{"id":30009,"date":"2019-10-31T21:33:10","date_gmt":"2019-10-31T18:33:10","guid":{"rendered":"https:\/\/prohoster.info\/blog\/vmware-nsx-dlya-samyh-malenkih-chast-1\/"},"modified":"2019-10-31T21:33:10","modified_gmt":"2019-10-31T18:33:10","slug":"vmware-nsx-dlya-samyh-malenkih-chast-1","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/vmware-nsx-dlya-samyh-malenkih-chast-1","title":{"rendered":"VMware NSX para os menores. Parte 1","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"VMware
\n
\nSe olharmos a configura\u00e7\u00e3o de qualquer firewall, \u00e9 muito prov\u00e1vel que vejamos uma s\u00e9rie de endere\u00e7os IP, portas, protocolos e sub-redes. Assim, s\u00e3o tradicionalmente implementadas pol\u00edticas de seguran\u00e7a da rede para o acesso dos usu\u00e1rios aos recursos. Inicialmente, a configura\u00e7\u00e3o tenta manter a ordem, mas depois os funcion\u00e1rios come\u00e7am a mudar de departamento, os servidores se multiplicam e mudam suas fun\u00e7\u00f5es, surgem acessos para diferentes projetos onde normalmente n\u00e3o deveriam, resultando em centenas de caminhos desconhecidos.<\/p>\n

Cerca de algumas regras, se tiver sorte, est\u00e3o escritas anota\u00e7\u00f5es como 'Pediu para fazer o Vasya' ou 'Este \u00e9 um acesso na DMZ'. O administrador de rede se demite, e tudo fica ainda mais confuso. Depois, algu\u00e9m decidiu limpar a configura\u00e7\u00e3o do Vasya, e o SAP caiu, pois em algum momento Vasya pediu esse acesso para trabalhar com o SAP de produ\u00e7\u00e3o.<\/p>\n

\"VMware
\n
\nHoje, vou falar sobre a solu\u00e7\u00e3o VMware NSX, que ajuda a aplicar pol\u00edticas de intera\u00e7\u00e3o e seguran\u00e7a de rede pontualmente, sem confus\u00e3o nas configura\u00e7\u00f5es do firewall. Vou mostrar quais novas fun\u00e7\u00f5es surgiram em compara\u00e7\u00e3o com o que VMware tinha anteriormente nesta \u00e1rea. <\/a><\/noindex><\/p>\n

VMware NSX \u2013 \u00e9 uma plataforma de virtualiza\u00e7\u00e3o e seguran\u00e7a para servi\u00e7os de rede. O NSX resolve problemas de roteamento, comuta\u00e7\u00e3o, balanceamento de carga, firewall e muito mais. <\/p>\n

O NSX \u00e9 o sucessor do produto pr\u00f3prio da VMware, vCloud Networking and Security (vCNS), e do adquirido Nicira NVP.<\/p>\n

De vCNS para NSX<\/h3>\n

\nAntes, o cliente na nuvem, constru\u00edda sobre VMware vCloud, tinha uma m\u00e1quina virtual separada vCNS vShield Edge. Ele atuava como um gateway de borda, onde era poss\u00edvel configurar v\u00e1rias fun\u00e7\u00f5es de rede: NAT, DHCP, Firewall, VPN, balanceador de carga, etc. O vShield Edge restringia a intera\u00e7\u00e3o da m\u00e1quina virtual com o mundo exterior de acordo com as regras definidas no Firewall e NAT. Dentro da rede, as m\u00e1quinas virtuais interagiam livremente entre si dentro das sub-redes. Se realmente quiser separar e controlar o tr\u00e1fego, \u00e9 poss\u00edvel criar uma rede separada para diferentes partes de aplicativos (v\u00e1rias m\u00e1quinas virtuais) e definir as regras de intera\u00e7\u00e3o de rede correspondentes no firewall. Mas isso \u00e9 demorado, complicado e desinteressante, especialmente quando voc\u00ea tem v\u00e1rias dezenas de m\u00e1quinas virtuais.<\/p>\n

No NSX, a VMware implementou o conceito de microsegmenta\u00e7\u00e3o com um firewall distribu\u00eddo (distributed firewall), integrado ao n\u00facleo do hipervisor. Nele s\u00e3o definidas pol\u00edticas de seguran\u00e7a e intera\u00e7\u00e3o de rede n\u00e3o apenas para endere\u00e7os IP e MAC, mas tamb\u00e9m para outros objetos: m\u00e1quinas virtuais, aplica\u00e7\u00f5es. Se o NSX estiver implantado dentro da organiza\u00e7\u00e3o, tais objetos podem se tornar usu\u00e1rios ou grupos de usu\u00e1rios do Active Directory. Cada um desses objetos se transforma em um microsegmento em seu contorno de seguran\u00e7a, na sub-rede necess\u00e1ria, com sua pr\u00f3pria DMZ aconchegante :). <\/p>\n

\"VMware
\nNo passado, o per\u00edmetro de seguran\u00e7a era \u00fanico para todo o pool de recursos, protegido por um switch de borda, mas com o NSX \u00e9 poss\u00edvel isolar uma m\u00e1quina virtual de intera\u00e7\u00f5es desnecess\u00e1rias mesmo dentro de uma \u00fanica rede. <\/i><\/p>\n

As pol\u00edticas de seguran\u00e7a e intera\u00e7\u00e3o de rede se adaptam se o objeto se mover para outra rede. Por exemplo, se movermos uma m\u00e1quina com banco de dados para um segmento de rede diferente ou at\u00e9 mesmo para um data center virtual relacionado, as regras definidas para essa m\u00e1quina virtual continuar\u00e3o a ser aplicadas independentemente de sua nova posi\u00e7\u00e3o. O servidor de aplica\u00e7\u00f5es ainda conseguir\u00e1 interagir com o banco de dados.<\/p>\n

O pr\u00f3prio gateway de borda vCNS vShield Edge foi substitu\u00eddo pelo NSX Edge. Ele possui todo o conjunto de funcionalidades do antigo Edge, al\u00e9m de algumas novas e \u00fateis. Sobre isso falaremos a seguir.<\/p>\n

Quais s\u00e3o as novidades do NSX Edge?<\/h3>\n

\nA funcionalidade do NSX Edge depende da edi\u00e7\u00e3o<\/a><\/noindex> NSX. Ao total, existem cinco: Standard, Professional, Advanced, Enterprise, Plus Remote Branch Office. Tudo de novo e interessante s\u00f3 pode ser visto a partir do n\u00edvel Advanced. Inclui tamb\u00e9m a nova interface, que at\u00e9 a completa transi\u00e7\u00e3o do vCloud para HTML5 (a VMware promete no ver\u00e3o de 2019) \u00e9 aberta em uma nova aba.<\/p>\n

Firewall.<\/b> Como objetos aos quais as regras ser\u00e3o aplicadas, pode-se escolher endere\u00e7os IP, redes, interfaces de gateway e m\u00e1quinas virtuais. <\/p>\n

\"VMware
\n
\n\"VMware
\n
\nDHCP.<\/b> Al\u00e9m de configurar a faixa de endere\u00e7os IP que ser\u00e3o automaticamente atribu\u00eddos \u00e0s m\u00e1quinas virtuais desta rede, no NSX Edge agora est\u00e3o dispon\u00edveis funcionalidades de Binding<\/b> e Relay<\/b>.<\/p>\n

Na aba Bindings<\/b> \u00e9 poss\u00edvel vincular o endere\u00e7o MAC de uma m\u00e1quina virtual a um endere\u00e7o IP, caso seja necess\u00e1rio que o endere\u00e7o IP n\u00e3o mude. O principal \u00e9 que esse endere\u00e7o IP n\u00e3o fa\u00e7a parte do DHCP Pool.<\/p>\n

\"VMware
\n
\nNa aba Relay<\/b> A retransmiss\u00e3o de mensagens DHCP para servidores DHCP fora de sua organiza\u00e7\u00e3o no vCloud Director est\u00e1 sendo configurada, incluindo servidores DHCP da infraestrutura f\u00edsica. <\/p>\n

\"VMware
\n
\nRoteamento.<\/b> No vShield Edge, era poss\u00edvel configurar apenas roteamento est\u00e1tico. Agora, o roteamento din\u00e2mico est\u00e1 dispon\u00edvel com suporte aos protocolos OSPF e BGP. Al\u00e9m disso, as configura\u00e7\u00f5es de ECMP (Ativo-ativo) tamb\u00e9m est\u00e3o dispon\u00edveis, o que significa que a comuta\u00e7\u00e3o de falhas do tipo 'ativo-ativo' nos roteadores f\u00edsicos \u00e9 poss\u00edvel.<\/p>\n

\"VMware
\nConfigura\u00e7\u00e3o do OSPF.<\/i><\/p>\n

\"VMware
\nConfigura\u00e7\u00e3o do BGP.<\/i><\/p>\n

Outra novidade \u00e9 a configura\u00e7\u00e3o de transmiss\u00e3o de rotas entre diferentes protocolos,
\nredistribui\u00e7\u00e3o de rotas (route redistribution). <\/p>\n

\"VMware
\n
\nBalanceador de carga L4\/L7.<\/b> Agora h\u00e1 um X-Forwarded-For para o cabe\u00e7alho HTTPs. Sem isso, todos estavam insatisfeitos. Por exemplo, voc\u00ea tem um site que est\u00e1 equilibrando. Sem o repasse desse cabe\u00e7alho, tudo funciona, mas nas estat\u00edsticas do servidor web, voc\u00ea via n\u00e3o os IPs dos visitantes, mas o IP do balanceador. Agora tudo est\u00e1 correto. <\/p>\n

Al\u00e9m disso, na aba Regras de Aplica\u00e7\u00e3o agora \u00e9 poss\u00edvel adicionar scripts que gerenciar\u00e3o diretamente o balanceamento de tr\u00e1fego.<\/p>\n

\"VMware
\n
\nVPN. <\/b>Al\u00e9m da VPN IPSec, o NSX Edge suporta:<\/p>\n