{"id":30009,"date":"2019-10-31T21:33:10","date_gmt":"2019-10-31T18:33:10","guid":{"rendered":"https:\/\/prohoster.info\/blog\/vmware-nsx-dlya-samyh-malenkih-chast-1\/"},"modified":"2019-10-31T21:33:10","modified_gmt":"2019-10-31T18:33:10","slug":"vmware-nsx-dlya-samyh-malenkih-chast-1","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sl\/blog\/vmware-nsx-dlya-samyh-malenkih-chast-1","title":{"rendered":"VMware NSX za najmlaj\u0161e. Del 1","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"VMware
\n
\n\u010ce pogledamo konfiguracijo katerega koli po\u017earnega zidu, bomo najverjetneje videli dolge sezname IP naslovov, vrat, protokolov in podomre\u017eij. Tako se klasi\u010dno izvajajo politike omre\u017ene varnosti za dostop uporabnikov do virov. Sprva si v konfiguraciji prizadevajo ohranjati red, a nato zaposleni za\u010dnejo prehajati iz oddelka v oddelek, stre\u017eniki se pomno\u017eijo in spreminjajo svoje vloge, dostopi za razli\u010dne projekte se pojavijo tam, kjer obi\u010dajno ne bi smeli, in nastanejo stotine neznanih 'kozjih stez'.<\/p>\n

Okoli nekaterih pravil, \u010de ima\u0161 sre\u010do, so zapisani komentarji \u201eVasja je prosil, da to naredi\u201c ali \u201eTo je prehod v DMZ\u201c. Omre\u017eni skrbnik odide, in vse postane \u0161e bolj zmedeno. Potem se nekdo odlo\u010di o\u010distiti konfiguracijo od Vasje, in pade SAP, ker je Vasja neko\u010d zahteval ta dostop za delovanje operativnega SAP-a.<\/p>\n

\"VMware
\n
\nDanes bom govoril o re\u0161itvi VMware NSX, ki pomaga natan\u010dno uvesti politike omre\u017ene interakcije in varnosti brez zmede v konfiguracijah po\u017earnih zidov. Prikazal bom, katere nove funkcije so se pojavile v primerjavi s tem, kar je bilo prej pri VMware na tem podro\u010dju. <\/a><\/noindex><\/p>\n

VMWare NSX \u2013 platforma za virtualizacijo in zagotavljanje varnosti omre\u017enih storitev. NSX re\u0161uje naloge usmerjanja, preklopa, uravnote\u017eenja obremenitev, po\u017earnega zidu in \u0161e mnogo drugega zanimivega. <\/p>\n

NSX je naslednik lastnega izdelka VMware vCloud Networking and Security (vCNS) in pridobljenega Nicira NVP.<\/p>\n

Od vCNS do NSX<\/h3>\n

\nPrej je imel stranka v oblaku, zgrajenem na VMware vCloud, lo\u010deno virtualno napravo vCNS vShield Edge. Ta je delovala kot mejni prehod, kjer je bilo mogo\u010de nastaviti \u0161tevilne omre\u017ene funkcije: NAT, DHCP, po\u017earni zid, VPN, uravnote\u017eevalnik obremenitev itd. vShield Edge je omejeval interakcijo virtualne naprave z zunanjim svetom v skladu s pravili, zapisanim v po\u017earnem zidu in NAT. Znotraj omre\u017eja so si virtualne naprave prosto izmenjavale podatke v okviru podomre\u017eij. \u010ce si \u017eeli\u0161 zelo lo\u010diti in obvladovati promet, lahko ustvari\u0161 lo\u010deno omre\u017eje za posamezne dele aplikacij (razli\u010dne virtualne naprave) in v po\u017earnem zidu zapisuje\u0161 ustrezna pravila za njihovo omre\u017eno interakcijo. A to je zamudno, zahtevno in nezanimivo, zlasti ko ima\u0161 nekaj deset virtualnih naprav.<\/p>\n

V NSX je VMware uresni\u010dila koncept mikropolaganja z uporabo distribuiranega po\u017earnega zidu (distributed firewall), vgrajenega v jedro hipervizorja. V njem so zapisane varnostne politike in omre\u017ene interakcije ne le za IP- in MAC-naslove, ampak tudi za druge objekte: virtualne stroje, aplikacije. \u010ce je NSX name\u0161\u010den znotraj organizacije, lahko tak\u0161ni objekti postanejo uporabniki ali skupine uporabnikov iz Active Directory. Vsak tak objekt postane mikropolaganje v svojem varnostnem konturu, v pravilni podomre\u017eni skupini, s svojo prijetno DMZ :), <\/p>\n

\"VMware
\nPrej je bil varnostni obod en sam za celoten sklop virov, za\u0161\u010diten z obmejnim st Switch, ta pa omogo\u010da, da se od nepotrebnih interakcij lo\u010di posamezen virtualni stroj tudi znotraj ene same mre\u017ee. <\/i><\/p>\n

Varnostne politike in omre\u017ene interakcije se prilagodijo, ko objekt prehaja v drugo omre\u017eje. Na primer, \u010de premaknemo stroj z bazo podatkov v drugo omre\u017eno segment ali celo v drug povezan virtualni podatkovni center, se bodo pravila, zapisane za ta virtualni stroj, nadaljevala z delovanjem ne glede na njegovo novo lokacijo. Stre\u017enik aplikacij bo \u0161e vedno lahko interagiral z bazo podatkov.<\/p>\n

Na mesto obmejnega prehoda vCNS vShield Edge je pri\u0161el NSX Edge. Ima celoten mo\u0161ki komplet starega Edge plus nekaj novih koristnih funkcij. O tem bo govora naprej.<\/p>\n

Kaj je novega pri NSX Edge?<\/h3>\n

\nFunkcionalnost NSX Edge je odvisna od izdaje<\/a><\/noindex> NSX. Skupaj je pet: Standard, Professional, Advanced, Enterprise, Plus Remote Branch Office. Vse novo in zanimivo je mogo\u010de videti \u0161ele od Advanced. Vklju\u010dno z novim vmesnikom, ki se pred popolnim prehodom v vCloud na HTML5 (VMware obljublja poletje 2019) odpira v novem zavihku.<\/p>\n

Po\u017earni zid.<\/b> Kot objekti, na katere bodo veljala pravila, lahko izberete IP-naslove, omre\u017eja, vmesnike prehoda in virtualne stroje. <\/p>\n

\"VMware
\n
\n\"VMware
\n
\nDHCP.<\/b> Poleg nastavitve obsega IP-naslovov, ki bodo samodejno dodeljeni virtualnim strojem v tem omre\u017eju, so v NSX Edge postale dostopne funkcije Binding<\/b> in Relay<\/b>.<\/p>\n

V zavihku Bindings<\/b> lahko pove\u017eete MAC-naslov virtualnega stroja z IP-naslovom, \u010de \u017eelite, da se IP-naslov ne spreminja. Pomembno je, da ta IP-naslov ne spada v DHCP Pool.<\/p>\n

\"VMware
\n
\nV zavihku Relay<\/b> Konfigurira se proslje\u0111ivanje DHCP poruka DHCP serverima koji se nalaze izvan va\u0161e organizacije u vCloud Director, uklju\u010duju\u0107i i DHCP servere fizi\u010dke infrastrukture. <\/p>\n

\"VMware
\n
\nUsmjeravanje.<\/b> Na vShield Edge mogao se konfigurirati samo stati\u010dki routing. Ovde je uvedeno dinami\u010dko usmjeravanje uz podr\u0161ku protokola OSPF i BGP. Tako\u0111er su dostupne ECMP (Aktivno-aktivne) postavke, \u0161to omogu\u0107ava i prebacivanje na fizi\u010dke usmjeriva\u010de u slu\u010daju kvara.<\/p>\n

\"VMware
\nPostavljanje OSPF-a<\/i><\/p>\n

\"VMware
\nPostavljanje BGP-a<\/i><\/p>\n

Jo\u0161 jedna novost je postavljanje prijenosa ruta izme\u0111u razli\u010ditih protokola,
\nredistribucija ruta (route redistribution). <\/p>\n

\"VMware
\n
\nL4\/L7 Ravnote\u017ea optere\u0107enja.<\/b> Uveden je X-Forwarded-For za HTTPs zaglavlje. Bez njega svi su se \u017ealili. Na primjer, imate sajt koji balansirate. Bez proslje\u0111ivanja ovog zaglavlja sve radi, ali u statistici web servera vidjeli ste ne IP posjetitelja, ve\u0107 IP ravnote\u017eiva\u010da. Sada je sve ispravno. <\/p>\n

Tako\u0111er, na kartici Application Rules sada mo\u017eete dodavati skripte koje \u0107e izravno upravljati balansiranjem prometa.<\/p>\n

\"VMware
\n
\nVPN. <\/b>Pored IPSec VPN-a, NSX Edge podr\u017eava:<\/p>\n