posted

0 Comments

NSX Intelligence 是 NSX Data Center 内置的一个功能,它对整个 NSX 管理下的虚拟化网络环境进行智能分析,从而为管理员推荐安全隔离策略,并对整个网络中的数据流量提供可视化的图形展现。NSX Intelligence 最早是在 NSX-T 2.5 的版本中推出的,并在后续的版本中不断增强和完善。

NSX Intelligence 的工作原理并不复杂,NSX 本身就是一个分布式的虚拟网络平台,每一台虚机都通过 NSX 虚拟网络来传递数据,NSX 当然可以轻而易举地收集数据包的流向和流量信息,加以分析处理,就可以提供对于网络流量的深入洞察。相比之下,在物理网络中要实现类似的功能就要费力许多,往往需要把数据包汇集到集中的分析节点,这会造成发卡流量并占用额外的网络带宽。

NSX Intelligence 主要有以下几种应用场景:

  • 推荐网络隔离安全策略
    通过对于网络数据流量的分析,NSX Intelligence 可以提取出网络数据的流量模式,例如:需要把同一个应用的几个节点划分在同一个安全组和网络微分段中,以保证它们之的正常通信。基于这个分析结果,NSX Intelligence 会自动整理出一组相应的防火墙规则,经管理员审核批准后就可以发布生效,从而形成网络微分段对节点之间的通信进行保护。
  • 检查和维护安全策略合规
    因为 NSX Intelligence 有关于整个网络中所有节点之间的通信的完备记录,可以对节点之间的网络通信是否符合安全规定进行检查,并提示管理员做出相应的整改和修复动作。
  • 简化安全事件的排查工作
    当网络通信发生故障或异常情况时,NSX Intelligence 提供的图示化展示可以让管理员更加方便地进行故障排查,管理员可以根据数据的流动方向而在节点之间跳转,这对于快速定位故障原因是很有帮助的。

 

NSX Intelligence 功能一览

下图展现的就是 NSX Intelligence 所收集到的网络安全姿态 (Security Posture),可以看到大部分虚机都已经归在不同的安全组中,但是也有2个虚机还不属于任何一个安全组 (中间浅蓝色标注),这2个虚机值得管理员进一步分析,然后把它们归到对应的安全组中去。

 

并且可以进一步把所有未分类的虚机展示出来,我们可以看到下图中有些虚机之间是存在网络通信的,但是这些通信还没有受到 NSX 微分段的保护。

 

NSX Intelligence 也可以把某一个虚机和它所有关联的虚机展现出来,这个拓扑结构是 NSX 根据对于网络流量的观察而得出的,可以以此为依据来让 NSX Intelligence 推荐防火墙规则。

 

下面就是一个推荐的防火墙规则,根据 NSX Intelligence 所观察的结果,Group-1 和 Group-2 之间存在 SSH 数据包通信,所以推荐一条仅允许这两个组之间进行 SSH 通信的防火墙规则。

 

 

NSX Intelligence 和 vRealize Network Insight

熟悉 VMware 产品的小伙伴可能发现 NSX Intelligence 跟 vRealize Network Insight (vRNI) 的很多功能类似,的确是这样的,但是这两个模块的定位有所不同:

  • NSX Intelligence 主要定位于网络和应用安全团队,帮助他们自动发现、推荐虚机和应用隔离规则;
  • vRNI 主要定位于网络运维团队,帮助他们快速了解网络现状、快速解决问题,而且 vRNI 还支持 SD-WAN,这是 NSX Intelligence 所不具备的。

 

NSX Intelligence 是 NSX-T 中的功能,在 NSX-V 中类似的功能叫 Application Rule Manager。目前 NSX Data Center 产品有两个分枝 (edition),一个是基于 vSphere 的传统 NSX,我们称之为 NSX-V,到版本 6.4.x 为止 NSX-V 就不再开发新版本;另一个是全新开发的下一代 NSX 产品,项目代号”变形金刚 (Transformer)”,称之为 NSX-T,从 2019 年初发布的 2.4 开始,全面接续 NSX Data Center 产品线。