{"id":30009,"date":"2019-10-31T21:33:10","date_gmt":"2019-10-31T18:33:10","guid":{"rendered":"https:\/\/prohoster.info\/blog\/vmware-nsx-dlya-samyh-malenkih-chast-1\/"},"modified":"2019-10-31T21:33:10","modified_gmt":"2019-10-31T18:33:10","slug":"vmware-nsx-dlya-samyh-malenkih-chast-1","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/vmware-nsx-dlya-samyh-malenkih-chast-1","title":{"rendered":"VMware NSX f\u00fcr die Kleinsten. Teil 1","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"VMware
\n
\nWenn man die Konfiguration einer Firewall betrachtet, sieht man wahrscheinlich ein Dokument voller IP-Adressen, Ports, Protokollen und Subnetzen. So werden klassisch Sicherheitsrichtlinien f\u00fcr den Benutzereinstieg zu Ressourcen implementiert. Zun\u00e4chst versucht man, in der Konfiguration Ordnung zu halten, aber dann beginnen die Mitarbeiter, von Abteilung zu Abteilung zu wechseln, Server vervielf\u00e4ltigen sich und \u00e4ndern ihre Rollen, es entstehen Zug\u00e4nge f\u00fcr verschiedene Projekte an Orten, an denen sie normalerweise nicht erlaubt sind, und es entstehen Hunderte unbekannter Pfade.<\/p>\n

Zu einigen Regeln, wenn man Gl\u00fcck hat, sind Kommentare vermerkt wie \"Vanya hat um das gebeten\" oder \"Das ist der Zugang zur DMZ\". Der Netzwerkadministrator k\u00fcndigt und alles wird v\u00f6llig unklar. Dann beschlie\u00dft jemand, die Konfiguration von Vanya zu bereinigen, und SAP f\u00e4llt aus, weil Vanya einmal diesen Zugang f\u00fcr den Betrieb des produktiven SAP angefordert hat.<\/p>\n

\"VMware
\n
\nHeute werde ich \u00fcber die L\u00f6sung VMware NSX sprechen, die hilft, gezielt Sicherheits- und Netzwerkinteraktionsrichtlinien anzuwenden, ohne Verwirrung in den Firewall-Konfigurationen. Ich werde zeigen, welche neuen Funktionen im Vergleich zu dem, was VMware zuvor in diesem Bereich hatte, hinzugekommen sind. <\/a><\/noindex><\/p>\n

VMWare NSX \u2013 eine Plattform zur Virtualisierung und Sicherstellung der Sicherheit von Netzwerkdiensten. NSX l\u00f6st Aufgaben wie Routing, Switching, Lastenverteilung, Firewall und kann viele andere interessante Dinge. <\/p>\n

NSX ist der Nachfolger des eigenen Produkts VMware vCloud Networking and Security (vCNS) und des \u00fcbernommenen Nicira NVP.<\/p>\n

Von vCNS zu NSX<\/h3>\n

\nFr\u00fcher hatte der Kunde in der Cloud, die auf VMware vCloud basierte, eine separate virtuelle Maschine vCNS vShield Edge. Diese fungierte als Grenz-Gateway, wo eine Vielzahl von Netzwerkfunktionen konfiguriert werden konnte: NAT, DHCP, Firewall, VPN, Lastenverteiler usw. vShield Edge beschr\u00e4nkte die Interaktion der virtuellen Maschine mit der Au\u00dfenwelt gem\u00e4\u00df den in der Firewall und im NAT festgelegten Regeln. Innerhalb des Netzwerks kommunizierten die virtuellen Maschinen innerhalb der Subnetze frei miteinander. Wenn man den Datenverkehr wirklich trennen und dominieren m\u00f6chte, kann man ein separates Netzwerk f\u00fcr unterschiedliche Teile von Anwendungen (verschiedene virtuelle Maschinen) einrichten und entsprechende Regeln in der Firewall f\u00fcr ihre Netzwerkinteraktionen festlegen. Aber das ist langwierig, kompliziert und uninteressant, besonders wenn man mehrere Dutzend virtuelle Maschinen hat.<\/p>\n

In NSX hat VMware das Konzept der Mikroskalierung mit einer verteilten Firewall (distributed firewall) umgesetzt, die in den Hypervisor-Kernel integriert ist. Darin werden Sicherheits- und Netzwerkinteraktionsrichtlinien nicht nur f\u00fcr IP- und MAC-Adressen, sondern auch f\u00fcr andere Objekte wie virtuelle Maschinen und Anwendungen festgelegt. Wenn NSX innerhalb einer Organisation bereitgestellt wird, k\u00f6nnen solche Objekte auch Benutzer oder Benutzergruppen aus dem Active Directory sein. Jedes dieser Objekte wird zu einem Mikrosegment in seinem Sicherheitsbereich, im entsprechenden Subnetz, mit seiner eigenen gem\u00fctlichen DMZ :). <\/p>\n

\"VMware
\nFr\u00fcher gab es nur eine Sicherheitsgrenze f\u00fcr den gesamten Ressourcenpool, die von einem Border-Switch gesch\u00fctzt wurde. Mit NSX kann jedoch eine einzelne virtuelle Maschine selbst innerhalb eines Netzwerks von \u00fcberm\u00e4\u00dfigen Interaktionen abgeschottet werden. <\/i><\/p>\n

Die Sicherheits- und Netzwerkinteraktionsrichtlinien passen sich an, wenn ein Objekt in ein anderes Netzwerk wechselt. Wenn wir beispielsweise eine Datenbankmaschine in ein anderes Netzwerksegment oder sogar in ein anderes verbundenes virtuelles Rechenzentrum versetzen, bleiben die f\u00fcr diese virtuelle Maschine festgelegten Regeln unabh\u00e4ngig von ihrer neuen Position g\u00fcltig. Der Anwendungsserver kann weiterhin mit der Datenbank kommunizieren.<\/p>\n

Der fr\u00fchere Border-Gateway vCNS vShield Edge wurde durch NSX Edge ersetzt. Es bietet das gesamte Standard-Set des alten Edge plus einige neue n\u00fctzliche Funktionen. Darum wird es im Folgenden gehen.<\/p>\n

Was gibt es Neues bei NSX Edge?<\/h3>\n

\nDie Funktionalit\u00e4t von NSX Edge h\u00e4ngt von der Edition<\/a><\/noindex> NSX ab. Insgesamt gibt es f\u00fcnf: Standard, Professional, Advanced, Enterprise, Plus Remote Branch Office. Alle neuen und interessanten Funktionen sind erst ab der Advanced-Version verf\u00fcgbar. Dazu geh\u00f6rt auch die neue Benutzeroberfl\u00e4che, die bis zum vollst\u00e4ndigen Umstieg von vCloud auf HTML5 (VMware verspricht den Sommer 2019) in einem neuen Tab ge\u00f6ffnet wird.<\/p>\n

Firewall.<\/b> Als Objekte, auf die die Regeln angewendet werden, k\u00f6nnen IP-Adressen, Netzwerke, Gateway-Schnittstellen und virtuelle Maschinen ausgew\u00e4hlt werden. <\/p>\n

\"VMware
\n
\n\"VMware
\n
\nDHCP.<\/b> Neben der Konfiguration des IP-Adressbereichs, der automatisch an virtuelle Maschinen in diesem Netzwerk vergeben wird, stehen in NSX Edge auch Funktionen zur Verf\u00fcgung. Bindung<\/b> und Relay<\/b>.<\/p>\n

Im Tab Bindings<\/b> Es ist m\u00f6glich, die MAC-Adresse einer virtuellen Maschine an eine IP-Adresse zu binden, wenn die IP-Adresse gleich bleiben soll. Wichtig ist, dass diese IP-Adresse nicht im DHCP-Pool enthalten ist.<\/p>\n

\"VMware
\n
\nIm Tab Relay<\/b> Die Weiterleitung von DHCP-Nachrichten an DHCP-Server, die au\u00dferhalb Ihrer Organisation in vCloud Director liegen, einschlie\u00dflich der DHCP-Server der physischen Infrastruktur, wird konfiguriert. <\/p>\n

\"VMware
\n
\nRouting.<\/b> Bei vShield Edge konnte nur statisches Routing konfiguriert werden. Jetzt gibt es dynamisches Routing mit Unterst\u00fctzung f\u00fcr die Protokolle OSPF und BGP. Auch ECMP (Active-active) ist jetzt verf\u00fcgbar, was auch eine aktive-aktive Failover-L\u00f6sung f\u00fcr physische Router bedeutet.<\/p>\n

\"VMware
\nOSPF-Konfiguration<\/i><\/p>\n

\"VMware
\nBGP-Konfiguration<\/i><\/p>\n

Ein weiteres Neues ist die Konfiguration der Routen\u00fcbertragung zwischen verschiedenen Protokollen,
\nRoutenweiterleitung (route redistribution). <\/p>\n

\"VMware
\n
\nL4\/L7 Load Balancer.<\/b> X-Forwarded-For f\u00fcr den HTTPs-Header ist jetzt verf\u00fcgbar. Ohne ihn war es ein Drama. Zum Beispiel, wenn Sie eine Website haben, die Sie ausbalancieren. Ohne diesen Header funktioniert alles, aber in den Statistiken des Webservers sehen Sie nicht die IP der Besucher, sondern die IP des Load Balancers. Jetzt ist alles korrekt. <\/p>\n

Au\u00dferdem k\u00f6nnen Sie jetzt im Tab Application Rules Skripte hinzuf\u00fcgen, die direkt die Lastverteilung steuern.<\/p>\n

\"VMware
\n
\nVPN. <\/b>Zus\u00e4tzlich zu IPSec VPN unterst\u00fctzt NSX Edge:<\/p>\n