{"id":30009,"date":"2019-10-31T21:33:10","date_gmt":"2019-10-31T18:33:10","guid":{"rendered":"https:\/\/prohoster.info\/blog\/vmware-nsx-dlya-samyh-malenkih-chast-1\/"},"modified":"2019-10-31T21:33:10","modified_gmt":"2019-10-31T18:33:10","slug":"vmware-nsx-dlya-samyh-malenkih-chast-1","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/vmware-nsx-dlya-samyh-malenkih-chast-1","title":{"rendered":"VMware NSX for de mindste. Del 1","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"VMware
\n
\nHvis man ser p\u00e5 konfigurationen af enhver firewall, vil vi sandsynligvis se et v\u00e6ld af IP-adresser, porte, protokoller og undernet. S\u00e5dan implementeres politikker for netv\u00e6rkssikkerhed klassisk for brugernes adgang til ressourcer. F\u00f8rst pr\u00f8ver man at holde orden i konfigurationen, men derefter begynder medarbejdere at flytte fra afdeling til afdeling, servere at formere sig og \u00e6ndre deres roller, der opst\u00e5r adgang til forskellige projekter, hvor de normalt ikke m\u00e5tte have adgang, og der opst\u00e5r hundrede ukendte stier.<\/p>\n

Om nogle regler, hvis man er heldig, er der skrevet kommentarer som \"Badet om at f\u00e5 det gjort af Vasja\" eller \"Dette er en passage i DMZ\". Netv\u00e6rksadministratoren forlader firmaet, og alt bliver helt uforst\u00e5eligt. S\u00e5 beslutter nogen at rydde op i konfigurationen fra Vasja, og SAP falder, fordi Vasja engang bad om denne adgang til at arbejde med produktions-SAP.<\/p>\n

\"VMware
\n
\nI dag vil jeg tale om VMware NSX-l\u00f8sningen, som hj\u00e6lper med pr\u00e6cist at anvende politikker for netv\u00e6rksinteraktion og sikkerhed uden kaos i firewallkonfigurationerne. Jeg vil vise, hvilke nye funktioner der er kommet i forhold til det, der tidligere var tilg\u00e6ngeligt hos VMware p\u00e5 dette omr\u00e5de. <\/a><\/noindex><\/p>\n

VMware NSX er en platform til virtualisering og sikring af netv\u00e6rkstjenester. NSX l\u00f8ser opgaver i forbindelse med routing, switching, belastningsbalancering, firewall og kan en masse andet sp\u00e6ndende. <\/p>\n

NSX er efterf\u00f8lgeren til VMware's eget produkt vCloud Networking and Security (vCNS) og det opk\u00f8bte Nicira NVP.<\/p>\n

Fra vCNS til NSX<\/h3>\n

\nTidligere havde kunden i skyen bygget p\u00e5 VMware vCloud en separat virtuel maskine, vCNS vShield Edge. Den fungerede som en gr\u00e6nsegateway, hvor man kunne konfigurere mange netv\u00e6rksfunktioner: NAT, DHCP, Firewall, VPN, belastningsbalancer og mere. vShield Edge begr\u00e6nsede interaktionen med den virtuelle maskine mod omverdenen i henhold til de regler, der var beskrevet i firewall og NAT. Inden for netv\u00e6rket kunne de virtuelle maskiner kommunikere frit med hinanden inden for undernettene. Hvis man virkelig \u00f8nsker at separere og styre trafikken, kan man oprette et separat netv\u00e6rk til forskellige dele af applikationerne (forskellige virtuelle maskiner) og angive de relevante regler for deres netv\u00e6rksinteraktion i firewallen. Men det er langvarigt, kompliceret og ikke interessant, is\u00e6r n\u00e5r man har flere dusin virtuelle maskiner.<\/p>\n

I NSX har VMware implementeret konceptet for mikrosegregering ved hj\u00e6lp af en distribueret firewall, der er indbygget i hypervisorens kerne. I den defineres sikkerheds- og netv\u00e6rkspolitikker ikke kun for IP- og MAC-adresser, men ogs\u00e5 for andre objekter: virtuelle maskiner, applikationer. Hvis NSX implementeres inden for organisationen, kan s\u00e5danne objekter v\u00e6re brugere eller brugergrupper fra Active Directory. Hver s\u00e5dan objekt bliver til en mikrosegregering i sin egen sikkerhedskontekst, i det \u00f8nskede subnet, med sin hyggelige DMZ :); <\/p>\n

\"VMware
\nTidligere var sikkerhedsperimeteren \u00e9n for hele ressourcestakken, beskyttet af en gr\u00e6nsekommutator, men med NSX kan man adskille en enkelt virtuel maskine fra un\u00f8dvendige interaktioner, selv inden for samme netv\u00e6rk. <\/i><\/p>\n

Sikkerheds- og netv\u00e6rkspolitikkerne tilpasses, hvis objektet flytter til et andet netv\u00e6rk. For eksempel, hvis vi flytter en database-maskine til et andet netv\u00e6rkssegment eller endda til et andet tilknyttet virtuelt datacenter, vil de regler, der er defineret for denne virtuelle maskine, forts\u00e6tte med at g\u00e6lde uanset dens nye placering. Applikationsserveren vil stadig kunne interagere med databasen.<\/p>\n

Den gamle gr\u00e6nsegateway vCNS vShield Edge er blevet afl\u00f8st af NSX Edge. Den har hele det velkendte udvalg fra den gamle Edge plus flere nye nyttige funktioner. Mere om dette vil blive diskuteret nedenfor.<\/p>\n

Hvad er nyt i NSX Edge?<\/h3>\n

\nFunktionaliteten af NSX Edge afh\u00e6nger af udgaven<\/a><\/noindex> af NSX. Der findes fem udgaver: Standard, Professional, Advanced, Enterprise, Plus Remote Branch Office. Alt det nye og interessante kan kun ses fra Advanced og frem. Inklusive den nye gr\u00e6nseflade, som indtil den fulde overgang til vCloud p\u00e5 HTML5 (VMware lover sommeren 2019) \u00e5bnes i et nyt faneblad.<\/p>\n

Firewall.<\/b> Som objekter, som reglerne g\u00e6lder for, kan man v\u00e6lge IP-adresser, netv\u00e6rk, gateway-interface og virtuelle maskiner. <\/p>\n

\"VMware
\n
\n\"VMware
\n
\nDHCP.<\/b> Udover indstillingen af IP-adresseomr\u00e5der, der automatisk vil blive tildelt virtuelle maskiner i dette netv\u00e6rk, er funktionerne i NSX Edge blevet udvidet med Binding<\/b> og Relay<\/b>.<\/p>\n

In the tab Bindings<\/b> du kan knytte MAC-adressen til en virtuel maskine til en IP-adresse for at sikre, at IP-adressen ikke \u00e6ndres. Det vigtigste er, at denne IP-adresse ikke er en del af DHCP Pool.<\/p>\n

\"VMware
\n
\nIn the tab Relay<\/b> DHCP-beskeder bliver konfigureret til at blive retransmitteret til DHCP-servere, der ligger uden for din organisation i vCloud Director, herunder DHCP-servere i den fysiske infrastruktur. <\/p>\n

\"VMware
\n
\nRouting.<\/b> I vShield Edge kunne man kun konfigurere statisk routing. Her er der nu blevet introduceret dynamisk routing med underst\u00f8ttelse af OSPF- og BGP-protokoller. Der er ogs\u00e5 blevet tilg\u00e6ngelige indstillinger for ECMP (Active-active), hvilket muligg\u00f8r failover i en 'aktiv-aktiv' konfiguration til fysiske routere.<\/p>\n

\"VMware
\nKonfiguration af OSPF.<\/i><\/p>\n

\"VMware
\nBGP ops\u00e6tning<\/i><\/p>\n

En anden nyhed er konfigurationen af rutenedtagning mellem forskellige protokoller,
\nrutenedtagning (route redistribution). <\/p>\n

\"VMware
\n
\nL4\/L7 Load Balancer.<\/b> Der er nu X-Forwarded-For til HTTPs-headeren. Uden det har alle klaget. For eksempel, hvis du har en hjemmeside, som du balancerer. Uden at sende denne header, fungerer alt, men i statistik for webserveren s\u00e5 du ikke IP-adresserne p\u00e5 bes\u00f8gende, men IP-adressen p\u00e5 balanceringssystemet. Nu fungerer det korrekt. <\/p>\n

Desuden kan der nu tilf\u00f8jes scripts i fanen Application Rules, som vil styre trafikbalanceringen direkte.<\/p>\n

\"VMware
\n
\nVPN. <\/b>Udover IPSec VPN underst\u00f8tter NSX Edge:<\/p>\n