{"id":30009,"date":"2019-10-31T21:33:10","date_gmt":"2019-10-31T18:33:10","guid":{"rendered":"https:\/\/prohoster.info\/blog\/vmware-nsx-dlya-samyh-malenkih-chast-1\/"},"modified":"2019-10-31T21:33:10","modified_gmt":"2019-10-31T18:33:10","slug":"vmware-nsx-dlya-samyh-malenkih-chast-1","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/vmware-nsx-dlya-samyh-malenkih-chast-1","title":{"rendered":"VMware NSX para principiantes. Parte 1","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"VMware
\n
\nSi observamos la configuraci\u00f3n de cualquier firewall, probablemente veremos una larga lista de direcciones IP, puertos, protocolos y subredes. As\u00ed es como se implementan cl\u00e1sicamente las pol\u00edticas de seguridad de red para acceder a los recursos. Al principio, se intenta mantener el orden en la configuraci\u00f3n, pero luego los empleados comienzan a cambiar de departamento, los servidores se multiplican y cambian de rol, aparecen accesos para diferentes proyectos en lugares donde normalmente no deber\u00edan, y se generan cientos de caminos desconocidos.<\/p>\n

Sobre algunas reglas, si se tiene suerte, est\u00e1n anotados comentarios como \u2018Lo pidi\u00f3 Vasya\u2019 o \u2018Este es el acceso a la DMZ\u2019. El administrador de red se va y todo se vuelve completamente confuso. Luego alguien decidi\u00f3 limpiar la configuraci\u00f3n de Vasya y cay\u00f3 SAP, porque en alg\u00fan momento Vasya pidi\u00f3 ese acceso para el trabajo del SAP activo.<\/p>\n

\"VMware
\n
\nHoy hablar\u00e9 sobre la soluci\u00f3n VMware NSX, que ayuda a aplicar de manera puntual pol\u00edticas de interacci\u00f3n y seguridad de red sin el desorden en las configuraciones de firewall. Mostrar\u00e9 qu\u00e9 nuevas funciones han aparecido en comparaci\u00f3n con lo que anteriormente ten\u00eda VMware en esta \u00e1rea. <\/a><\/noindex><\/p>\n

VMware NSX es una plataforma de virtualizaci\u00f3n y seguridad de servicios de red. NSX aborda tareas de enrutamiento, conmutaci\u00f3n, balanceo de carga, firewall y puede hacer muchas otras cosas interesantes. <\/p>\n

NSX es el sucesor del propio producto de VMware, vCloud Networking and Security (vCNS) y del adquirido Nicira NVP.<\/p>\n

De vCNS a NSX<\/h3>\n

\nAntes, el cliente en la nube, construida sobre VMware vCloud, ten\u00eda una m\u00e1quina virtual separada vCNS vShield Edge. Esta funcionaba como un gateway perimetral, donde se pod\u00edan configurar muchas funciones de red: NAT, DHCP, Firewall, VPN, balanceador de carga, etc. vShield Edge limitaba la interacci\u00f3n de la m\u00e1quina virtual con el mundo externo seg\u00fan las reglas establecidas en el Firewall y NAT. Dentro de la red, las m\u00e1quinas virtuales se comunicaban libremente entre s\u00ed dentro de las subredes. Si realmente se desea dividir y controlar el tr\u00e1fico, se puede crear una red separada para diferentes partes de las aplicaciones (distintas m\u00e1quinas virtuales) y establecer las reglas apropiadas para su interacci\u00f3n en el firewall. Pero esto es lento, complicado y poco interesante, especialmente cuando se tiene varias docenas de m\u00e1quinas virtuales.<\/p>\n

En NSX, VMware implement\u00f3 el concepto de micro segmentaci\u00f3n mediante un firewall distribuido, integrado en el n\u00facleo del hipervisor. Aqu\u00ed se definen pol\u00edticas de seguridad y de interconexi\u00f3n no solo para direcciones IP y MAC, sino tambi\u00e9n para otros objetos: m\u00e1quinas virtuales y aplicaciones. Si NSX est\u00e1 desplegado dentro de la organizaci\u00f3n, esos objetos pueden ser un usuario o un grupo de usuarios de Active Directory. Cada uno de estos objetos se convierte en un micro segmento en su propio contorno de seguridad, en la subred correspondiente, con su acogedora DMZ :); <\/p>\n

\"VMware
\nAnteriormente, el per\u00edmetro de seguridad era uno solo para todo el conjunto de recursos, protegido por un conmutador de frontera, y con NSX se puede aislar de interacciones innecesarias una m\u00e1quina virtual espec\u00edfica incluso dentro de una misma red. <\/i><\/p>\n

Las pol\u00edticas de seguridad y de interconexi\u00f3n se adaptan si el objeto se mueve a otra red. Por ejemplo, si trasladamos una m\u00e1quina con una base de datos a otro segmento de red o incluso a otro centro de datos virtual relacionado, las reglas establecidas para esa m\u00e1quina virtual seguir\u00e1n vigentes independientemente de su nueva ubicaci\u00f3n. El servidor de aplicaciones podr\u00e1 seguir interactuando con la base de datos.<\/p>\n

El antiguo gateway de frontera vCNS vShield Edge ha sido reemplazado por NSX Edge. Este incorpora todo el conjunto tradicional del antiguo Edge m\u00e1s varias funciones nuevas \u00fatiles. De eso hablaremos a continuaci\u00f3n.<\/p>\n

\u00bfQu\u00e9 hay de nuevo en NSX Edge?<\/h3>\n

\nLa funcionalidad de NSX Edge depende de la edici\u00f3n<\/a><\/noindex> de NSX. Hay cinco en total: Standard, Professional, Advanced, Enterprise y Plus Remote Branch Office. Todo lo nuevo e interesante se puede ver a partir de la edici\u00f3n Advanced. Incluye tambi\u00e9n una nueva interfaz, que hasta el completo cambio de vCloud a HTML5 (VMware promete verano de 2019) se abrir\u00e1 en una nueva pesta\u00f1a.<\/p>\n

Firewall.<\/b> Como objetos a los que se aplicar\u00e1n las reglas, se pueden elegir direcciones IP, redes, interfaces de gateway y m\u00e1quinas virtuales. <\/p>\n

\"VMware
\n
\n\"VMware
\n
\nDHCP.<\/b> Adem\u00e1s de configurar el rango de direcciones IP que se asignar\u00e1n autom\u00e1ticamente a las m\u00e1quinas virtuales de esta red, en NSX Edge est\u00e1n disponibles las funciones de Binding<\/b> y Relay<\/b>.<\/p>\n

En la pesta\u00f1a Bindings<\/b> se puede vincular la direcci\u00f3n MAC de una m\u00e1quina virtual a una direcci\u00f3n IP, si se necesita que la direcci\u00f3n IP no cambie. Lo principal es que esta direcci\u00f3n IP no est\u00e9 dentro del DHCP Pool.<\/p>\n

\"VMware
\n
\nEn la pesta\u00f1a Relay<\/b> Se configura la retransmisi\u00f3n de mensajes DHCP a los servidores DHCP que se encuentran fuera de su organizaci\u00f3n en vCloud Director, incluidos los servidores DHCP de la infraestructura f\u00edsica. <\/p>\n

\"VMware
\n
\nEnrutamiento.<\/b> En vShield Edge solo se pod\u00eda configurar enrutamiento est\u00e1tico. Ahora se ha introducido el enrutamiento din\u00e1mico con soporte para los protocolos OSPF y BGP. Tambi\u00e9n est\u00e1n disponibles configuraciones de ECMP (Activo-activo), lo que permite la conmutaci\u00f3n por error del tipo 'activo-activo' en enrutadores f\u00edsicos.<\/p>\n

\"VMware
\nConfiguraci\u00f3n de OSPF<\/i><\/p>\n

\"VMware
\nConfiguraci\u00f3n de BGP<\/i><\/p>\n

Tambi\u00e9n se a\u00f1ade la configuraci\u00f3n de transferencia de rutas entre diferentes protocolos,
\nredistribuci\u00f3n de rutas (route redistribution). <\/p>\n

\"VMware
\n
\nBalanceador de carga L4\/L7.<\/b> Se ha a\u00f1adido X-Forwarded-For para el encabezado HTTPS. Sin \u00e9l, todos se quejaban. Por ejemplo, tiene un sitio web que est\u00e1 balanceando. Sin pasar este encabezado, todo funciona, pero en las estad\u00edsticas del servidor web no ve\u00edas las IP de los visitantes, sino la IP del balanceador. Ahora todo est\u00e1 correcto. <\/p>\n

Adem\u00e1s, en la pesta\u00f1a Reglas de Aplicaci\u00f3n ahora se pueden agregar scripts que gestionan directamente el balanceo de tr\u00e1fico.<\/p>\n

\"VMware
\n
\nVPN. <\/b>Adem\u00e1s de IPSec VPN, NSX Edge soporta:<\/p>\n