{"id":30009,"date":"2019-10-31T21:33:10","date_gmt":"2019-10-31T18:33:10","guid":{"rendered":"https:\/\/prohoster.info\/blog\/vmware-nsx-dlya-samyh-malenkih-chast-1\/"},"modified":"2019-10-31T21:33:10","modified_gmt":"2019-10-31T18:33:10","slug":"vmware-nsx-dlya-samyh-malenkih-chast-1","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/vmware-nsx-dlya-samyh-malenkih-chast-1","title":{"rendered":"VMware NSX per i pi\u00f9 piccoli. Parte 1","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"VMware
\n
\nSe guardiamo la configurazione di qualsiasi firewall, probabilmente vedremo un elenco di indirizzi IP, porte, protocolli e sottoreti. Cos\u00ec vengono tradizionalmente implementate le politiche di sicurezza di rete per l'accesso degli utenti alle risorse. Inizialmente si cerca di mantenere ordine nella configurazione, ma poi i dipendenti iniziano a spostarsi da un reparto all'altro, i server si moltiplicano e cambiano i loro ruoli, si creano accessi per diversi progetti in luoghi dove normalmente non dovrebbero andare, e si generano centinaia di sentieri sconosciuti.<\/p>\n

Attorno a alcune regole, se si \u00e8 fortunati, ci sono commenti come \"Chiesto da Vasya\" oppure \"Questo \u00e8 un passaggio nella DMZ\". L'amministratore di rete si licenzia e tutto diventa completamente incomprensibile. Poi qualcuno decide di ripulire la configurazione da Vasya, e il SAP crolla, perch\u00e9 un tempo Vasya aveva richiesto questo accesso per lavorare sul SAP operativo.<\/p>\n

\"VMware
\n
\nOggi parler\u00f2 della soluzione VMware NSX, che aiuta ad applicare in modo mirato le politiche di interazione e sicurezza della rete senza confusione nelle configurazioni dei firewall. Mostrer\u00f2 quali nuove funzionalit\u00e0 sono state introdotte rispetto a ci\u00f2 che VMware offriva precedentemente in questo settore. <\/a><\/noindex><\/p>\n

VMware NSX \u00e8 una piattaforma di virtualizzazione e sicurezza per i servizi di rete. NSX affronta problemi di routing, switching, bilanciamento del carico, firewall e molto altro. <\/p>\n

NSX \u00e8 l'erede del prodotto VMware vCloud Networking and Security (vCNS) e dell'acquisito Nicira NVP.<\/p>\n

Da vCNS a NSX<\/h3>\n

\nUn tempo, il cliente nel cloud basato su VMware vCloud aveva una macchina virtuale separata vCNS vShield Edge. Essa fungeva da gateway perimetrale, dove era possibile configurare molteplici funzionalit\u00e0 di rete: NAT, DHCP, Firewall, VPN, bilanciatore di carico, ecc. vShield Edge limitava l'interazione della macchina virtuale con il mondo esterno secondo le regole stabilite nel Firewall e nel NAT. All'interno della rete, le macchine virtuali comunicavano liberamente tra loro all'interno delle sottoreti. Se si desidera davvero separare e controllare il traffico, \u00e8 possibile creare una rete separata per singole parti delle applicazioni (diverse macchine virtuali) e definire nel firewall le regole appropriate per la loro interazione di rete. Ma questo \u00e8 lungo, complicato e noioso, specialmente quando si hanno diverse decine di macchine virtuali.<\/p>\n

In NSX, VMware has implemented the concept of micro-segmentation using a distributed firewall built into the hypervisor kernel. Security and network interaction policies are defined not only for IP and MAC addresses but also for other objects such as virtual machines and applications. If NSX is deployed within an organization, such objects could include a user or a group of users from Active Directory. Each of these objects becomes a micro-segment in its security perimeter, in the required subnet, with its own cozy DMZ :). <\/p>\n

\"VMware
\nPreviously, there was a single security perimeter for the entire resource pool, protected by a perimeter switch. With NSX, it is possible to isolate an individual virtual machine from unwanted interactions even within a single network. <\/i><\/p>\n

Security and network interaction policies are adapted if an object moves to another network. For example, if we move a database machine to another network segment or even to a different associated virtual data center, the rules defined for that virtual machine will continue to apply regardless of its new location. The application server can still interact with the database.<\/p>\n

The vCNS vShield Edge perimeter gateway has been replaced by NSX Edge. It includes all the features of the old Edge plus some new helpful functions. This will be discussed further.<\/p>\n

What's new with NSX Edge?<\/h3>\n

\nThe functionality of NSX Edge depends on the edition<\/a><\/noindex> of NSX. There are five in total: Standard, Professional, Advanced, Enterprise, and Plus Remote Branch Office. All new and interesting features can be seen starting from Advanced. This includes a new interface, which will be fully transitioned to HTML5 (VMware promises summer 2019) and opens in a new tab.<\/p>\n

Firewall.<\/b> As objects to which rules will be applied, you can choose IP addresses, networks, gateway interfaces, and virtual machines. <\/p>\n

\"VMware
\n
\n\"VMware
\n
\nDHCP.<\/b> In addition to configuring the range of IP addresses that will be automatically assigned to virtual machines in this network, NSX Edge also offers Binding<\/b> e Relay<\/b>.<\/p>\n

Nella scheda Bindings<\/b> you can bind a virtual machine's MAC address to an IP address if you need to ensure that the IP address remains unchanged. The main requirement is that this IP address should not be included in the DHCP Pool.<\/p>\n

\"VMware
\n
\nNella scheda Relay<\/b> \u00c8 possibile configurare il relay dei messaggi DHCP verso i server DHCP che si trovano al di fuori della propria organizzazione in vCloud Director, inclusi i server DHCP dell'infrastruttura fisica. <\/p>\n

\"VMware
\n
\nRouting.<\/b> In vShield Edge era possibile configurare solo il routing statico. Qui \u00e8 stata introdotta la routing dinamica con supporto per i protocolli OSPF e BGP. Ora sono disponibili anche le configurazioni ECMP (Active-active), il che significa anche failover di tipo 'active-active' sui router fisici.<\/p>\n

\"VMware
\nImpostazione OSPF<\/i><\/p>\n

\"VMware
\nConfigurazione BGP<\/i><\/p>\n

Un'altra novit\u00e0 \u00e8 la configurazione della trasmissione di percorsi tra diversi protocolli,
\nridistribuzione dei percorsi (route redistribution). <\/p>\n

\"VMware
\n
\nBilanciatore di carico L4\/L7.<\/b> \u00c8 stato introdotto X-Forwarded-For per l'intestazione HTTPs. Senza di esso, tutti si lamentavano. Ad esempio, se hai un sito che stai bilanciando. Senza il passaggio di questa intestazione, tutto funziona, ma nelle statistiche del server web vedevi non gli IP dei visitatori, ma l'IP del bilanciatore. Ora tutto \u00e8 corretto. <\/p>\n

Inoltre, nella scheda Regole Applicazione \u00e8 ora possibile aggiungere script che gestiranno direttamente il bilanciamento del traffico.<\/p>\n

\"VMware
\n
\nVPN. <\/b>Oltre a IPSec VPN, NSX Edge supporta:<\/p>\n