Po krátkej prestávke sa vraciame k NSX. Dnes vám ukážem, ako nastaviť NAT a Firewall.
Na karte Administrácia prejdite do svojho virtuálneho dátového centra – Cloud Resources – Virtuálne dátové centrá.
Vyberte kartu Edge Gateways a kliknite pravým tlačidlom myši na požadovaný NSX Edge. V zobrazenom menu vyberte možnosť Služby Edge Gateway. Ovládací panel NSX Edge sa otvorí v samostatnej karte.
Nastavenie pravidiel Firewall
Predvolene je v položke default rule for ingress traffic vybraná možnosť Deny, t. j. Firewall bude blokovať celý prenos.
Aby ste pridali nové pravidlo, kliknite na +. Zobrazí sa nový záznam s názvom New rule. Upravte jej polia podľa vašich požiadaviek.
V poli Názov zadefinujte názov pravidla, napríklad Internet.
V poli Source zadajte potrebné adresy zdroja. Pomocou tlačidla IP môžete určiť jednotlivú IP adresu, rozsah IP adries alebo CIDR.
Pomocou tlačidla + môžete zadať ďalšie objekty:
- Gateway interfaces. Všetky interné siete (Internal), všetky externé siete (External) alebo Any.
- Virtuálne stroje. Priraďujeme pravidlá k určitému virtuálnemu stroju.
- OrgVdcNetworks. Siete na úrovni organizácie.
- IP Sets. Vopred vytvorená používateľská skupina IP adries (vytvára sa v Grouping object).
V poli Destination upravte adresu príjemcu. Tu sú rovnaké možnosti ako v poli Source.
V poli Service môžete vybrať alebo ručne zadať port príjemcu (Destination Port), potrebný protokol (Protocol), port odosielateľa (Source Port). Kliknite na Keep.
V poli Akcií vyberte požadovanú akciu: povoliť prístup k prenosu, ktorý zodpovedá tomuto pravidlu, alebo zakázať.
Použite zadanú konfiguráciu výberom položky Save changes.
Príklady pravidiel
Pravidlo 1 pre Firewall (Internet) povoľuje prístup na Internet akýmikoľvek protokolmi pre server s IP 192.168.1.10.
Pravidlo 2 pre Firewall (Web-server) povoľuje prístup z internetu cez (TCP protokol, port 80) na vašu vonkajšiu adresu. V tomto prípade – 185.148.83.16:80.
Nastavenie NAT
NAT (Network Address Translation) – prekladať súkromné (šedé) IP adresy na vonkajšie (biele) a naopak. Vďaka tomuto procesu získa virtuálny stroj prístup na internet. Pre nastavenie tohto mechanizmu je potrebné nastaviť pravidlá SNAT a DNAT.
Dôležité! NAT funguje iba pri zapnutom Firewalle a nastavených príslušných povolovacích pravidlách.
Vytváranie pravidla SNAT. SNAT (Source Network Address Translation) – mechanizmus, ktorého podstatou je zmena adresy zdroja pri odosielaní paketu.
Najprv musíte zistiť dostupnú vonkajšiu IP adresu alebo rozsah IP adries. Za týmto účelom prejdite do časti Administrácia a kliknite dvakrát na virtuálne dátové centrum. V zobrazenom menu nastavení prejdite na kartu Edge Gateways. Vyberte požadovaný NSX Edge a kliknite naň pravým tlačidlom myši. Vyberte možnosť Properties.
V okne, ktoré sa objaví na karte Sub-Allocate IP Pools môžete si pozrieť externú IP adresu alebo rozsah IP adries. Zapíšte si ju alebo si ju zapamätajte.
Ďalej kliknite na NSX Edge pravým tlačidlom myši. V zobrazenom menu vyberte možnosť Služby Edge Gateway. A sme opäť v paneli správy NSX Edge.
V zobrazenom okne otvoríme kartu NAT a klikneme na Add SNAT.
V novom okne zadajte:
- v poli Applied on – externá sieť (nie sieť úrovne organizácie!);
- Original Source IP/range – vnútorný rozsah adries, napríklad 192.168.1.0/24;
- Translated Source IP/range – externá adresa, cez ktorú sa bude vykonávať prístup na Internet a ktorú ste si pozreli na karte Sub-Allocate IP Pools.
Kliknite na Keep.
Vytvorenie pravidla DNAT. DNAT – mechanizmus, ktorý mení adresu určenia paketu, ako aj port určenia. Používa sa na presmerovanie prichádzajúcich paketov z externej adresy/portu na privátnu IP adresu/port vo vnútri súkromnej siete.
Vyberieme kartu NAT a klikneme na Add DNAT.
V zobrazenom okne zadajte:
— v poli Applied on – externá sieť (nie sieť úrovne organizácie!);
— Original IP/range – externá adresa (adresa z karty Sub-Allocate IP Pools);
— Protocol – protokol;
— Original Port – port pre externú adresu;
— Translated IP/range – vnútorná IP adresa, napríklad 192.168.1.10
— Translated Port – port pre vnútornú adresu, na ktorý sa bude prekladať port externej adresy.
Kliknite na Keep.
Použite zadanú konfiguráciu výberom položky Save changes.
Hotovo.
Ďalej máme na programe inštrukcie pre DHCP, vrátane nastavenia DHCP Bindings a Relay.
Zdroj: habr.com
