{"id":30009,"date":"2019-10-31T21:33:10","date_gmt":"2019-10-31T18:33:10","guid":{"rendered":"https:\/\/prohoster.info\/blog\/vmware-nsx-dlya-samyh-malenkih-chast-1\/"},"modified":"2019-10-31T21:33:10","modified_gmt":"2019-10-31T18:33:10","slug":"vmware-nsx-dlya-samyh-malenkih-chast-1","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/vmware-nsx-dlya-samyh-malenkih-chast-1","title":{"rendered":"VMware NSX k\u00f5ige v\u00e4iksematele. Osa 1","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"VMware
\n
\nKui vaadata mis tahes tulem\u00fc\u00fcri konfiguratsiooni, siis t\u00f5en\u00e4oliselt n\u00e4eme sahtlis palju IP-aadresse, porte, protokolle ja alamv\u00f5rke. Just nii rakendatakse klassikaliselt v\u00f5rgu turvapoliitikaid, et kasutajad saaksid ressurssideni ligi. Alguses p\u00fc\u00fctakse konfiguratsioonis hoida korda, kuid hiljem hakkavad t\u00f6\u00f6tajad osakonnast osakonda liikuma, serverid paljunevad ja muudavad oma rolle, tekivad ligip\u00e4\u00e4sud erinevatele projektidele, kuhu neid tavaliselt ei lubata, ja tulemuseks on sadu tundmatuid kitsi radu.<\/p>\n

M\u00f5ne reegli \u00fcmber, kui \u00f5nne on, on kirjutatud kommentaare nagu \"Vaatas seda teha Vasja\" v\u00f5i \"See on ligip\u00e4\u00e4s DMZ-le\". V\u00f5rguadministraator lahkub ning k\u00f5ik muutub t\u00e4iesti arusaamatuks. Siis otsustas keegi Vasja konfi puhastada ja SAP kukkus kokku, kuna Vasja oli kunagi palunud seda juurdep\u00e4\u00e4su t\u00f6\u00f6ks.<\/p>\n

\"VMware
\n
\nT\u00e4na r\u00e4\u00e4gin VMware NSX lahendusest, mis aitab sihip\u00e4raselt rakendada v\u00f5rgu suhtlemise ja turvalisuse poliitikaid ilma tulem\u00fc\u00fcride konfiguratsioonides segaduseta. N\u00e4itan, millised uued funktsioonid on v\u00f5rreldes selle valdkonna varasemate VMware lahendustega ilmnenud. <\/a><\/noindex><\/p>\n

VMWare NSX on v\u00f5rgu teenuste virtualiseerimise ja turvalisuse platvorm. NSX lahendab marsruutimise, l\u00fclitamise, koormuse tasakaalustamise, tulem\u00fc\u00fcri k\u00fcsimused ja suudab palju muud huvitavat. <\/p>\n

NSX on VMware enda toote vCloud Networking and Security (vCNS) ning omandatud Nicira NVP j\u00e4reltulija.<\/p>\n

vCNS-ist NSX-ini<\/h3>\n

\nVarem oli kliendil VMware vCloudil rajatud pilves eraldi virtuaalne masin vCNS vShield Edge. See t\u00e4itis piiri\u00fclese l\u00fcli rolli, kus oli v\u00f5imalik seadistada mitmeid v\u00f5rgu funktsioone: NAT, DHCP, tulem\u00fc\u00fcr, VPN, koormuse tasakaalustaja jne. vShield Edge piiras virtuaalse masina suhtlemist v\u00e4lismaailmaga vastavalt tulem\u00fc\u00fcri ja NAT reeglitele. V\u00f5rgu sees suhtlesid virtuaalsed masinad omavahel vabalt alamv\u00f5rkude piires. Kui on t\u00f5eliselt soov jagada ja valitseda liiklust, on v\u00f5imalik luua eraldi v\u00f5rke rakenduste eri osade (eri virtuaalsete masinate) jaoks ja kirjutada tulem\u00fc\u00fcri vastavad reeglid nende v\u00f5rgusuhtlemiseks. Kuid see on pikk, keeruline ja ebaaus, eriti kui teil on mitu tosinat virtuaalset masinat.<\/p>\n

NSX-i on VMware rakendatud mikrosegmentatsiooni kontseptsioon, kasutades jaotatud tulem\u00fc\u00fcri (distributed firewall), mis on integreeritud h\u00fcperviisori tuuma. Sellega m\u00e4\u00e4ratakse turvapoliitikad ja v\u00f5rguinteraktsioonid mitte ainult IP- ja MAC-aadresside jaoks, vaid ka teiste objektide, n\u00e4iteks virtuaalmasinate ja rakenduste jaoks. Kui NSX on paigaldatud organisatsiooni sees, v\u00f5ivad sellisteks objektideks olla kasutajad v\u00f5i kasutajagrupp Active Directory-st. Iga selline objekt muutub mikrosegmendiks oma turvapiirkonnas, vajalikus alamv\u00f5rgus, oma hubases DMZ-s :). <\/p>\n

\"VMware
\nVarem oli kogu ressurspoolil vaid \u00fcks turvapiir, mida kaitses piiratud l\u00fcliti, kuid NSX-i abil saab eraldada \u00fcksikturva virtuaalmasina isegi \u00fche v\u00f5rgu sees. <\/i><\/p>\n

Turvapoliitikad ja v\u00f5rguinteraktsioonid kohandatakse, kui objekt liigub teise v\u00f5rku. N\u00e4iteks kui me liigutame andmebaasimachi teise v\u00f5rgu segmendi v\u00f5i isegi teise seotud virtuaaldatakeskmesse, siis eeskirjad, mis on m\u00e4\u00e4ratud sellele virtuaalmasinale, j\u00e4tkavad rakendamist s\u00f5ltumata tema uuest asukohast. Rakendusserver saab endiselt suhelda andmebaasiga.<\/p>\n

Piiratud l\u00fcliti vCNS vShield Edge asendamiseks tuli NSX Edge. Tal on k\u00f5ik vanast Edge'ist tulenev pluss mitmeid uusi kasulikke funktsioone. Nendest r\u00e4\u00e4gime edasi.<\/p>\n

Mis on uut NSX Edge'is?<\/h3>\n

\nNSX Edge'i funktsionaalsus s\u00f5ltub toimetamisest<\/a><\/noindex> NSX. Neid on kokku viis: Standard, Professional, Advanced, Enterprise, Plus Remote Branch Office. K\u00f5iki uusi ja huvitavaid funktsioone saab n\u00e4ha ainult Advanced'i tasemel. Sealhulgas uus liides, mis avaneb uues vahekaardis enne vCloud t\u00e4ielikku \u00fcleminekut HTML5-le (VMware lubas 2019. aasta suve).<\/p>\n

Tulem\u00fc\u00fcr.<\/b> Reeglite rakendamiseks saab valida objektideks IP-aadresse, v\u00f5rke, v\u00e4rava liideseid ja virtuaalmasinaid. <\/p>\n

\"VMware
\n
\n\"VMware
\n
\nDHCP.<\/b> Lisaks IP-aadresside vahemiku seadistamisele, mis antakse automaatselt sellele v\u00f5rgu virtuaalmasinatele, on NSX Edge'is saadaval funktsioonid Sidumine<\/b> ja Relay<\/b>.<\/p>\n

Vahekaardil. Bindings<\/b> saab seostada virtuaalmasina MAC-aadresse IP-aadressidega, kui on vajalik, et IP-aadress ei muutuks. Peamine on, et see IP-aadress ei kuuluks DHCP Pooli.<\/p>\n

\"VMware
\n
\nVahekaardil. Relay<\/b> DHCP-s\u00f5numite edastamine DHCP-serveritele, mis asuvad teie organisatsioonist v\u00e4ljaspool vCloud Directoris, sealhulgas f\u00fc\u00fcsilise infrastruktuuri DHCP-serveritele. <\/p>\n

\"VMware
\n
\nMarshrutiseerimine.<\/b> vShield Edge'is oli v\u00f5imalik seadistada ainult staatilist marsruutimist. Siin on lisandunud d\u00fcnaamiline marsruutimine OSPF ja BGP protokollide toega. Samuti on saadaval ECMP (aktiivne-aktiivne) seadistused, mis t\u00e4hendab ka aktiivse-aktiivse t\u00fc\u00fcp \u00fclekanne f\u00fc\u00fcsilistele marsruutijatele.<\/p>\n

\"VMware
\nOSPF seadistamine.<\/i><\/p>\n

\"VMware
\nBGP konfiguratsioon<\/i><\/p>\n

Uus asi on marsruutide edastamine erinevate protokollide vahel,
\nmarsruutide jaotamine (route redistribution). <\/p>\n

\"VMware
\n
\nL4\/L7 koormuse tasakaalustaja.<\/b> N\u00fc\u00fcd on olemas X-Forwarded-For HTTPs p\u00e4ise jaoks. Ilma selleta oleks k\u00f5ik nutnud. N\u00e4iteks, kui teil on veebisait, mida te tasakaalustate. Ilma selle p\u00e4ise edastamiseta k\u00f5ik toimib, kuid veebiserveri statistikas n\u00e4gite mitte k\u00fclastajate IP-aadresse, vaid tasakaalustaja IP-aadressi. N\u00fc\u00fcd on k\u00f5ik \u00f5igesti. <\/p>\n

Samuti on rakenduse reeglite vahekaardil n\u00fc\u00fcd v\u00f5imalik lisada skripte, mis haldavad liikluse tasakaalustamist otse.<\/p>\n

\"VMware
\n
\nVPN. <\/b>IPSec VPN'ile lisaks toetab NSX Edge:<\/p>\n