छोटों के लिए VMware NSX। भाग ---- पहला

यदि आप किसी फ़ायरवॉल की कॉन्फ़िगरेशन को देखते हैं, तो सबसे अधिक संभावना है कि हम आईपी पते, बंदरगाह, प्रोटोकॉल और सबनेट के समूह के साथ एक शीट देखेंगे। इस प्रकार संसाधनों तक उपयोगकर्ता की पहुंच के लिए नेटवर्क सुरक्षा नीतियों को शास्त्रीय रूप से लागू किया जाता है। सबसे पहले, वे विन्यास में व्यवस्था बनाए रखने की कोशिश करते हैं, लेकिन फिर कर्मचारी एक विभाग से दूसरे विभाग में जाना शुरू करते हैं, सर्वर गुणा करते हैं और अपनी भूमिकाओं को बदलते हैं, विभिन्न परियोजनाओं के लिए पहुंच दिखाई देती है जहां वे आमतौर पर नहीं हो सकते हैं, और सैकड़ों अज्ञात बकरी के निशान प्राप्त होते हैं।

कुछ नियमों के पास, यदि आप भाग्यशाली हैं, तो टिप्पणी "मैंने वास्या को ऐसा करने के लिए कहा" या "यह डीएमजेड के लिए एक मार्ग है" लिखा है। नेटवर्क व्यवस्थापक छोड़ देता है, और सब कुछ पूरी तरह से समझ से बाहर हो जाता है। तब किसी ने वास्या के विन्यास को साफ करने का फैसला किया, और एसएपी दुर्घटनाग्रस्त हो गया, क्योंकि वास्या ने एक बार मुकाबला एसएपी के साथ काम करने के लिए इस पहुंच के लिए कहा था।

आज मैं वीएमवेयर एनएसएक्स समाधान के बारे में बात करूंगा, जो फ़ायरवॉल कॉन्फ़िगरेशन में भ्रम के बिना नेटवर्क संचार और सुरक्षा नीतियों को पॉइंट-टू-पॉइंट लागू करने में मदद करता है। मैं आपको दिखाऊंगा कि इस भाग में VMware की तुलना में कौन सी नई सुविधाएँ सामने आई हैं।

VMWare NSX एक वर्चुअलाइजेशन और नेटवर्क सेवा सुरक्षा मंच है। NSX रूटिंग, स्विचिंग, लोड बैलेंसिंग, फायरवॉल और कई अन्य दिलचस्प चीजों की समस्याओं को हल करता है।

NSX VMware के अपने vCloud नेटवर्किंग और सुरक्षा (vCNS) उत्पाद का उत्तराधिकारी है और निकिरा NVP द्वारा अधिग्रहित किया गया है।

वीसीएनएस से एनएसएक्स तक

पहले, VMware vCloud पर बने क्लाउड में एक ग्राहक के पास एक अलग vCNS vShield Edge वर्चुअल मशीन थी। इसने एक एज गेटवे के रूप में काम किया, जहाँ कई नेटवर्क फ़ंक्शंस को कॉन्फ़िगर करना संभव था: NAT, DHCP, फ़ायरवॉल, VPN, लोड बैलेंसर, आदि। vShield Edge ने निर्धारित नियमों के अनुसार बाहरी दुनिया के साथ वर्चुअल मशीन की सहभागिता को सीमित कर दिया। फ़ायरवॉल और NAT। नेटवर्क के अंदर, वर्चुअल मशीनें सबनेट के भीतर आपस में स्वतंत्र रूप से संचार करती हैं। यदि आप वास्तव में ट्रैफ़िक को विभाजित और हावी करना चाहते हैं, तो आप एप्लिकेशन के अलग-अलग हिस्सों (विभिन्न वर्चुअल मशीन) के लिए एक अलग नेटवर्क बना सकते हैं और फ़ायरवॉल में उनके नेटवर्क इंटरैक्शन के लिए उपयुक्त नियम निर्धारित कर सकते हैं। लेकिन यह लंबा, जटिल और अरुचिकर है, खासकर जब आपके पास कई दर्जन आभासी मशीनें हों।

NSX में, VMware ने हाइपरविजर कोर में निर्मित वितरित फ़ायरवॉल का उपयोग करके माइक्रो-सेगमेंटेशन की अवधारणा को लागू किया। यह न केवल आईपी और मैक पतों के लिए, बल्कि अन्य वस्तुओं: वर्चुअल मशीन, एप्लिकेशन के लिए भी सुरक्षा और नेटवर्क इंटरैक्शन नीतियां निर्धारित करता है। यदि एनएसएक्स को किसी संगठन के भीतर तैनात किया गया है, तो सक्रिय निर्देशिका से उपयोगकर्ता या उपयोगकर्ताओं का समूह ऐसी वस्तुएं बन सकता है। ऐसी प्रत्येक वस्तु अपने स्वयं के आरामदायक DMZ :) के साथ, सही सबनेट में, अपने स्वयं के सुरक्षा पाश में एक माइक्रोसेगमेंट में बदल जाती है।

पहले, पूरे संसाधन पूल के लिए केवल एक सुरक्षा परिधि थी, इसे एज स्विच द्वारा संरक्षित किया गया था, और NSX के साथ, आप एक अलग वर्चुअल मशीन को एक ही नेटवर्क के भीतर भी अनावश्यक इंटरैक्शन से बचा सकते हैं।

यदि कोई वस्तु किसी भिन्न नेटवर्क पर जाती है तो सुरक्षा और नेटवर्किंग नीतियां अनुकूल हो जाती हैं। उदाहरण के लिए, यदि हम मशीन को डेटाबेस के साथ दूसरे नेटवर्क सेगमेंट या किसी अन्य संबद्ध वर्चुअल डेटा सेंटर में ले जाते हैं, तो इस वर्चुअल मशीन के लिए निर्धारित नियम उसके नए स्थान की परवाह किए बिना काम करना जारी रखेंगे। एप्लिकेशन सर्वर अभी भी डेटाबेस के साथ संवाद करने में सक्षम होगा।

vCNS vShield Edge को NSX Edge से बदल दिया गया है। इसमें पुराने एज के सज्जनों के सामान के साथ-साथ कुछ शानदार नई विशेषताएं हैं। उनके बारे में और आगे चर्चा की जाएगी।

एनएसएक्स एज के साथ नया क्या है?

NSX Edge की कार्यक्षमता निर्भर करती है संस्करण एनएसएक्स। उनमें से पांच हैं: स्टैंडर्ड, प्रोफेशनल, एडवांस्ड, एंटरप्राइज, प्लस रिमोट ब्रांच ऑफिस। सब कुछ नया और दिलचस्प केवल उन्नत से शुरू होता हुआ देखा जा सकता है। नए इंटरफ़ेस सहित, जो HTML5 में vCloud के पूर्ण संक्रमण तक एक नए टैब में खुलता है (VMware 2019 की गर्मियों का वादा करता है)।

फ़ायरवॉल। आप आईपी पते, नेटवर्क, गेटवे इंटरफेस और वर्चुअल मशीन को उन वस्तुओं के रूप में चुन सकते हैं जिन पर नियम लागू होंगे।

डीएचसीपी। इस नेटवर्क पर वर्चुअल मशीनों को स्वचालित रूप से जारी किए जाने वाले IP पतों की श्रेणी को कॉन्फ़िगर करने के अलावा, NSX Edge उपलब्ध कार्य बन गया है बंधन и रिले.

टैब में बाइंडिंग यदि आप चाहते हैं कि IP पता न बदले तो आप वर्चुअल मशीन के MAC पते को IP पते से जोड़ सकते हैं। मुख्य बात यह है कि यह आईपी पता डीएचसीपी पूल में शामिल नहीं है।

टैब में रिले भौतिक बुनियादी ढांचे के डीएचसीपी सर्वर सहित, वीक्लाउड निदेशक में आपके संगठन के बाहर डीएचसीपी सर्वरों के लिए डीएचसीपी संदेशों को रिले करना कॉन्फ़िगर करता है।

रूटिंग। vShield Edge को केवल स्टैटिक रूटिंग के साथ कॉन्फ़िगर किया जा सकता है। ओएसपीएफ और बीजीपी प्रोटोकॉल के समर्थन के साथ डायनेमिक रूटिंग यहां दिखाई दी। ईसीएमपी (एक्टिव-एक्टिव) सेटिंग्स भी उपलब्ध हो गई हैं, जिसका मतलब है कि फिजिकल राउटर्स के लिए एक्टिव-एक्टिव फेलओवर।

ओएसपीएफ का विन्यास

बीजीपी का विन्यास

एक और नई बात विभिन्न प्रोटोकॉल के बीच मार्गों के हस्तांतरण की स्थापना कर रही है,
मार्ग पुनर्वितरण।

L4/L7 लोड बैलेंसर। HTTPs हेडर के लिए X-Forwarded-For पेश किया गया। उसके बिना सब रो रहे थे। उदाहरण के लिए, आपके पास एक वेबसाइट है जिसे आप संतुलित कर रहे हैं। इस हेडर को अग्रेषित किए बिना, सब कुछ काम करता है, लेकिन वेब सर्वर के आँकड़ों में आपने आगंतुकों का आईपी नहीं, बल्कि बैलेंसर का आईपी देखा। अब सब ठीक है।

साथ ही एप्लिकेशन नियम टैब में, अब आप ऐसी स्क्रिप्ट जोड़ सकते हैं जो सीधे ट्रैफ़िक संतुलन को नियंत्रित करेगी।

वीपीएन। IPSec VPN के अलावा, NSX Edge समर्थन करता है:

• L2 वीपीएन, जो आपको भौगोलिक रूप से बिखरी हुई साइटों के बीच नेटवर्क को फैलाने की अनुमति देता है। उदाहरण के लिए, ऐसे वीपीएन की आवश्यकता होती है, ताकि किसी अन्य साइट पर जाने पर वर्चुअल मशीन उसी सबनेट पर बनी रहे और उसका आईपी पता बरकरार रहे।

• एसएसएल वीपीएन प्लस, जो उपयोगकर्ताओं को कॉर्पोरेट नेटवर्क से दूरस्थ रूप से कनेक्ट करने की अनुमति देता है। vSphere लेवल पर ऐसा फंक्शन था, लेकिन vCloud डायरेक्टर के लिए यह एक इनोवेशन है।

एसएसएल प्रमाणपत्र। प्रमाणपत्र अब NSX Edge पर स्थापित किए जा सकते हैं। यह फिर से इस सवाल पर है कि https के लिए बिना सर्टिफिकेट के बैलेंसर की जरूरत किसे है।

ग्रुपिंग ऑब्जेक्ट्स। यह टैब केवल उन वस्तुओं के समूहों को सेट करता है जिनके लिए कुछ नेटवर्क इंटरैक्शन नियम लागू होंगे, उदाहरण के लिए, फ़ायरवॉल नियम।

ये ऑब्जेक्ट आईपी और मैक एड्रेस हो सकते हैं।

 


इसमें सेवाओं की एक सूची (प्रोटोकॉल-पोर्ट संयोजन) और एप्लिकेशन भी शामिल हैं जिनका उपयोग फ़ायरवॉल नियमों को संकलित करते समय किया जा सकता है। केवल vCD पोर्टल का व्यवस्थापक ही नई सेवाओं और एप्लिकेशन को जोड़ सकता है।

 


सांख्यिकी। कनेक्शन आँकड़े: ट्रैफ़िक जो गेटवे, फ़ायरवॉल और लोड बैलेंसर से होकर गुजरता है।

प्रत्येक IPSEC VPN और L2 VPN टनल के लिए स्थिति और आँकड़े।

लॉगिंग। एज सेटिंग टैब में, आप सर्वर को रिकॉर्डिंग लॉग के लिए सेट कर सकते हैं। DNAT/SNAT, DHCP, फ़ायरवॉल, रूटिंग, बैलेंसर, IPsec VPN, SSL VPN प्लस के लिए लॉगिंग कार्य करता है।
 
प्रत्येक वस्तु/सेवा के लिए निम्न प्रकार के अलर्ट उपलब्ध हैं:

- डिबग
- चेतावनी
- गंभीर
- गलती
- चेतावनी
-सूचना
- जानकारी

NSX एज आयाम

हल किए जाने वाले कार्यों और वीएमवेयर की मात्रा के आधार पर की सिफारिश की निम्न आकारों में NSX एज बनाएँ:

एनएसएक्स एज
(कॉम्पैक्ट)

एनएसएक्स एज
(विशाल)

एनएसएक्स एज
(क्वाड-लार्ज)

एनएसएक्स एज
(एक्स बड़े)

वीसीपीयू

1

2

4

6

याद

512MB

1GB

1GB

8GB

डिस्क

512MB

512MB

512MB

4.5GB + 4GB

नियुक्ति

एक बात
ऐप, टेस्ट
डेटा सेंटर

छोटा
या मध्यम
डेटा सेंटर

लदा हुआ
फ़ायरवॉल

संतुलन
स्तर L7 पर भार

नीचे दी गई तालिका NSX एज के आकार के आधार पर नेटवर्क सेवा प्रदर्शन मेट्रिक्स दिखाती है।

एनएसएक्स एज
(कॉम्पैक्ट)

एनएसएक्स एज
(विशाल)

एनएसएक्स एज
(क्वाड-लार्ज)

एनएसएक्स एज
(एक्स बड़े)

इंटरफेस

10

10

10

10

उप इंटरफेस (ट्रंक)

200

200

200

200

NAT नियम

2,048

4,096

4,096

8,192

एआरपी प्रविष्टियाँ
अधिलेखित होने तक

1,024

2,048

2,048

2,048

परिवार कल्याण नियम

2000

2000

2000

2000

परिवार कल्याण प्रदर्शन

3Gbps

9.7Gbps

9.7Gbps

9.7Gbps

डीएचसीपी पूल

20,000

20,000

20,000

20,000

ईसीएमपी पथ

8

8

8

8

स्थिर मार्ग

2,048

2,048

2,048

2,048

एलबी पूल

64

64

64

1,024

एलबी वर्चुअल सर्वर

64

64

64

1,024

एलबी सर्वर / पूल

32

32

32

32

एलबी स्वास्थ्य जांच

320

320

320

3,072

एलबी आवेदन नियम

4,096

4,096

4,096

4,096

L2VPN क्लाइंट हब टू स्पोक

5

5

5

5

L2VPN नेटवर्क प्रति क्लाइंट/सर्वर

200

200

200

200

IPSec टनल

512

1,600

4,096

6,000

एसएसएल वीपीएन टनल

50

100

100

1,000

एसएसएलवीपीएन निजी नेटवर्क

16

16

16

16

समवर्ती सत्र

64,000

1,000,000

1,000,000

1,000,000

सत्र/दूसरा

8,000

50,000

50,000

50,000

एलबी थ्रूपुट एल7 प्रॉक्सी)

2.2Gbps

2.2Gbps

3Gbps

एलबी थ्रूपुट एल4 मोड)

6Gbps

6Gbps

6Gbps

एलबी कनेक्शन/एस (एल7 प्रॉक्सी)

46,000

50,000

50,000

एलबी समवर्ती कनेक्शन (एल 7 प्रॉक्सी)

8,000

60,000

60,000

एलबी कनेक्शन/एस (एल4 मोड)

50,000

50,000

50,000

एलबी समवर्ती कनेक्शन (एल 4 मोड)

600,000

1,000,000

1,000,000

बीजीपी मार्ग

20,000

50,000

250,000

250,000

बीजीपी पड़ोसी

10

20

100

100

बीजीपी मार्गों का पुनर्वितरण

कोई सीमा नहीं

कोई सीमा नहीं

कोई सीमा नहीं

कोई सीमा नहीं

ओएसपीएफ मार्ग

20,000

50,000

100,000

100,000

OSPF LSA प्रविष्टियाँ अधिकतम 750 प्रकार-1

20,000

50,000

100,000

100,000

ओएसपीएफ आसन्न

10

20

40

40

OSPF मार्गों का पुनर्वितरण

2000

5000

20,000

20,000

कुल मार्ग

20,000

50,000

250,000

250,000

→ स्रोत

तालिका से पता चलता है कि केवल बड़े आकार से शुरू होने वाले उत्पादक परिदृश्यों के लिए NSX Edge पर संतुलन को व्यवस्थित करने की अनुशंसा की जाती है।

आज के लिए मेरे पास सब कुछ है। निम्नलिखित भागों में, मैं प्रत्येक NSX एज नेटवर्क सेवा के कॉन्फ़िगरेशन के बारे में विस्तार से बताऊंगा।

स्रोत: www.habr.com