{"id":30009,"date":"2019-10-31T21:33:10","date_gmt":"2019-10-31T18:33:10","guid":{"rendered":"https:\/\/prohoster.info\/blog\/vmware-nsx-dlya-samyh-malenkih-chast-1\/"},"modified":"2019-10-31T21:33:10","modified_gmt":"2019-10-31T18:33:10","slug":"vmware-nsx-dlya-samyh-malenkih-chast-1","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/vmware-nsx-dlya-samyh-malenkih-chast-1","title":{"rendered":"VMware NSX dla najm\u0142odszych. Cz\u0119\u015b\u0107 1","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"VMware
\n
\nSpogl\u0105daj\u0105c na konfiguracj\u0119 dowolnej zapory, prawdopodobnie zobaczymy d\u0142ug\u0105 list\u0119 z du\u017c\u0105 ilo\u015bci\u0105 adres\u00f3w IP, port\u00f3w, protoko\u0142\u00f3w i podsieci. Tak klasycznie realizowane s\u0105 polityki bezpiecze\u0144stwa sieciowego do dost\u0119pu u\u017cytkownik\u00f3w do zasob\u00f3w. Na pocz\u0105tku w konfiguracji staraj\u0105 si\u0119 utrzymywa\u0107 porz\u0105dek, ale potem pracownicy przechodz\u0105 z dzia\u0142u do dzia\u0142u, serwery si\u0119 rozmna\u017caj\u0105 i zmieniaj\u0105 swoje role, pojawiaj\u0105 si\u0119 dost\u0119pno\u015bci dla r\u00f3\u017cnych projekt\u00f3w tam, gdzie normalnie nie powinny by\u0107, i powstaj\u0105 setki nieznanych \u015bcie\u017cek.<\/p>\n

Przy jakich\u015b zasadach, je\u015bli si\u0119 uda, zapisane s\u0105 komentarze \u201eProsi\u0142em o to Wania\u201d lub \u201eTo przej\u015bcie w DMZ\u201d. Administrator sieci odchodzi, a wszystko staje si\u0119 ca\u0142kowicie niejasne. P\u00f3\u017aniej kto\u015b postanawia oczy\u015bci\u0107 konfiguracj\u0119 z Wani, a SAP pada, bo kiedy\u015b Wania prosi\u0142 o ten dost\u0119p, aby pracowa\u0107 z dzia\u0142aj\u0105cym SAP.<\/p>\n

\"VMware
\n
\nDzi\u015b opowiem o rozwi\u0105zaniu VMware NSX, kt\u00f3re pomaga punktowo stosowa\u0107 polityki interakcji sieciowej i bezpiecze\u0144stwa bez zamieszania w konfiguracjach zapory. Poka\u017c\u0119, jakie nowe funkcje pojawi\u0142y si\u0119 w por\u00f3wnaniu do tego, co wcze\u015bniej by\u0142o dost\u0119pne w VMware w tej dziedzinie. <\/a><\/noindex><\/p>\n

VMWare NSX to platforma wirtualizacji i zabezpieczania us\u0142ug sieciowych. NSX realizuje zadania routingu, prze\u0142\u0105czania, r\u00f3wnowa\u017cenia obci\u0105\u017cenia, zapory i wiele innych interesuj\u0105cych funkcji. <\/p>\n

NSX jest nast\u0119pc\u0105 w\u0142asnego produktu VMware vCloud Networking and Security (vCNS) oraz nabytej technologii Nicira NVP.<\/p>\n

Od vCNS do NSX<\/h3>\n

\nWcze\u015bniej klient w chmurze opartej na VMware vCloud mia\u0142 oddzieln\u0105 maszyn\u0119 wirtualn\u0105 vCNS vShield Edge. Pe\u0142ni\u0142a ona rol\u0119 bramy granicznej, gdzie mo\u017cna by\u0142o skonfigurowa\u0107 wiele funkcji sieciowych: NAT, DHCP, zapora, VPN, r\u00f3wnowa\u017cnik obci\u0105\u017cenia itd. vShield Edge ogranicza\u0142 interakcj\u0119 maszyny wirtualnej z zewn\u0119trznym \u015bwiatem zgodnie z zasadami zapisanymi w zaporze i NAT. W obr\u0119bie sieci maszyny wirtualne komunikowa\u0142y si\u0119 ze sob\u0105 swobodnie w ramach podsieci. Je\u015bli naprawd\u0119 chce si\u0119 podzieli\u0107 i kontrolowa\u0107 ruch, mo\u017cna stworzy\u0107 oddzieln\u0105 sie\u0107 dla r\u00f3\u017cnych cz\u0119\u015bci aplikacji (r\u00f3\u017cnych maszyn wirtualnych) i zapisa\u0107 w zaporze odpowiednie zasady dotycz\u0105ce ich interakcji sieciowej. Ale to zajmuje du\u017co czasu, jest skomplikowane i nieciekawie, zw\u0142aszcza gdy masz kilka dziesi\u0105tk\u00f3w maszyn wirtualnych.<\/p>\n

W NSX VMware wprowadzi\u0142 koncepcj\u0119 mikros segmentacji dzi\u0119ki rozproszonemu zaporze (distributed firewall), zintegrowanemu z rdzeniem hypervisora. Definiowane s\u0105 w nim polityki bezpiecze\u0144stwa i interakcji sieciowej nie tylko dla adres\u00f3w IP i MAC, ale tak\u017ce dla innych obiekt\u00f3w: maszyn wirtualnych, aplikacji. Je\u017celi NSX jest wdro\u017cony w organizacji, to takimi obiektami mog\u0105 by\u0107 u\u017cytkownik lub grupa u\u017cytkownik\u00f3w z Active Directory. Ka\u017cdy z takich obiekt\u00f3w staje si\u0119 mikros segmentem w swoim obszarze bezpiecze\u0144stwa, w odpowiedniej podsieci, ze swoj\u0105 przytuln\u0105 DMZ :). <\/p>\n

\"VMware
\nWcze\u015bniej perymetr bezpiecze\u0144stwa by\u0142 jeden dla ca\u0142ego zasobu, chroniony przez prze\u0142\u0105cznik graniczny, a dzi\u0119ki NSX mo\u017cna wydzieli\u0107 od niepo\u017c\u0105danych interakcji pojedyncz\u0105 maszyn\u0119 wirtualn\u0105 nawet w obr\u0119bie jednej sieci. <\/i><\/p>\n

Polityki bezpiecze\u0144stwa i interakcji sieciowej s\u0105 dostosowywane, je\u015bli obiekt przenosi si\u0119 do innej sieci. Na przyk\u0142ad, je\u015bli przeniesiemy maszyn\u0119 z baz\u0105 danych do innego segmentu sieci lub nawet do innego powi\u0105zanego wirtualnego centrum danych, to zasady okre\u015blone dla tej wirtualnej maszyny nadal b\u0119d\u0105 obowi\u0105zywa\u0107 niezale\u017cnie od jej nowego miejsca. Serwer aplikacji nadal b\u0119dzie m\u00f3g\u0142 komunikowa\u0107 si\u0119 z baz\u0105 danych.<\/p>\n

Na miejsce samego brzegowego bramy vCNS vShield Edge przyszed\u0142 NSX Edge. Ma on ca\u0142y zestaw funkcji starego Edge, a tak\u017ce kilka nowych, przydatnych funkcji. O nich b\u0119dzie mowa dalej.<\/p>\n

Co nowego w NSX Edge?<\/h3>\n

\nFunkcjonalno\u015b\u0107 NSX Edge zale\u017cy od edycji<\/a><\/noindex> NSX. Jest ich pi\u0119\u0107: Standard, Professional, Advanced, Enterprise, Plus Remote Branch Office. Wszystko nowe i interesuj\u0105ce mo\u017cna zobaczy\u0107 dopiero zaczynaj\u0105c od Advanced. W tym tak\u017ce nowy interfejs, kt\u00f3ry do pe\u0142nego przej\u015bcia vCloud na HTML5 (VMware obiecuje lato 2019 roku) otwiera si\u0119 w nowej zak\u0142adce.<\/p>\n

Zapora.<\/b> Jako obiekty, do kt\u00f3rych b\u0119d\u0105 stosowane zasady, mo\u017cna wybra\u0107 adresy IP, sieci, interfejsy bramy oraz maszyny wirtualne. <\/p>\n

\"VMware
\n
\n\"VMware
\n
\nDHCP.<\/b> Opr\u00f3cz konfigurowania zakresu adres\u00f3w IP, kt\u00f3re b\u0119d\u0105 automatycznie przydzielane maszynom wirtualnym w tej sieci, w NSX Edge dost\u0119pne sta\u0142y funkcje Binding<\/b> i Relay<\/b>.<\/p>\n

Na zak\u0142adce Bindings<\/b> mo\u017cna powi\u0105za\u0107 adres MAC maszyny wirtualnej z adresem IP, je\u015bli konieczne jest, aby adres IP si\u0119 nie zmienia\u0142a. Wa\u017cne, aby ten adres IP nie znajdowa\u0142 si\u0119 w pulach DHCP.<\/p>\n

\"VMware
\n
\nNa zak\u0142adce Relay<\/b> Konfigurowanie przekazywania komunikat\u00f3w DHCP do serwer\u00f3w DHCP znajduj\u0105cych si\u0119 poza Twoj\u0105 organizacj\u0105 w vCloud Director, w tym do serwer\u00f3w DHCP infrastruktury fizycznej. <\/p>\n

\"VMware
\n
\nRouting.<\/b> W vShield Edge mo\u017cna by\u0142o konfigurowa\u0107 tylko statyczne routingi. Teraz pojawi\u0142 si\u0119 dynamiczny routing z obs\u0142ug\u0105 protoko\u0142\u00f3w OSPF i BGP. Dost\u0119pne s\u0105 tak\u017ce ustawienia ECMP (aktywny-aktywny), co umo\u017cliwia prze\u0142\u0105czanie awaryjne typu 'aktywny-aktywny' na fizyczne routery.<\/p>\n

\"VMware
\nKonfiguracja OSPF<\/i><\/p>\n

\"VMware
\nKonfiguracja BGP<\/i><\/p>\n

Kolejn\u0105 nowo\u015bci\u0105 jest mo\u017cliwo\u015b\u0107 przekazywania tras mi\u0119dzy r\u00f3\u017cnymi protoko\u0142ami,
\nprzekazywanie tras (route redistribution). <\/p>\n

\"VMware
\n
\nBalansowanie obci\u0105\u017cenia L4\/L7.<\/b> Pojawi\u0142 si\u0119 nag\u0142\u00f3wek X-Forwarded-For dla protoko\u0142u HTTPs. Bez niego wszyscy byli niezadowoleni. Na przyk\u0142ad, masz stron\u0119, kt\u00f3r\u0105 r\u00f3wnowa\u017cysz. Bez przekazywania tego nag\u0142\u00f3wka wszystko dzia\u0142a, ale w statystyce serwera WWW widzia\u0142e\u015b nie IP odwiedzaj\u0105cych, a IP r\u00f3wnowa\u017cnika. Teraz wszystko jest ju\u017c poprawne. <\/p>\n

R\u00f3wnie\u017c w zak\u0142adce Application Rules mo\u017cna teraz dodawa\u0107 skrypty, kt\u00f3re b\u0119d\u0105 bezpo\u015brednio zarz\u0105dza\u0107 r\u00f3wnowa\u017ceniem ruchu.<\/p>\n

\"VMware
\n
\nVPN. <\/b>Opr\u00f3cz IPSec VPN, NSX Edge obs\u0142uguje:<\/p>\n