুনরায় বিতরণ করা হয়েছে

2000

5000

20,000

20,000

মোট রুট

20,000

50,000

250,000

250,000

→ উৎস

টেবিলটি দেখায় যে শুধুমাত্র বড় আকার থেকে শুরু করে উৎপাদনশীল পরিস্থিতির জন্য NSX প্রান্তে ভারসাম্য সংগঠিত করার সুপারিশ করা হয়।

আমি আজকের জন্য যে সব আছে. নিম্নলিখিত অংশে আমি প্রতিটি NSX এজ নেটওয়ার্ক পরিষেবা কীভাবে কনফিগার করতে হয় তা বিস্তারিতভাবে দেখব।

উত্স: www.habr.com