Wenn man die Konfiguration einer Firewall betrachtet, sieht man höchstwahrscheinlich ein Mosaik aus einer Vielzahl von IP-Adressen, Ports, Protokollen und Subnetzen. So werden klassischerweise Sicherheitsrichtlinien für den Zugriff der Benutzer auf Ressourcen umgesetzt. Zunächst bemüht man sich, Ordnung in der Konfiguration zu halten, doch dann wechseln Mitarbeiter von Abteilung zu Abteilung, Server vervielfältigen sich und ändern ihre Rollen, Zugriffe für verschiedene Projekte entstehen dort, wo sie normalerweise nicht erlaubt sind, und so entstehen Hunderte unbekannter Pfade.
Zu einigen Regeln, wenn man Glück hat, sind Kommentare wie „Wurde von Vasja angefordert“ oder „Das ist der Zugang zur DMZ“ vermerkt. Der Netzwerkadministrator verlässt das Unternehmen, und alles wird völlig unklar. Dann hat jemand beschlossen, die Konfiguration von Vasja zu bereinigen, und SAP ist ausgefallen, weil Vasja einst diesen Zugang für den Betrieb von produktivem SAP benötigt hat.
Heute werde ich über die Lösung VMware NSX sprechen, die dabei hilft, gezielt Richtlinien für die Netzwerkintegration und -sicherheit anzuwenden, ohne Verwirrung in den Firewall-Konfigurationen. Ich werde zeigen, welche neuen Funktionen im Vergleich zu dem, was VMware zuvor in diesem Bereich hatte, hinzugekommen sind.
VMWare NSX – die Plattform zur Virtualisierung und Sicherstellung von Netzwerkinfrastrukturen. NSX löst Aufgaben wie Routing, Switching, Lastverteilung, Firewall und bietet viele weitere interessante Funktionen.
NSX ist der Nachfolger des eigenen Produkts VMware vCloud Networking and Security (vCNS) sowie des übernommenen Nicira NVP.
Von vCNS zu NSX
Früher hatte der Kunde in der auf VMware vCloud basierenden Cloud eine separate virtuelle Maschine vCNS vShield Edge. Diese diente als Gateway, an dem zahlreiche Netzwerkfunktionen wie NAT, DHCP, Firewall, VPN, Lastverteilung usw. eingerichtet werden konnten. vShield Edge beschränkte die Interaktion der virtuellen Maschine mit der Außenwelt gemäß den im Firewall und NAT festgelegten Regeln. Innerhalb des Netzwerks kommunizierten die virtuellen Maschinen frei innerhalb der Subnetze. Wenn man den Datenverkehr wirklich trennen möchte, kann man ein separates Netzwerk für verschiedene Teile der Anwendungen (verschiedene virtuelle Maschinen) erstellen und die entsprechenden Regeln für ihr Netzwerkinteraktion im Firewall festlegen. Dies ist jedoch zeitaufwendig, kompliziert und wenig interessant, insbesondere wenn man mehrere Dutzend virtuelle Maschinen hat.
In NSX hat VMware das Konzept der Mikrosegmentierung durch eine verteilte Firewall implementiert, die im Kern des Hypervisors integriert ist. Darin werden Sicherheits- und Netzwerkinteraktionsrichtlinien nicht nur für IP- und MAC-Adressen, sondern auch für andere Objekte wie virtuelle Maschinen und Anwendungen festgelegt. Wenn NSX innerhalb einer Organisation bereitgestellt wird, können solche Objekte beispielsweise ein Benutzer oder eine Benutzergruppe aus Active Directory sein. Jedes dieser Objekte wird zu einem Mikrosegment in seinem eigenen Sicherheitsbereich, im gewünschten Subnetz, mit seiner eigenen gemütlichen DMZ :).
Früher gab es einen einzigen Sicherheitsperimeter für das gesamte Ressourcenset, der von einem Grenz-Switch geschützt wurde. Mit NSX ist es möglich, sogar innerhalb eines Netzwerks eine separate virtuelle Maschine vor unerwünschten Interaktionen abzugrenzen.
Sicherheits- und Netzwerkinteraktionen passen sich an, wenn ein Objekt in ein anderes Netzwerk wechselt. Wenn wir beispielsweise eine Datenbankmaschine in ein anderes Netzwerksegment oder sogar in ein anderes verbundenes virtuelles Rechenzentrum verschieben, bleiben die für diese virtuelle Maschine festgelegten Regeln unabhängig von ihrem neuen Standort weiterhin gültig. Der Anwendungsserver kann weiterhin mit der Datenbank interagieren.
Der vorherige Grenzgateway vCNS vShield Edge wurde durch NSX Edge ersetzt. Dieses bietet die gesamte Funktionalität des alten Edge sowie einige neue nützliche Funktionen. Darum wird es im Folgenden gehen.
Was ist neu bei NSX Edge?
Die Funktionalität von NSX Edge hängt von der NSX ab. Insgesamt gibt es fünf: Standard, Professional, Advanced, Enterprise, Plus Remote Branch Office. Neuheiten und interessante Funktionen sind erst ab Advanced verfügbar. Dazu gehört auch die neue Benutzeroberfläche, die bis zum vollständigen Wechsel von vCloud auf HTML5 (VMware verspricht Sommer 2019) in einem neuen Tab geöffnet wird.
Firewall. Als Objekte, auf die die Regeln angewendet werden, können IP-Adressen, Netzwerke, Gateway-Schnittstellen und virtuelle Maschinen ausgewählt werden.
DHCP. Neben der Konfiguration des IP-Adressbereichs, der automatisch an virtuelle Maschinen in diesem Netzwerk zugewiesen wird, stehen in NSX Edge neue Funktionen zur Verfügung. Bindung und Relay.
Im Tab Bindings Es ist möglich, die MAC-Adresse einer virtuellen Maschine an eine IP-Adresse zu binden, wenn die IP-Adresse nicht geändert werden soll. Wichtig ist, dass diese IP-Adresse nicht im DHCP-Pool enthalten ist.
Im Tab Relay Es wird die Weiterleitung von DHCP-Nachrichten an DHCP-Server, die außerhalb Ihrer Organisation in vCloud Director liegen, einschließlich DHCP-Server der physischen Infrastruktur, konfiguriert.
Routing. Bei vShield Edge konnte nur statisches Routing konfiguriert werden. Jetzt steht dynamisches Routing mit Unterstützung für die Protokolle OSPF und BGP zur Verfügung. Auch ECMP (Active-active) Einstellungen sind verfügbar, was ein Failover im aktiven aktiven Modus auf physische Router ermöglicht.
OSPF-Konfiguration
BGP-Konfiguration
Eine weitere Neuerung ist die Konfiguration der Weitergabe von Routen zwischen verschiedenen Protokollen.
Routenredistribution.
L4/L7 Lastenausgleich. X-Forwarded-For für den HTTPs-Header wurde eingeführt. Ohne ihn war alles problematisch. Zum Beispiel haben Sie eine Website, die Sie mit einem Load Balancer ausgleichen. Ohne diesen Header funktioniert alles, aber in den Statistiken des Webservers sehen Sie nicht die IPs der Besucher, sondern die IP des Load Balancers. Jetzt ist alles korrekt.
Im Reiter Application Rules können nun auch Skripte hinzugefügt werden, die direkt die Lastenverteilung des Traffics steuern.
VPN. Zusätzlich zu IPSec VPN unterstützt NSX Edge:
- L2 VPN, welches es ermöglicht, Netzwerke zwischen geografisch getrennten Standorten zu erweitern. Solch ein VPN ist notwendig, damit bei einem Umzug auf einen anderen Standort die virtuelle Maschine im selben Subnetz bleibt und ihre IP-Adresse behält.
- SSL VPN Plus, das es Benutzern ermöglicht, sich remote mit dem Unternehmensnetzwerk zu verbinden. Auf der Ebene von vSphere war diese Funktion vorhanden, für vCloud Director ist das jedoch neu.
SSL-Zertifikate. Auf NSX Edge können jetzt Zertifikate installiert werden. Das geht wieder um die Frage, wer einen Load Balancer ohne Zertifikat für https benötigte.
Objektgruppen (Grouping Objects). In diesem Reiter werden die Gruppen von Objekten definiert, für die bestimmte Regeln der Netzwerkinteraktion gelten, wie zum Beispiel Firewall-Regeln.
Diese Objekte können IP- und MAC-Adressen sein.
Hier wird auch eine Liste der Dienste (Protokoll-Port-Kombinationen) und Anwendungen angegeben, die beim Erstellen von Firewall-Regeln verwendet werden können. Neue Dienste und Anwendungen können nur vom Administrator des vCD-Portals hinzugefügt werden.
Statistik. Statistiken zu Verbindungen: Der Verkehr, der durch das Gateway, die Firewall und den Lastenausgleich läuft.
Status und Statistiken für jeden IPSEC VPN- und L2 VPN-Tunnel.
Protokollierung. Im Tab Edge Settings kann der Server für die Protokollierung festgelegt werden. Die Protokollierung funktioniert für DNAT/SNAT, DHCP, Firewall, Routing, Lastenausgleich, IPsec VPN, SSL VPN Plus.
Für jedes Objekt/Dienst sind die folgenden Alarmtypen verfügbar:
— Debug
— Alert
— Critical
— Error
— Warning
— Notice
— Info
Größen von NSX Edge
Abhängig von den Anforderungen und Volumina kann VMware NSX Edge der folgenden Größen erstellen:
NSX Edge
(Kompakt)
NSX Edge
(Groß)
NSX Edge
(Quad-Groß)
NSX Edge
(X-Groß)
vCPU
1
2
4
6
Speicher
512MB
1 GB
1 GB
8GB
Festplatte
512MB
512MB
512MB
4.5GB + 4GB
Zweck
Eine
Anwendung, Testanwendung
Rechenzentrum
Klein
oder mittelgroß
Rechenzentrum
Hochbelastete
Firewall
Lastverteilung
Lasten auf L7-Ebene
In der folgenden Tabelle sind die Betriebsmetriken der Netzwerkdienste je nach Größe von NSX Edge aufgeführt.
NSX Edge
(Kompakt)
NSX Edge
(Groß)
NSX Edge
(Quad-Groß)
NSX Edge
(X-Groß)
Schnittstellen
10
10
10
10
Sub-Interfaces (Trunk)
200
200
200
200
NAT-Regeln
2,048
4,096
4,096
8,192
ARP-Einträge
Bis zur Überschreibung
1,024
2,048
2,048
2,048
FW-Regeln
2000
2000
2000
2000
FW-Leistung
3Gbps
9.7Gbps
9.7Gbps
9.7Gbps
DHCP-Pools
20,000
20,000
20,000
20,000
ECMP-Pfade
8
8
8
8
Statische Routen
2,048
2,048
2,048
2,048
LB-Pools
64
64
64
1,024
LB-virtuelle Server
64
64
64
1,024
LB-Server/Pools
32
32
32
32
LB-Gesundheitsprüfungen
320
320
320
3,072
LB Anwendungsregeln
4,096
4,096
4,096
4,096
L2VPN Clients Hub zu Spoke
5
5
5
5
L2VPN Netzwerke pro Client/Server
200
200
200
200
IPSec Tunnel
512
1,600
4,096
6,000
SSLVPN Tunnel
50
100
100
1,000
SSLVPN Private Netzwerke
16
16
16
16
Gleichzeitige Sitzungen
64,000
1,000,000
1,000,000
1,000,000
Sitzungen/Sekunde
8,000
50,000
50,000
50,000
LB Durchsatz L7 Proxy
2,2 Gbps
2,2 Gbps
3Gbps
LB Durchsatz L4 Modus
6 Gbps
6 Gbps
6 Gbps
LB Verbindungen/s (L7 Proxy)
46,000
50,000
50,000
LB Gleichzeitige Verbindungen (L7 Proxy)
8,000
60,000
60,000
LB Verbindungen/s (L4 Modus)
50,000
50,000
50,000
LB Gleichzeitige Verbindungen (L4 Modus)
600,000
1,000,000
1,000,000
BGP Routen
20,000
50,000
250,000
250,000
BGP Nachbarn
10
20
100
100
BGP Routen redistribuiert
Keine Begrenzung
Keine Begrenzung
Keine Begrenzung
Keine Begrenzung
OSPF Routen
20,000
50,000
100,000
100,000
OSPF LSA Einträge max 750 Typ-1
20,000
50,000
100,000
100,000
OSPF Nachbarschaften
10
20
40
40
OSPF Routen redistribuiert
2000
5000
20,000
20,000
Gesamtanzahl der Routen
20,000
50,000
250,000
250,000
→
Aus der Tabelle ist ersichtlich, dass die Lastverteilung auf NSX Edge für produktive Szenarien erst ab der Größenordnung Large empfohlen wird.
Für heute habe ich alles. In den nächsten Teilen werde ich detailliert auf die Konfiguration jeder Netzwerkanwendung auf NSX Edge eingehen.
Quelle: habr.com
