{"id":30009,"date":"2019-10-31T21:33:10","date_gmt":"2019-10-31T18:33:10","guid":{"rendered":"https:\/\/prohoster.info\/blog\/vmware-nsx-dlya-samyh-malenkih-chast-1\/"},"modified":"2019-10-31T21:33:10","modified_gmt":"2019-10-31T18:33:10","slug":"vmware-nsx-dlya-samyh-malenkih-chast-1","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/vmware-nsx-dlya-samyh-malenkih-chast-1","title":{"rendered":"VMware NSX voor de kleinsten. Deel 1","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"VMware
\n
\nAls je de configuratie van een firewall bekijkt, zie je waarschijnlijk een lijst met veel IP-adressen, poorten, protocollen en subnetten. Dit is hoe netwerksbeveiligingsbeleid traditioneel wordt ge\u00efmplementeerd om gebruikers toegang te geven tot middelen. Eerst probeert men de orde in de configuratie te behouden, maar daarna beginnen medewerkers van afdeling naar afdeling te verhuizen, vermenigvuldigen servers en veranderen hun rollen, ontstaan toegangspunten voor verschillende projecten op plaatsen waar dat normaal niet kan, en zo ontstaan er honderden onbekende paden.<\/p>\n

Bij sommige regels staan, als je geluk hebt, opmerkingen zoals \"Vasja vroeg om dit te doen\" of \"Dit is een toegang tot de DMZ\". De netwerkbeheerder vertrekt en alles wordt helemaal onduidelijk. Daarna besloot iemand de configuratie van Vasja op te schonen, en viel SAP omdat Vasja ooit deze toegang vroeg voor de werking van de productie-SAP.<\/p>\n

\"VMware
\n
\nVandaag zal ik je vertellen over de oplossing VMware NSX, die helpt om beleid voor netwerkinteractie en beveiliging gericht toe te passen zonder verwarring in firewallconfiguraties. Ik zal laten zien welke nieuwe functies zijn toegevoegd in vergelijking met wat er eerder bij VMware in dit gebied was. <\/a><\/noindex><\/p>\n

VMware NSX is een platform voor virtualisatie en beveiliging van netwerkdiensten. NSX lost problemen op met routing, switching, load balancing, firewall en heeft veel andere interessante mogelijkheden. <\/p>\n

NSX is de opvolger van VMware's eigen product vCloud Networking and Security (vCNS) en de overgenomen Nicira NVP.<\/p>\n

Van vCNS naar NSX<\/h3>\n

\nVroeger had de klant in de cloud, gebouwd op VMware vCloud, een aparte virtuele machine vCNS vShield Edge. Dit fungeerde als een grensgateway, waar vele netwerkfuncties konden worden ingesteld: NAT, DHCP, Firewall, VPN, load balancer, enz. vShield Edge beperkte de interactie van de virtuele machine met de externe wereld volgens de regels die in de Firewall en NAT waren vastgelegd. Binnen het netwerk communiceerden virtuele machines vrij met elkaar binnen subnetten. Als je echt verkeer wilt scheiden en beheersen, kun je een apart netwerk maken voor specifieke delen van toepassingen (verschillende virtuele machines) en de overeenkomstige regels voor hun netwerkinteractie in de firewall vastleggen. Maar dit is tijdrovend, moeilijk en oninteressant, vooral wanneer je meerdere tientallen virtuele machines hebt.<\/p>\n

Met NSX heeft VMware het concept van microsegmentatie ge\u00efmplementeerd met behulp van een distributed firewall, ingebouwd in de hypervisorkernel. Beveiligings- en netwerkbeleid voor niet alleen IP- en MAC-adressen, maar ook voor andere objecten zoals virtuele machines en applicaties, worden hierin vastgelegd. Als NSX binnen een organisatie is uitgerold, kunnen dergelijke objecten een gebruiker of groep gebruikers uit Active Directory zijn. Elk van deze objecten wordt een microsegment in zijn eigen beveiligingscontour, in het juiste subnet, met zijn eigen gezellige DMZ :), <\/p>\n

\"VMware
\nVoorheen was er \u00e9\u00e9n beveiligingsperimeter voor de hele resourcepool, die werd beschermd door een rand-switch, maar met NSX kun je zelfs binnen \u00e9\u00e9n netwerk een afzonderlijke virtuele machine afschermen van ongewenste interacties. <\/i><\/p>\n

Beveiligings- en netwerkbeleid passen zich aan als het object naar een ander netwerk verhuist. Bijvoorbeeld, als we een database-machine naar een ander netwerksegment of zelfs naar een andere verbonden virtuele datacenter verplaatsen, blijven de regels die voor deze virtuele machine zijn vastgelegd van kracht, ongeacht de nieuwe locatie. De application server kan nog steeds met de database communiceren.<\/p>\n

De oude randgateway vCNS vShield Edge is vervangen door NSX Edge. Dit heeft de gehele gentleman's set van de oude Edge plus enkele nieuwe nuttige functies. Daarover gaat het de volgende keer.<\/p>\n

Wat is nieuw in NSX Edge?<\/h3>\n

\nDe functionaliteit van NSX Edge is afhankelijk van de editie<\/a><\/noindex> NSX. Er zijn in totaal vijf: Standard, Professional, Advanced, Enterprise, Plus Remote Branch Office. Alle nieuwe en interessante functies zijn alleen beschikbaar vanaf Advanced. Inclusief de nieuwe interface, die tot de volledige overstap van vCloud naar HTML5 (VMware belooft de zomer van 2019) in een nieuw tabblad wordt geopend.<\/p>\n

Firewall.<\/b> Als objecten voor het toepassen van regels kunnen IP-adressen, netwerken, gateway-interfaces en virtuele machines worden gekozen. <\/p>\n

\"VMware
\n
\n\"VMware
\n
\nDHCP.<\/b> Naast het instellen van het bereik van IP-adressen die automatisch aan de virtuele machines in dit netwerk worden toegewezen, zijn de functies in NSX Edge beschikbaar geworden. Binding<\/b> en Relay<\/b>.<\/p>\n

In het tabblad Bindings<\/b> je kunt het MAC-adres van de virtuele machine aan het IP-adres koppelen, als het nodig is dat het IP-adres niet verandert. Belangrijk is dat dit IP-adres niet in de DHCP Pool is.<\/p>\n

\"VMware
\n
\nIn het tabblad Relay<\/b> DHCP-berichten worden doorgestuurd naar DHCP-servers buiten uw organisatie in vCloud Director, inclusief de DHCP-servers van de fysieke infrastructuur. <\/p>\n

\"VMware
\n
\nRouting.<\/b> Bij vShield Edge was alleen statische routing configureerbaar. Hier is dynamische routing toegevoegd met ondersteuning voor de protocollen OSPF en BGP. Ook zijn ECSM-instellingen (Actief-actief) beschikbaar gekomen, wat betekent dat ook actieve-actieve failover naar fysieke routers mogelijk is.<\/p>\n

\"VMware
\nInstellen van OSPF<\/i><\/p>\n

\"VMware
\nBGP-configuratie<\/i><\/p>\n

Een andere nieuwigheid is het instellen van route-overdracht tussen verschillende protocollen.
\nroute-herverdeling. <\/p>\n

\"VMware
\n
\nL4\/L7 Load Balancer.<\/b> X-Forwarded-For is nu beschikbaar voor de HTTP-header. Zonder dit was iedereen in de war. Bijvoorbeeld, u heeft een website die u balanceert. Zonder deze header te passeren werkt alles, maar in de statistieken van de webserver zag u niet de IP-adressen van de bezoekers, maar het IP-adres van de load balancer. Nu is alles correct. <\/p>\n

Ook in het tabblad Application Rules kunnen nu scripts worden toegevoegd die direct de traffic balancing beheren.<\/p>\n

\"VMware
\n
\nVPN. <\/b>Naast IPSec VPN ondersteunt NSX Edge:<\/p>\n