{"id":30009,"date":"2019-10-31T21:33:10","date_gmt":"2019-10-31T18:33:10","guid":{"rendered":"https:\/\/prohoster.info\/blog\/vmware-nsx-dlya-samyh-malenkih-chast-1\/"},"modified":"2019-10-31T21:33:10","modified_gmt":"2019-10-31T18:33:10","slug":"vmware-nsx-dlya-samyh-malenkih-chast-1","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/vmware-nsx-dlya-samyh-malenkih-chast-1","title":{"rendered":"VMware NSX f\u00f6r de minsta. Del 1","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"VMware
\n
\nOm man tittar p\u00e5 konfigurationen av vilken brandv\u00e4gg som helst, s\u00e5 kommer vi f\u00f6rmodligen att se ett stort antal IP-adresser, portar, protokoll och subn\u00e4t. P\u00e5 detta klassiska s\u00e4tt implementeras s\u00e4kerhetspolicyn f\u00f6r anv\u00e4ndares \u00e5tkomst till resurser. F\u00f6rst f\u00f6rs\u00f6ker man h\u00e5lla ordning i konfigurationen, men sedan b\u00f6rjar anst\u00e4llda flytta mellan avdelningar, servrar dupliceras och byter roller, \u00e5tkomster f\u00f6r olika projekt skapas d\u00e4r de normalt inte \u00e4r till\u00e5tna, och hundratals ok\u00e4nda stigar uppst\u00e5r.<\/p>\n

Runt reglerna, om man har tur, finns det kommentarer som \"Be om att g\u00f6ra det, Vasa\" eller \"Detta \u00e4r en passage i DMZ\". N\u00e4tverksadministrat\u00f6ren s\u00e4ger upp sig, och allt blir helt oklart. Sedan best\u00e4mmer sig n\u00e5gon f\u00f6r att rensa konfigurationen fr\u00e5n Vasa, och SAP kraschar eftersom Vasa en g\u00e5ng bad om denna \u00e5tkomst f\u00f6r att f\u00e5 SAP att fungera.<\/p>\n

\"VMware
\n
\nIdag kommer jag att ber\u00e4tta om VMware NSX, som hj\u00e4lper till att till\u00e4mpa n\u00e4tverks- och s\u00e4kerhetspolicys utan r\u00f6ra i brandv\u00e4ggarnas konfigurationer. Jag visar ocks\u00e5 vilka nya funktioner som har tillkommit j\u00e4mf\u00f6rt med vad VMware tidigare hade inom detta omr\u00e5de. <\/a><\/noindex><\/p>\n

VMWare NSX \u2013 en plattform f\u00f6r virtualisering och s\u00e4kerst\u00e4llande av n\u00e4tverkstj\u00e4nster. NSX l\u00f6ser uppgifter relaterade till routning, switching, belastningsbalansering, brandv\u00e4gg och kan mycket annat intressant. <\/p>\n

NSX \u00e4r arvet fr\u00e5n VMware:s egen produkt vCloud Networking and Security (vCNS) och det f\u00f6rv\u00e4rvade Nicira NVP.<\/p>\n

Fr\u00e5n vCNS till NSX<\/h3>\n

\nTidigare hade kunden i en molnl\u00f6sning baserad p\u00e5 VMware vCloud en separat virtuell maskin f\u00f6r vCNS vShield Edge. Denna agerade som en gr\u00e4ns\u00f6verskridande gateway d\u00e4r m\u00e5nga n\u00e4tverksfunktioner kunde konfigureras: NAT, DHCP, brandv\u00e4gg, VPN, belastningsbalanserare etc. vShield Edge begr\u00e4nsade den virtuella maskinens interaktion med omv\u00e4rlden enligt reglerna som angavs i brandv\u00e4ggen och NAT. Inom n\u00e4tverket kommunicerade de virtuella maskinerna fritt med varandra inom subn\u00e4ten. Om man verkligen vill separera och styra trafik kan man skapa ett separat n\u00e4tverk f\u00f6r olika delar av applikationerna (olika virtuella maskiner) och ange motsvarande regler f\u00f6r deras n\u00e4tverksinteraktion i brandv\u00e4ggen. Men detta \u00e4r tidskr\u00e4vande, komplicerat och ointressant, s\u00e4rskilt n\u00e4r man har ett par dussin virtuella maskiner.<\/p>\n

I NSX har VMware realiserat konceptet mikrosektorisering med hj\u00e4lp av en distribuerad brandv\u00e4gg (distributed firewall) som \u00e4r inbyggd i hypervisorens k\u00e4rna. H\u00e4r definieras s\u00e4kerhetspolicyer och n\u00e4tverksinteraktioner inte bara f\u00f6r IP- och MAC-adresser, utan \u00e4ven f\u00f6r andra objekt: virtuella maskiner och applikationer. Om NSX \u00e4r implementerat inom organisationen kan s\u00e5dana objekt vara en anv\u00e4ndare eller en grupp anv\u00e4ndare fr\u00e5n Active Directory. Varje s\u00e5dant objekt blir en mikrosektor i sin s\u00e4kerhetskontext, i det \u00f6nskade subn\u00e4tet, med sin mysiga DMZ :), <\/p>\n

\"VMware
\nTidigare fanns det en enda s\u00e4kerhetsperimeter f\u00f6r hela resursf\u00f6rbundet, skyddad av en gr\u00e4nsswitch, men med NSX kan man avsk\u00e4rma en enskild virtuell maskin fr\u00e5n o\u00f6nskad interaktion, \u00e4ven inom ett och samma n\u00e4tverk. <\/i><\/p>\n

S\u00e4kerhetspolicyer och n\u00e4tverksinteraktioner anpassas om objektet flyttas till ett annat n\u00e4tverk. Till exempel, om vi flyttar en databasmaskin till en annan n\u00e4tverkssektor eller till och med till ett annat kopplat virtuellt datacenter, forts\u00e4tter reglerna som definierats f\u00f6r denna virtuella maskin att g\u00e4lla oavsett dess nya placering. Applikationsservern kommer fortfarande att kunna interagera med databasen.<\/p>\n

Den gamla gr\u00e4nsroutern vCNS vShield Edge har ersatts av NSX Edge. Den har hela den gamla Edge:ns gentlemanpaket plus flera nya anv\u00e4ndbara funktioner. Det \u00e4r vad som kommer att diskuteras h\u00e4rn\u00e4st.<\/p>\n

Vad \u00e4r nytt med NSX Edge?<\/h3>\n

\nFunktionaliteten hos NSX Edge beror p\u00e5 utg\u00e5van<\/a><\/noindex> NSX. Det finns totalt fem: Standard, Professional, Advanced, Enterprise, Plus Remote Branch Office. Allt nytt och intressant kan ses fr\u00e5n och med Advanced. Inklusive det nya gr\u00e4nssnittet, som fram till den fullst\u00e4ndiga \u00f6verg\u00e5ngen av vCloud till HTML5 (VMware lovar sommaren 2019) \u00f6ppnas i en ny flik.<\/p>\n

Brandv\u00e4gg.<\/b> Som objekt som reglerna kommer att till\u00e4mpas p\u00e5 kan man v\u00e4lja IP-adresser, n\u00e4tverk, gateway-gr\u00e4nssnitt och virtuella maskiner. <\/p>\n

\"VMware
\n
\n\"VMware
\n
\nDHCP.<\/b> F\u00f6rutom att st\u00e4lla in IP-adressintervallet som automatiskt kommer att tilldelas virtuella maskiner i detta n\u00e4tverk, har NSX Edge f\u00e5tt funktioner som Binding<\/b> och Relay<\/b>.<\/p>\n

I fliken Bindings<\/b> kan man binda MAC-adressen f\u00f6r den virtuella maskinen till IP-adressen, om man vill att IP-adressen inte ska \u00e4ndras. Det viktigaste \u00e4r att denna IP-adress inte ing\u00e5r i DHCP Pool.<\/p>\n

\"VMware
\n
\nI fliken Relay<\/b> DHCP-meddelanden omdirigeras till DHCP-servrar som ligger utanf\u00f6r din organisation i vCloud Director, inklusive DHCP-servrar f\u00f6r fysisk infrastruktur. <\/p>\n

\"VMware
\n
\nRouting.<\/b> Tidigare kunde endast statisk routing konfigureras med vShield Edge. Nu finns det dynamisk routing med st\u00f6d f\u00f6r OSPF- och BGP-protokoll. ECMP (Active-active) inst\u00e4llningar \u00e4r ocks\u00e5 tillg\u00e4ngliga, vilket m\u00f6jligg\u00f6r aktivt aktiverad failover till fysiska routrar.<\/p>\n

\"VMware
\nKonfigurera OSPF<\/i><\/p>\n

\"VMware
\nBGP-inst\u00e4llning<\/i><\/p>\n

En ny funktion \u00e4r inst\u00e4llningen f\u00f6r rutt\u00f6verf\u00f6ring mellan olika protokoll,
\nrutt\u00f6verf\u00f6ring (route redistribution). <\/p>\n

\"VMware
\n
\nL4\/L7 Lastbalanserare.<\/b> X-Forwarded-For f\u00f6r HTTPs-headern har introducerats. Utan den hade m\u00e5nga problem. Till exempel, om du har en webbplats som du balanserar. Utan att vidarebefordra denna header fungerade allt, men i statistik f\u00f6r webbservern s\u00e5g du inte IP-adresserna f\u00f6r bes\u00f6karna, utan IP-adressen f\u00f6r lastbalanseraren. Nu \u00e4r allt korrekt. <\/p>\n

\u00c4ven i fliken Application Rules kan du nu l\u00e4gga till skript som direkt styr trafikbalanseringen.<\/p>\n

\"VMware
\n
\nVPN. <\/b>F\u00f6rutom IPSec VPN st\u00f6der NSX Edge:<\/p>\n