{"id":30009,"date":"2019-10-31T21:33:10","date_gmt":"2019-10-31T18:33:10","guid":{"rendered":"https:\/\/prohoster.info\/blog\/vmware-nsx-dlya-samyh-malenkih-chast-1\/"},"modified":"2019-10-31T21:33:10","modified_gmt":"2019-10-31T18:33:10","slug":"vmware-nsx-dlya-samyh-malenkih-chast-1","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/vmware-nsx-dlya-samyh-malenkih-chast-1","title":{"rendered":"VMware NSX k\u00f5ige v\u00e4iksematele. Osa 1","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"VMware
\n
\nKui vaatame m\u00f5ne tulem\u00fc\u00fcride konfiguratsiooni, siis t\u00f5en\u00e4oliselt n\u00e4eme pikka nimekirja IP-aadressidest, portidest, protokollidest ja alamv\u00f5rkudest. Nii rakendatakse klassikaliselt v\u00f5rgu turvapoliitikaid, et kasutajad saaksid ressursse kasutada. Alguses p\u00fc\u00fctakse konfiguratsioonis korda hoida, kuid hiljem hakkavad t\u00f6\u00f6tajad osakonnast osakonda liikuma, serverid paljunema ja oma rolle muutma, tekivad juurdep\u00e4\u00e4sud erinevatele projektidele kohtadesse, kuhu neil tavaliselt sissep\u00e4\u00e4su ei ole, ning tulemuseks on sadu tundmatuid teid.<\/p>\n

M\u00f5ne reegli kohta, kui \u00f5nne j\u00e4tkub, on kirjas kommentaarid \"Vaatas seda teha Vassja\" v\u00f5i \"See on sissep\u00e4\u00e4s DMZ-sse\". V\u00f5rguadministraator lahkub ja k\u00f5ik muutub t\u00e4iesti arusaamatuks. Siis otsustab keegi Vassja konfiguratsioonist eemaldada ja SAP kukub, sest kunagi palus Vassja sellele juurdep\u00e4\u00e4su aktiivse SAP-i t\u00f6\u00f6tamiseks.<\/p>\n

\"VMware
\n
\nT\u00e4na r\u00e4\u00e4gin VMware NSX lahendusest, mis aitab t\u00e4pselt rakendada v\u00f5rgu suhtlemise ja turvalisuse poliitikaid ilma konfiguratsioonide segaduseta. N\u00e4itan, millised uued funktsioonid on v\u00f5rreldes varasemaga VMware-s sellel alal ilmnenud. <\/a><\/noindex><\/p>\n

VMWare NSX \u2013 v\u00f5rguteenuste virtualiseerimise ja turvamise platvorm. NSX lahendab marsruutimise, l\u00fclitamise, koormuse tasakaalustamise, tulem\u00fc\u00fcride probleeme ning oskab teha palju muud huvitavat. <\/p>\n

NSX on omaenda toote VMware vCloud Networking and Security (vCNS) ja omandatud Nicira NVP j\u00e4reltulija.<\/p>\n

vCNS-ilt NSX-ile<\/h3>\n

\nVarem oli kliendil VMware vCloud p\u00f5hjal \u00fcles ehitatud pilves eraldi virtuaalne masin vCNS vShield Edge. See t\u00e4itis piiripunkti rolli, kus oli v\u00f5imalik seadistada mitmeid v\u00f5rgufunktsioone: NAT, DHCP, tulem\u00fc\u00fcr, VPN, koormuse tasakaalustaja jne. vShield Edge piiras virtuaalse masina suhtlemist v\u00e4lismaailmaga vastavalt tulem\u00fc\u00fcris ja NAT-is m\u00e4\u00e4ratud reeglitele. V\u00f5rgu sees suhtlesid virtuaalsed masinad vabalt alverv\u00f5rkudes. Kui on t\u00f5eliselt soov jagada ja valitseda liiklust, saab luua eraldi v\u00f5rgu eraldi rakenduste komponentide (erinevate virtuaalmasinate) jaoks ja m\u00e4\u00e4rata tulem\u00fc\u00fcris vastavad reeglid nende v\u00f5rgusuhete jaoks. Kuid see on pikk, keeruline ja igav, eriti kui teil on mitu tosinat virtuaalmasinat.<\/p>\n

NSX-is VMware ellu mikrosegmentatsiooni kontseptsiooni, rakendades jaotatud tulem\u00fc\u00fcri (distributed firewall), mis on integreeritud h\u00fcperviisori tuuma. Siia on kirja pandud turvapoliitikad ja v\u00f5rgu suhtlemine mitte ainult IP- ja MAC-aadresside, vaid ka teiste objektide, n\u00e4iteks virtuaalsete masinate ja rakenduste jaoks. Kui NSX on organisatsiooni sees rakendatud, v\u00f5ivad sellisteks objekti-ks saada kasutajad v\u00f5i kasutajar\u00fchmad Active Directory's. Iga selline objekt muutub mikrosegmentiks oma turva piirides, \u00f5iges alamv\u00f5rgus, oma mugavas DMZ-is :). <\/p>\n

\"VMware
\nVarem oli turvapiir \u00fcks kogu ressursipooli jaoks, mida kaitses piirkommutator, kuid NSX-i abil on v\u00f5imalik eraldada \u00fcksik virtuaalne masin liialdavatest suhtlemistest isegi \u00fche v\u00f5rgu piires. <\/i><\/p>\n

Turbeedi ja v\u00f5rgutegevuse poliitikad kohanduvad, kui objekt liigutatakse teise v\u00f5rku. N\u00e4iteks, kui me viime andmebaasiserveri teise v\u00f5rgu segmenti v\u00f5i isegi teise seotud virtuaalsesse andmekeskusesse, siis selle virtuaalse masina jaoks kehtivad reeglid j\u00e4tkuvad s\u00f5ltumata tema uuest asukohast. Rakendussever suudab endiselt andmebaasiga suhelda.<\/p>\n

Vana piiri\u00fchenduse l\u00fcli vCNS vShield Edge asemel on saabunud NSX Edge. Sellel on k\u00f5ik vanast Edge'ist tuttavad omadused ja m\u00f5ned uued kasulikud funktsioonid. Neist ka juttu tuleb.<\/p>\n

Mis on uut NSX Edge'is?<\/h3>\n

\nNSX Edge funktsionaalsus s\u00f5ltub v\u00e4ljaandest<\/a><\/noindex> NSX. Kokku on neid viis: Standard, Professional, Advanced, Enterprise, Plus Remote Branch Office. K\u00f5ik uus ja huvitav on n\u00e4htav alates Advanced v\u00e4ljatendist. Sealhulgas ka uus liides, mis avaneb uues vahekaartis kuni vCloud t\u00e4ieliku \u00fcleminekuni HTML5-le (VMware lubab suve 2019).<\/p>\n

Tules\u00e4\u00e4r.<\/b> Reeglite rakendamiseks saab valida objekte nagu IP-aadressid, v\u00f5rgud, l\u00fclitusliidesed ja virtuaalsed masinad. <\/p>\n

\"VMware
\n
\n\"VMware
\n
\nDHCP.<\/b> Peale IP-aadresside vahemike seadistamise, mis jagatakse automaatselt selle v\u00f5rgu virtuaalmasinatele, on NSX Edge'is saadaval funktsioonid Binding<\/b> ja Relay<\/b>.<\/p>\n

Vahekaardil Siduvus<\/b> saab virtuaalmasina MAC-aadressi siduda IP-aadressiga, kui on vajalik, et IP-aadress ei muutuks. Peaasi, et see IP-aadress ei kuuluks DHCP basseini.<\/p>\n

\"VMware
\n
\nVahekaardil Relay<\/b> seadistatakse DHCP s\u00f5numite edastamine DHCP-serveritele, mis asuvad teie organisatsioonist v\u00e4ljaspool vCloud Director'it, sealhulgas f\u00fc\u00fcsilise infrastruktuuri DHCP-serveritele. <\/p>\n

\"VMware
\n
\nReageerimine.<\/b> vShield Edge'i puhul sai seadistada vaid staatilist reageerimist. Siin on saadaval d\u00fcnaamiline reageerimine OSPF ja BGP protokollide toega. Samuti on saadaval ECMP (aktiivne-aktiivne) s\u00e4tted, mis v\u00f5imaldavad h\u00e4daplaanide aktiveerimist f\u00fc\u00fcsilistele marsruutijatele.<\/p>\n

\"VMware
\nOSPF seadistamine<\/i><\/p>\n

\"VMware
\nBGP seadistamine<\/i><\/p>\n

Veel uuena \u2013 marsruutide edastamine erinevate protokollide vahel,
\nmarsruutide \u00fcmberjaotamine (route redistribution). <\/p>\n

\"VMware
\n
\nL4\/L7 Laadimise tasakaalustaja.<\/b> X-Forwarded-For pealkirja HTTPs jaoks on n\u00fc\u00fcd saadaval. Ilma selleta olid k\u00f5ik mures. N\u00e4iteks, kui teil on veebisait, mida te tasakaalustate. Ilma selle pealkirja edasiandmiseta t\u00f6\u00f6tab k\u00f5ik, kuid veebiserveri statistikas n\u00e4ete mitte k\u00fclastajate IP-aaddringe, vaid tasakaalustaja IP-aadressi. N\u00fc\u00fcd on k\u00f5ik \u00f5ige. <\/p>\n

Samuti on rakenduse reeglite vahekaardil n\u00fc\u00fcd v\u00f5imalik lisada skripte, mis saavad otse juhtida liiklusbalansseerimist.<\/p>\n

\"VMware
\n
\nVPN. <\/b>Lisaks IPSec VPN-ile toetab NSX Edge:<\/p>\n