लहानांसाठी VMware NSX. भाग 1

आपण कोणत्याही फायरवॉलचे कॉन्फिगरेशन पाहिल्यास, बहुधा आपल्याला आयपी पत्ते, पोर्ट्स, प्रोटोकॉल आणि सबनेट्सच्या गुच्छांसह एक पत्रक दिसेल. संसाधनांपर्यंत वापरकर्त्याच्या प्रवेशासाठी नेटवर्क सुरक्षा धोरणे अशा प्रकारे लागू केली जातात. सुरुवातीला ते कॉन्फिगरेशनमध्ये सुव्यवस्था राखण्याचा प्रयत्न करतात, परंतु नंतर कर्मचारी एका विभागातून दुसर्‍या विभागात जाण्यास सुरवात करतात, सर्व्हर वाढतात आणि त्यांची भूमिका बदलतात, वेगवेगळ्या प्रकल्पांसाठी प्रवेश दिसून येतो जिथे त्यांना सहसा परवानगी नसते आणि शेकडो अज्ञात शेळ्यांचे मार्ग दिसतात.

काही नियमांच्या पुढे, जर तुम्ही भाग्यवान असाल तर, "वास्याने मला हे करायला सांगितले" किंवा "हा DMZ चा रस्ता आहे" अशा टिप्पण्या आहेत. नेटवर्क प्रशासक सोडतो आणि सर्वकाही पूर्णपणे अस्पष्ट होते. मग कोणीतरी वास्याचे कॉन्फिगरेशन साफ ​​करण्याचा निर्णय घेतला आणि एसएपी क्रॅश झाला, कारण वास्याने एकदा लढाऊ एसएपी चालविण्यासाठी हा प्रवेश मागितला.

आज मी VMware NSX सोल्यूशनबद्दल बोलणार आहे, जे फायरवॉल कॉन्फिगमध्ये गोंधळ न होता नेटवर्क कम्युनिकेशन आणि सुरक्षा धोरणे अचूकपणे लागू करण्यास मदत करते. या भागात पूर्वी व्हीएमवेअरच्या तुलनेत कोणती नवीन वैशिष्ट्ये दिसली आहेत हे मी तुम्हाला दाखवतो.

VMWare NSX हे नेटवर्क सेवांसाठी व्हर्च्युअलायझेशन आणि सुरक्षा प्लॅटफॉर्म आहे. NSX रूटिंग, स्विचिंग, लोड बॅलन्सिंग, फायरवॉलच्या समस्या सोडवते आणि इतर अनेक मनोरंजक गोष्टी करू शकते.

NSX हे VMware च्या स्वतःच्या vCloud नेटवर्किंग अँड सिक्युरिटी (vCNS) उत्पादन आणि विकत घेतलेल्या Nicira NVP चे उत्तराधिकारी आहे.

vCNS ते NSX पर्यंत

पूर्वी, क्लायंटकडे VMware vCloud वर तयार केलेल्या क्लाउडमध्ये वेगळे vCNS vShield Edge व्हर्च्युअल मशीन होते. याने बॉर्डर गेटवे म्हणून काम केले, जेथे अनेक नेटवर्क फंक्शन्स कॉन्फिगर करणे शक्य होते: NAT, DHCP, फायरवॉल, VPN, लोड बॅलन्सर इ. vShield Edge ने व्हर्च्युअल मशीनचा बाह्य जगाशी परस्परसंवाद मर्यादित केला. फायरवॉल आणि NAT. नेटवर्कमध्ये, व्हर्च्युअल मशीन्स सबनेटमध्ये मुक्तपणे एकमेकांशी संवाद साधतात. जर तुम्हाला ट्रॅफिकचे विभाजन करून जिंकायचे असेल, तर तुम्ही अॅप्लिकेशन्सच्या स्वतंत्र भागांसाठी (वेगवेगळ्या व्हर्च्युअल मशीन्स) वेगळे नेटवर्क बनवू शकता आणि फायरवॉलमध्ये त्यांच्या नेटवर्क परस्परसंवादासाठी योग्य नियम सेट करू शकता. परंतु हे लांब, कठीण आणि रसहीन आहे, विशेषत: जेव्हा आपल्याकडे अनेक डझन व्हर्च्युअल मशीन असतात.

NSX मध्ये, VMware ने हायपरवाइजर कर्नलमध्ये तयार केलेल्या वितरित फायरवॉलचा वापर करून मायक्रो-सेगमेंटेशनची संकल्पना लागू केली. हे केवळ IP आणि MAC पत्त्यांसाठीच नाही तर इतर वस्तूंसाठी देखील सुरक्षा आणि नेटवर्क परस्परसंवाद धोरणे निर्दिष्ट करते: आभासी मशीन्स, अनुप्रयोग. जर NSX एखाद्या संस्थेमध्ये तैनात केले असेल, तर हे ऑब्जेक्ट्स सक्रिय निर्देशिका मधील वापरकर्ता किंवा वापरकर्त्यांचा गट असू शकतात. अशी प्रत्येक वस्तू त्याच्या स्वतःच्या सुरक्षितता लूपमध्ये, आवश्यक सबनेटमध्ये, स्वतःच्या आरामदायक DMZ सह मायक्रोसेगमेंटमध्ये बदलते :).

पूर्वी, संसाधनांच्या संपूर्ण पूलसाठी फक्त एक सुरक्षा परिमिती होती, ती एज स्विचद्वारे संरक्षित होती, परंतु NSX सह तुम्ही एका वेगळ्या व्हर्च्युअल मशीनला अनावश्यक परस्परसंवादांपासून संरक्षित करू शकता, अगदी त्याच नेटवर्कमध्ये देखील.

एखादी संस्था वेगळ्या नेटवर्कवर गेल्यास सुरक्षा आणि नेटवर्किंग धोरणे जुळवून घेतात. उदाहरणार्थ, जर आम्ही डेटाबेस असलेल्या मशीनला दुसर्‍या नेटवर्क विभागात किंवा अगदी दुसर्‍या कनेक्ट केलेल्या व्हर्च्युअल डेटा सेंटरमध्ये हलवले, तर या व्हर्च्युअल मशीनसाठी लिहिलेले नियम त्याच्या नवीन स्थानाकडे दुर्लक्ष करून लागू होत राहतील. अॅप्लिकेशन सर्व्हर अजूनही डेटाबेसशी संवाद साधण्यास सक्षम असेल.

स्वतः एज गेटवे, vCNS vShield Edge, NSX Edge ने बदलले आहे. यात जुन्या एजची सर्व सज्जन वैशिष्ट्ये आणि काही नवीन उपयुक्त वैशिष्ट्ये आहेत. आम्ही त्यांच्याबद्दल पुढे बोलू.

NSX एजमध्ये नवीन काय आहे?

NSX Edge कार्यक्षमता अवलंबून असते आवृत्त्या NSX. त्यापैकी पाच आहेत: मानक, व्यावसायिक, प्रगत, एंटरप्राइज, प्लस रिमोट शाखा कार्यालय. सर्व काही नवीन आणि मनोरंजक केवळ प्रगत सह सुरू होताना पाहिले जाऊ शकते. नवीन इंटरफेससह, जोपर्यंत vCloud पूर्णपणे HTML5 वर स्विच करत नाही (VMware उन्हाळ्यात 2019 चे वचन देतो), नवीन टॅबमध्ये उघडतो.

फायरवॉल तुम्ही आयपी अॅड्रेस, नेटवर्क्स, गेटवे इंटरफेस आणि व्हर्च्युअल मशीन्स ऑब्जेक्ट्स म्हणून निवडू शकता ज्यावर नियम लागू केले जातील.

DHCP. या नेटवर्कवरील व्हर्च्युअल मशीन्सना स्वयंचलितपणे जारी केलेल्या IP पत्त्यांची श्रेणी कॉन्फिगर करण्याव्यतिरिक्त, NSX Edge मध्ये आता खालील कार्ये आहेत: बंधनकारक и रिले.

टॅबमध्ये बाइंडिंग्ज जर तुम्हाला IP पत्ता बदलू नये अशी गरज असेल तर तुम्ही आभासी मशीनचा MAC पत्ता IP पत्त्याशी बांधू शकता. मुख्य गोष्ट अशी आहे की हा IP पत्ता DHCP पूलमध्ये समाविष्ट केलेला नाही.

टॅबमध्ये रिले DHCP संदेशांचा रिले भौतिक पायाभूत सुविधांच्या DHCP सर्व्हरसह vCloud डायरेक्टरमध्ये तुमच्या संस्थेच्या बाहेर असलेल्या DHCP सर्व्हरवर कॉन्फिगर केला आहे.

राउटिंग. vShield Edge केवळ स्थिर राउटिंग कॉन्फिगर करू शकते. OSPF आणि BGP प्रोटोकॉलच्या समर्थनासह डायनॅमिक राउटिंग येथे दिसून आले. ECMP (सक्रिय-सक्रिय) सेटिंग्ज देखील उपलब्ध झाल्या आहेत, ज्याचा अर्थ भौतिक राउटरवर सक्रिय-सक्रिय फेलओव्हर आहे.

OSPF सेट करणे

BGP सेट करत आहे

आणखी एक नवीन गोष्ट म्हणजे वेगवेगळ्या प्रोटोकॉलमधील मार्गांचे हस्तांतरण सेट करणे,
मार्ग पुनर्वितरण.

L4/L7 लोड बॅलन्सर. HTTPs शीर्षलेखासाठी X-Forwarded-For सादर केले गेले. त्याच्याशिवाय सर्वजण रडले. उदाहरणार्थ, तुमच्याकडे एक वेबसाइट आहे जी तुम्ही संतुलित करत आहात. हे शीर्षलेख अग्रेषित केल्याशिवाय, सर्वकाही कार्य करते, परंतु वेब सर्व्हरच्या आकडेवारीमध्ये आपण अभ्यागतांचा IP नाही तर बॅलन्सरचा IP पाहिला. आता सर्व काही ठीक आहे.

तसेच अॅप्लिकेशन नियम टॅबमध्ये तुम्ही आता स्क्रिप्ट्स जोडू शकता ज्या थेट ट्रॅफिक बॅलेंसिंग नियंत्रित करतील.

व्हीपीएन. IPSec VPN व्यतिरिक्त, NSX Edge समर्थन करते:

• L2 VPN, जे तुम्हाला भौगोलिकदृष्ट्या विखुरलेल्या साइट्समध्ये नेटवर्क वाढवण्याची परवानगी देते. अशा व्हीपीएनची आवश्यकता आहे, उदाहरणार्थ, जेणेकरुन दुसर्या साइटवर जाताना, व्हर्च्युअल मशीन त्याच सबनेटमध्ये राहते आणि त्याचा आयपी पत्ता राखून ठेवते.

• SSL VPN Plus, जे वापरकर्त्यांना कॉर्पोरेट नेटवर्कशी दूरस्थपणे कनेक्ट करण्याची परवानगी देते. vSphere स्तरावर असे कार्य होते, परंतु vCloud संचालकासाठी हे एक नावीन्यपूर्ण आहे.

SSL प्रमाणपत्रे. प्रमाणपत्रे आता NSX काठावर स्थापित केली जाऊ शकतात. https साठी प्रमाणपत्राशिवाय बॅलन्सर कोणाला हवा होता हा प्रश्न पुन्हा एकदा येतो.

ऑब्जेक्ट्स गटबद्ध करणे. या टॅबमध्ये, ऑब्जेक्ट्सचे गट निर्दिष्ट केले आहेत ज्यासाठी काही नेटवर्क परस्परसंवाद नियम लागू होतील, उदाहरणार्थ, फायरवॉल नियम.

हे ऑब्जेक्ट्स IP आणि MAC पत्ते असू शकतात.

 


फायरवॉल नियम तयार करताना वापरल्या जाणार्‍या सेवा (प्रोटोकॉल-पोर्ट संयोजन) आणि अनुप्रयोगांची सूची देखील आहे. फक्त vCD पोर्टल प्रशासक नवीन सेवा आणि अनुप्रयोग जोडू शकतो.

 


आकडेवारी. कनेक्शन आकडेवारी: गेटवे, फायरवॉल आणि बॅलन्सरमधून जाणारी वाहतूक.

प्रत्येक IPSEC VPN आणि L2 VPN बोगद्यासाठी स्थिती आणि आकडेवारी.

लॉगिंग. एज सेटिंग्ज टॅबमध्ये, तुम्ही रेकॉर्डिंग नोंदीसाठी सर्व्हर सेट करू शकता. लॉगिंग DNAT/SNAT, DHCP, फायरवॉल, राउटिंग, बॅलन्सर, IPsec VPN, SSL VPN Plus साठी कार्य करते.
 
प्रत्येक ऑब्जेक्ट/सेवेसाठी खालील प्रकारच्या सूचना उपलब्ध आहेत:

- डीबग
- अलर्ट
- गंभीर
- त्रुटी
- चेतावणी
- लक्ष द्या
- माहिती

NSX एज परिमाणे

निराकरण केलेल्या कार्यांवर आणि VMware च्या व्हॉल्यूमवर अवलंबून शिफारस करतो खालील आकारात NSX एज तयार करा:

NSX काठ
(कॉम्पॅक्ट)

NSX काठ
(मोठे)

NSX काठ
(चतुर्भुज-मोठा)

NSX काठ
(X-मोठा)

व्हीसीपीयू

1

2

4

6

मेमरी

512MB

1GB

1GB

8GB

डिस्क

512MB

512MB

512MB

4.5GB + 4GB

नियुक्ती

एक
अर्ज, चाचणी
माहिती केंद्र

लहान
किंवा सरासरी
माहिती केंद्र

लोड केले
फायरवॉल

संतुलन
L7 स्तरावर लोड होते

NSX Edge च्या आकारानुसार नेटवर्क सेवांचे ऑपरेटिंग मेट्रिक्स टेबलमध्ये खाली दिले आहेत.

NSX काठ
(कॉम्पॅक्ट)

NSX काठ
(मोठे)

NSX काठ
(चतुर्भुज-मोठा)

NSX काठ
(X-मोठा)

संवाद

10

10

10

10

उप इंटरफेस (ट्रंक)

200

200

200

200

NAT नियम

2,048

4,096

4,096

8,192

ARP नोंदी
ओव्हरराईट होईपर्यंत

1,024

2,048

2,048

2,048

FW नियम

2000

2000

2000

2000

FW कामगिरी

3Gbps

9.7Gbps

9.7Gbps

9.7Gbps

DHCP पूल

20,000

20,000

20,000

20,000

ECMP पथ

8

8

8

8

स्थिर मार्ग

2,048

2,048

2,048

2,048

एलबी पूल

64

64

64

1,024

LB व्हर्च्युअल सर्व्हर

64

64

64

1,024

LB सर्व्हर/पूल

32

32

32

32

एलबी आरोग्य तपासणी

320

320

320

3,072

एलबी अर्जाचे नियम

4,096

4,096

4,096

4,096

L2VPN क्लायंट हब टू स्पोक

5

5

5

5

प्रति क्लायंट/सर्व्हर L2VPN नेटवर्क

200

200

200

200

IPSec बोगदे

512

1,600

4,096

6,000

SSLVPN बोगदे

50

100

100

1,000

SSLVPN खाजगी नेटवर्क

16

16

16

16

समवर्ती सत्रे

64,000

1,000,000

1,000,000

1,000,000

सत्र/सेकंद

8,000

50,000

50,000

50,000

LB थ्रूपुट L7 प्रॉक्सी)

2.2Gbps

2.2Gbps

3Gbps

LB थ्रूपुट L4 मोड)

6Gbps

6Gbps

6Gbps

LB कनेक्शन/s (L7 प्रॉक्सी)

46,000

50,000

50,000

LB समवर्ती कनेक्शन (L7 प्रॉक्सी)

8,000

60,000

60,000

LB कनेक्शन/s (L4 मोड)

50,000

50,000

50,000

LB समवर्ती कनेक्शन (L4 मोड)

600,000

1,000,000

1,000,000

BGP मार्ग

20,000

50,000

250,000

250,000

BGP शेजारी

10

20

100

100

BGP मार्ग पुनर्वितरित

मर्यादा नाही

मर्यादा नाही

मर्यादा नाही

मर्यादा नाही

OSPF मार्ग

20,000

50,000

100,000

100,000

OSPF LSA नोंदी कमाल 750 प्रकार-1

20,000

50,000

100,000

100,000

OSPF संलग्नता

10

20

40

40

OSPF मार्ग पुनर्वितरित

2000

5000

20,000

20,000

एकूण मार्ग

20,000

50,000

250,000

250,000

→ स्त्रोत

सारणी दर्शविते की मोठ्या आकारापासून सुरू होणाऱ्या उत्पादक परिस्थितींसाठी NSX एजवर संतुलन व्यवस्थापित करण्याची शिफारस केली जाते.

आज माझ्याकडे एवढेच आहे. पुढील भागांमध्ये मी प्रत्येक NSX एज नेटवर्क सेवा कशी कॉन्फिगर करावी याबद्दल तपशीलवार माहिती घेईन.

स्त्रोत: www.habr.com