Po krótkiej przerwie wracamy do NSX. Dziś pokażę, jak skonfigurować NAT i zaporę sieciową.
Na zakładce Administracja przejdź do swojego wirtualnego centrum danych – Zasoby w chmurze – Wirtualne centra danych.
Wybierz zakładkę Edge Gateways i kliknij prawym przyciskiem myszy na odpowiedni NSX Edge. W pojawiającym się menu wybierz opcję Usługi bramy krawędziowej. Panel zarządzania NSX Edge otworzy się w nowej karcie.
Konfiguracja reguł zapory sieciowej
Domyślnie w punkcie default rule for ingress traffic wybrano opcję Odrzuć, tzn. zapora będzie blokować cały ruch.
Aby dodać nową regułę, kliknij +. Pojawi się nowy wpis o nazwie Nowa reguła. Edytuj jej pola zgodnie z Twoimi wymaganiami.
W polu Nazwa podaj nazwę reguły, na przykład Internet.
W polu Źródło wprowadź wymagane adresy źródłowe. Przyciskiem IP można ustawić pojedynczy adres IP, zakres adresów IP, CIDR.
Przyciskiem + można ustawić inne obiekty:
- Interfejsy bram. Wszystkie wewnętrzne sieci (Internal), wszystkie zewnętrzne sieci (External) lub Dowolne.
- Maszyny wirtualne. Przypisujemy reguły do konkretnej maszyny wirtualnej.
- OrgVdcNetworks. Sieci na poziomie organizacji.
- Zbiory adresów IP. Wcześniej utworzona przez użytkownika grupa adresów IP (tworzona w obiekcie grupującym).
W polu Cel podaj adres odbiorcy. Tutaj są takie same opcje, jak w polu Źródło.
W polu Service można wybrać lub ręcznie wprowadzić port odbiorcy (Destination Port), wymagany protokół (Protocol), port nadawcy (Source Port). Kliknij Zapisz.
W polu Akcja wybierz odpowiednie działanie: zezwól na ruch zgodny z tą regułą lub go zablokuj.
Zastosuj wprowadzone ustawienia, wybierając punkt Zapisz zmiany.
Przykłady reguł
Reguła 1 dla zapory (Internet) zezwala na dostęp do Internetu dla serwera z adresem IP 192.168.1.10.
Reguła 2 dla zapory (Serwer WWW) zezwala na dostęp z Internetu przez protokół TCP, port 80, przez Twój zewnętrzny adres. W tym przypadku – 185.148.83.16:80.
Konfiguracja NAT
NAT (Translacja adresów sieciowych) – translacja prywatnych (szarych) adresów IP na zewnętrzne (białe) i odwrotnie. Dzięki temu procesowi maszyna wirtualna uzyskuje dostęp do Internetu. Aby skonfigurować ten mechanizm, należy ustawić reguły SNAT i DNAT.
Ważne! NAT działa tylko przy włączonej zaporze i skonfigurowanych odpowiednich regułach zezwalających.
Tworzenie reguły SNAT. SNAT (Source Network Address Translation) – mechanizm, którego istotą jest zmiana adresu źródłowego podczas przesyłania pakietu.
Najpierw musisz ustalić dostępny nam zewnętrzny adres IP lub zakres adresów IP. W tym celu wejdź do sekcji Administracja i kliknij dwukrotnie na wirtualne centrum danych. W pojawiającym się menu ustawień przejdź do zakładki Edge Gateways. Wybierz odpowiedni NSX Edge i kliknij na niego prawym przyciskiem myszy. Wybierz opcję Properties.
W pojawiającym się oknie w zakładce Sub-Allocate IP Pools możesz zobaczyć zewnętrzny adres IP lub zakres adresów IP. Zapisz lub zapamiętaj go.
Następnie kliknij na NSX Edge prawym przyciskiem myszy. W pojawiającym się menu wybierz opcję Usługi bramy krawędziowej. I znowu jesteśmy w panelu sterowania NSX Edge.
W pojawiającym się oknie otwieramy zakładkę NAT i klikamy Dodaj SNAT.
W nowym oknie podaj:
- w polu Applied on – zewnętrzną sieć (nie sieć poziomu organizacji!);
- Original Source IP/range – wewnętrzny zakres adresów, na przykład 192.168.1.0/24;
- Translated Source IP/range – zewnętrzny adres, przez który będzie realizowane połączenie z Internetem i który widziałeś w zakładce Sub-Allocate IP Pools.
Naciśnij Zapisz.
Tworzenie zasady DNAT. DNAT – mechanizm zmieniający adres docelowy pakietu, a także port docelowy. Używany do przekierowywania przychodzących pakietów z zewnętrznego adresu/portu na prywatny adres IP/port wewnątrz prywatnej sieci.
Wybieramy zakładkę NAT i klikamy Dodaj DNAT.
W pojawiającym się oknie podaj:
— w polu Applied on – zewnętrzną sieć (nie sieć poziomu organizacji!);
— Original IP/range – zewnętrzny adres (adres z zakładki Sub-Allocate IP Pools);
— Protocol – protokół;
— Original Port – port dla zewnętrznego adresu;
— Translated IP/range – wewnętrzny adres IP, na przykład 192.168.1.10
— Translated Port – port dla wewnętrznego adresu, na który będzie tłumaczony port zewnętrznego adresu.
Naciśnij Zapisz.
Zastosuj wprowadzone ustawienia, wybierając punkt Zapisz zmiany.
Gotowe.
Następnie instrukcja dotycząca DHCP, w tym konfiguracja DHCP Bindings i Relay.
Źródło: habr.com
