{"id":30009,"date":"2019-10-31T21:33:10","date_gmt":"2019-10-31T18:33:10","guid":{"rendered":"https:\/\/prohoster.info\/blog\/vmware-nsx-dlya-samyh-malenkih-chast-1\/"},"modified":"2019-10-31T21:33:10","modified_gmt":"2019-10-31T18:33:10","slug":"vmware-nsx-dlya-samyh-malenkih-chast-1","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/vmware-nsx-dlya-samyh-malenkih-chast-1","title":{"rendered":"VMware NSX pour les petites entreprises. Partie 1","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"VMware
\n
\nEn examinant la configuration de n'importe quel pare-feu, il est fort probable que nous voyions une multitude d'adresses IP, de ports, de protocoles et de sous-r\u00e9seaux. C'est ainsi que les politiques de s\u00e9curit\u00e9 r\u00e9seau sont traditionnellement mises en \u0153uvre pour l'acc\u00e8s des utilisateurs aux ressources. Au d\u00e9part, l'ordre est maintenu dans la configuration, mais ensuite, les employ\u00e9s commencent \u00e0 changer de service, les serveurs se multiplient et changent de r\u00f4le, des acc\u00e8s pour diff\u00e9rents projets apparaissent l\u00e0 o\u00f9 ils ne devraient g\u00e9n\u00e9ralement pas \u00eatre, et des centaines de sentiers inconnus sont cr\u00e9\u00e9s.<\/p>\n

Concernant certaines r\u00e8gles, il y a peut-\u00eatre des commentaires comme \u00ab demand\u00e9 par Vasya \u00bb ou \u00ab ceci est un acc\u00e8s DMZ \u00bb. L'administrateur r\u00e9seau quitte son poste, et tout devient tr\u00e8s flou. Ensuite, quelqu'un a d\u00e9cid\u00e9 de nettoyer la configuration de Vasya, et SAP s'est effondr\u00e9, car autrefois Vasya avait demand\u00e9 cet acc\u00e8s pour faire fonctionner SAP en production.<\/p>\n

\"VMware
\n
\nAujourd'hui, je vais parler de la solution VMware NSX, qui aide \u00e0 appliquer des politiques d'interaction et de s\u00e9curit\u00e9 r\u00e9seau de mani\u00e8re pr\u00e9cise, sans d\u00e9sordre dans les configurations des pare-feu. Je vais montrer les nouvelles fonctionnalit\u00e9s qui ont \u00e9t\u00e9 ajout\u00e9es par rapport \u00e0 ce que VMware avait pr\u00e9c\u00e9demment dans ce domaine. <\/a><\/noindex><\/p>\n

VMware NSX est une plateforme de virtualisation et de s\u00e9curit\u00e9 des services r\u00e9seau. NSX s'occupe des t\u00e2ches de routage, de commutation, d'\u00e9quilibrage de charge, de pare-feu et bien d'autres choses int\u00e9ressantes. <\/p>\n

NSX est le successeur de son propre produit VMware vCloud Networking and Security (vCNS) et de l'acquis Nicira NVP.<\/p>\n

De vCNS \u00e0 NSX<\/h3>\n

\nAuparavant, le client dans le cloud, construit sur VMware vCloud, avait une machine virtuelle distincte vCNS vShield Edge. Elle servait de passerelle, o\u00f9 de nombreuses fonctions r\u00e9seau pouvaient \u00eatre configur\u00e9es : NAT, DHCP, pare-feu, VPN, \u00e9quilibreur de charge, etc. vShield Edge limitait l'interaction de la machine virtuelle avec le monde ext\u00e9rieur selon les r\u00e8gles d\u00e9finies dans le pare-feu et le NAT. \u00c0 l'int\u00e9rieur du r\u00e9seau, les machines virtuelles communiquaient librement entre elles au sein des sous-r\u00e9seaux. Si vous souhaitez vraiment contr\u00f4ler le trafic, il est possible de cr\u00e9er un r\u00e9seau s\u00e9par\u00e9 pour diff\u00e9rentes parties des applications (diff\u00e9rentes machines virtuelles) et de d\u00e9finir dans le pare-feu les r\u00e8gles correspondantes pour leur interaction r\u00e9seau. Mais cela prend du temps, est compliqu\u00e9 et peu int\u00e9ressant, surtout lorsque vous avez plusieurs dizaines de machines virtuelles.<\/p>\n

Dans NSX, VMware a mis en \u0153uvre le concept de micro-segmentation \u00e0 l'aide d'un pare-feu distribu\u00e9 int\u00e9gr\u00e9 dans le c\u0153ur de l'hyperviseur. Des politiques de s\u00e9curit\u00e9 et d'interaction r\u00e9seau y sont d\u00e9finies non seulement pour les adresses IP et MAC, mais aussi pour d'autres objets : machines virtuelles, applications. Si NSX est d\u00e9ploy\u00e9 au sein d'une organisation, ces objets peuvent inclure un utilisateur ou un groupe d'utilisateurs d'Active Directory. Chaque objet devient un micro-segment dans son propre contour de s\u00e9curit\u00e9, dans le sous-r\u00e9seau souhait\u00e9, avec sa DMZ accueillante :). <\/p>\n

\"VMware
\nAuparavant, le p\u00e9rim\u00e8tre de s\u00e9curit\u00e9 \u00e9tait unique pour l'ensemble du pool de ressources, prot\u00e9g\u00e9 par un commutateur de bordure, tandis qu'avec NSX, il est possible de prot\u00e9ger une machine virtuelle sp\u00e9cifique des interactions superflues m\u00eame au sein d'un m\u00eame r\u00e9seau. <\/i><\/p>\n

Les politiques de s\u00e9curit\u00e9 et d'interaction r\u00e9seau s'adaptent si un objet est d\u00e9plac\u00e9 vers un autre r\u00e9seau. Par exemple, si nous d\u00e9pla\u00e7ons une machine avec une base de donn\u00e9es vers un autre segment de r\u00e9seau ou m\u00eame vers un autre data center virtuel associ\u00e9, les r\u00e8gles d\u00e9finies pour cette machine virtuelle continueront de s'appliquer ind\u00e9pendamment de sa nouvelle position. Le serveur d'applications pourra toujours interagir avec la base de donn\u00e9es.<\/p>\n

Le vCNS vShield Edge a \u00e9t\u00e9 remplac\u00e9 par le NSX Edge. Ce dernier dispose de tout le n\u00e9cessaire de l'ancien Edge, plus plusieurs nouvelles fonctionnalit\u00e9s utiles. C'est de cela dont nous allons parler ensuite.<\/p>\n

Quelles sont les nouveaut\u00e9s du NSX Edge ?<\/h3>\n

\nLa fonctionnalit\u00e9 du NSX Edge d\u00e9pend de l'\u00e9dition<\/a><\/noindex> NSX. Il en existe cinq : Standard, Professional, Advanced, Enterprise, Plus Remote Branch Office. Tout ce qui est nouveau et int\u00e9ressant n'est visible qu'\u00e0 partir de l'\u00e9dition Advanced. Y compris la nouvelle interface, qui s'ouvre dans un nouvel onglet jusqu'\u00e0 la migration compl\u00e8te de vCloud vers HTML5 (VMware promet l'\u00e9t\u00e9 2019).<\/p>\n

Pare-feu.<\/b> Comme objets auxquels les r\u00e8gles s'appliqueront, il est possible de s\u00e9lectionner des adresses IP, des r\u00e9seaux, des interfaces de passerelle et des machines virtuelles. <\/p>\n

\"VMware
\n
\n\"VMware
\n
\nDHCP.<\/b> En plus de la configuration de la plage d'adresses IP qui seront automatiquement attribu\u00e9es aux machines virtuelles de ce r\u00e9seau, des fonctionnalit\u00e9s de NSX Edge sont devenues disponibles. Binding<\/b> et Relay<\/b>.<\/p>\n

Dans l'onglet Bindings<\/b> il est possible de lier l'adresse MAC d'une machine virtuelle \u00e0 une adresse IP si l'on souhaite que l'adresse IP ne change pas. Il est surtout important que cette adresse IP ne fasse pas partie du pool DHCP.<\/p>\n

\"VMware
\n
\nDans l'onglet Relay<\/b> La retransmission des messages DHCP est configur\u00e9e pour les serveurs DHCP situ\u00e9s en dehors de votre organisation dans vCloud Director, y compris les serveurs DHCP de l'infrastructure physique. <\/p>\n

\"VMware
\n
\nRoutage.<\/b> Auparavant, vShield Edge ne permettait que le routage statique. D\u00e9sormais, le routage dynamique compatible avec les protocoles OSPF et BGP est disponible. Les configurations ECMP (actif-actif) sont \u00e9galement d\u00e9sormais accessibles, ce qui permet le basculement du type \u00ab actif-actif \u00bb vers des routeurs physiques.<\/p>\n

\"VMware
\nConfiguration d'OSPF<\/i><\/p>\n

\"VMware
\nConfiguration de BGP<\/i><\/p>\n

Parmi les nouveaut\u00e9s, la configuration du transfert de routes entre diff\u00e9rents protocoles.
\nRedistribution des routes. <\/p>\n

\"VMware
\n
\n\u00c9quilibrage de charge L4\/L7.<\/b> L'en-t\u00eate X-Forwarded-For est maintenant disponible pour HTTPs. Sans cela, tout le monde \u00e9tait m\u00e9content. Par exemple, si vous avez un site que vous \u00e9quilibrez, sans le transfert de cet en-t\u00eate, tout fonctionne, mais dans les statistiques du serveur web, vous ne voyiez pas les IP des visiteurs, mais les IP de l'\u00e9quilibreur. Maintenant, tout est correct. <\/p>\n

De plus, dans l'onglet R\u00e8gles d'application, il est d\u00e9sormais possible d'ajouter des scripts qui contr\u00f4leront directement l'\u00e9quilibrage du trafic.<\/p>\n

\"VMware
\n
\nVPN. <\/b>En plus du VPN IPSec, NSX Edge prend en charge :<\/p>\n