Po krátké přestávce se vracíme k NSX. Dnes vám ukážu, jak nastavit NAT a Firewall.
Na záložce Správa přejděte do vašeho virtuálního datacentra – Cloud Resources – Virtuální datacentra.
Vyberte záložku Edge Gateways a klikněte pravým tlačítkem na požadovaný NSX Edge. V zobrazené nabídce vyberte možnost Edge Gateway Services. Ovládací pane NSX Edge se otevře v samostatné záložce.
Nastavení pravidel Firewall
Ve výchozím nastavení je v položce default rule for ingress traffic vybrána možnost Deny, tj. Firewall bude blokovat veškerý provoz.
Chcete-li přidat nové pravidlo, klikněte na +. Objeví se nový záznam s názvem New rule. Upravte její pole podle vašich požadavků.
V poli Název zadejte název pravidla, například Internet.
V poli Source zadejte potřebné adresy zdroje. Pomocí tlačítka IP můžete zadat jednotlivou IP adresu, rozsah IP adres, CIDR.
Pomocí tlačítka + můžete zadat další objekty:
- Gateway interfaces. Všechny vnitřní sítě (Internal), všechny vnější sítě (External) nebo Jakýkoli.
- Virtuální stroje. Přiřazujeme pravidla k určitému virtuálnímu stroji.
- OrgVdcNetworks. Sítě na úrovni organizace.
- IP Sets. Předem vytvořená uživatelská skupina IP adres (vytváří se v Grouping object).
V poli Destination uveďte adresu příjemce. Zde platí stejné možnosti jako v poli Source.
V poli Služba můžete vybrat nebo zadat ručně port příjemce (Destination Port), potřebný protokol (Protocol), port odesílatele (Source Port). Klikněte na Keep.
V poli Akce vyberte požadovanou akci: povolit průchod provozu, který odpovídá tomuto pravidlu, nebo zakázat.
Aplikujeme zadanou konfiguraci výběrem položky Save changes.
Příklady pravidel
Pravidlo 1 pro Firewall (Internet) umožňuje přístup na Internet pro server s IP 192.168.1.10 přes jakékoliv protokoly.
Pravidlo 2 pro Firewall (Web-server) umožňuje přístup z Internetu (TCP protokol, port 80) přes vaši externí adresu. V tomto případě – 185.148.83.16:80.
Nastavení NAT
NAT (překlad síťových adres) – převod privátních (šedých) IP adres na externí (bílé) a naopak. Díky tomuto procesu má virtuální stroj přístup na Internet. Pro nastavení tohoto mechanismu je třeba nastavit pravidla SNAT a DNAT.
Důležité! NAT funguje pouze při zapnutém Firewallu a nastavených odpovídajících povolujících pravidlech.
Vytvoření pravidla SNAT. SNAT (překlad adresy síťového zdroje) – mechanismus, jehož podstatou je změna adresy zdroje při přenosu paketu.
Nejprve je třeba zjistit dostupnou externí IP adresu nebo rozsah IP adres. K tomu přejděte do sekce Správa a dvakrát klikněte na virtuální datové centrum. V zobrazeném menu nastavení přejděte na kartu Edge Gateways. Vyberte požadovaný NSX Edge a klikněte na něj pravým tlačítkem myši. Vyberte možnost Vlastnosti.
V zobrazeném okně na kartě Sub-Allocate IP Pools můžete vidět externí IP adresu nebo rozsah IP adres. Zapište si jej nebo si jej zapamatujte.
Dále klikněte na NSX Edge pravým tlačítkem myši. V zobrazeném menu vyberte možnost Edge Gateway Services. A jsme zase v administrativním panelu. NSX Edge.
V zobrazeném okně otevřete kartu NAT a klikněte na Přidat SNAT.
V novém okně zadejte:
- do pole Aplikováno na – externí síť (ne síť úrovně organizace!);
- Původní zdrojová IP/adresa – vnitřní rozsah adres, například 192.168.1.0/24;
- Přeložená zdrojová IP/adresa – externí adresa, přes kterou bude probíhat přístup na internet a kterou jste si prohlédli na kartě Sub-Allocate IP Pools.
Klikněte na Udržet.
Vytváření pravidla DNAT. DNAT – mechanismus, který mění cílovou adresu paketu, stejně jako cílový port. Používá se k přesměrování příchozích paketů z externí adresy/portu na soukromou IP adresu/port uvnitř soukromé sítě.
Vyberte kartu NAT a klikněte na Přidat DNAT.
V zobrazeném okně uveďte:
— do pole Aplikováno na – externí síť (ne síť úrovně organizace!);
— Původní IP/adresa – externí adresa (adresa z karty Sub-Allocate IP Pools);
— Protokol – protokol;
— Původní port – port pro externí adresu;
— Přeložená IP/adresa – vnitřní IP adresa, například 192.168.1.10
— Přeložený port – port pro vnitřní adresu, na který bude přeložen port externí adresy.
Klikněte na Udržet.
Aplikujeme zadanou konfiguraci výběrem položky Save changes.
Hotovo.
Dále na řadě je instrukce pro DHCP, včetně nastavení DHCP Bindings a Relay.
Zdroj: habr.com
