posted

0 Comments

こんにちは、VMwareの屋良です。
先日開催されたInterop Tokyo 2014にて、弊社ブースに足を運んでいただきありがとうございました。
ブース内のNSXコーナー及びミニシアターなどを通して、NSXをご紹介しておりましたが、NSXエコシステムパートナーである、Palo Alto Networks(PAN)ブースでもNSXの展示を行っていただきました。
本日は、NSXとPANの連携について、改めてご紹介します。
NSX 分散Firewallの特長とエコシステムパートナー連携
NSXでは、機能の1つとして、以下の様な特長を持つ、分散Firewallを提供しています。

  • kernel組み込みによる高い処理性能
  • ハイパーバイザー単位で分散処理可能なスケールアウト型アーキテクチャ
  • VM,vNIC,クラスタといった、オブジェクト単位でのポリシー定義

しかし、現在では、アプリケーションの振る舞いをチェックして制御を行う、といった、より高度なFirewallが求められることも多くなってきています。
そういった、NSXだけで実現できない点に対して、NSXのエコシステムパートナーと呼ばれるパートナー企業がNSXと連携する機能を提供しています。この仕組みを利用することで、以下のようなPANの優れた機能がNSXと一緒に動作することになります。

  • アプリケーション等の細やかなトラフィック可視化
  • IP,Port番号に依存しない、アプリ、ユーザの識別及びポリシー制御
  • 情報漏洩、マルウェアといった未知の脅威からの防御
NSX分散FirewallとPAN 次世代Firewallの特徴

NSX分散FirewallとPAN 次世代Firewallの特徴

NSX-PAN構成/動作イメージ
NSXとPAN連携は、大きく以下のコンポーネントによって構成されています。

  • NSX:vCenter及び、NSX Manager
  • PAN:Panorama(管理コンポーネント)及び、VM-series FW

実際のトラフィックの流れは次のようになります。

  1. PANにリダイレクトすべきトラフィックか(NSX側に設定)、チェック
  2. 対象トラフィックはFirewall処理を行うVM-series FWにリダイレクト
    その際、通常のネットワークではなく、ハイパーバイザ内の通信パス(VMCI/VM Communication Interface)を利用して行われるため、効率的かつ、Guest VMに対して透過的に行われる(vMotionした際も、もちろん追従可能)
構成/動作イメージ

構成/動作イメージ

NSX-PAN連携の特長
より高度なFirewall機能をシステムに取り込める点は、もちろんですが、それ以外にも、以下のような特長があります。

  • NSX-PAN間でのオブジェクト情報連携:NSXの管理コンポーネントであるNSX ManagerとPANの管理コンポーネントであるPanorama間でオブジェクト情報を連携することで、動的なポリシー制御が可能

これにより、「Webサーバのグループと、Appサーバのグループ間のみ通信を許可する」といったシンプルな定義となるので、ポリシー数が減るだけでなく、ぱっと見ただけで内容が分かるようになります。そのため、ACLのように、1つ1つのポリシーを読み解くという手間を減らすことが可能です。

NSX-PAN間でのオブジェクト情報連携

NSX-PAN間でのオブジェクト情報連携

  • PAN VM-serices FW自動展開:Firewall処理を行うPANのコンポーネントであるVM-series FWをホストの増設に合わせて自動展開

NSXは、仮想基盤のリソース追加と同じタイミングで利用できるようになりますが、同様に、VM-series FWもそれに合わせて、自動展開されるため、リソース追加時のVM-series FWセットアップの手間を削減することが可能です。

VM-series FWの自動展開

VM-series FWの自動展開

利用シーン
NSX-PAN連携により、次のような利用シーンが考えられます。

  • VDI環境のセキュリティ強化:各ユーザデスクトップからのアクセスをチェックし、マルウェアや不正サイトへのアクセスを検知/制御
  • 不正アクセスの被害拡散防止:従来のセグメント間だけでなく、同一セグメント内にあるVM同士の通信についてもチェック/制御することで、仮に侵入されても被害の拡散を防止

下記は、利用シーンの1つである、Webアプリケーションへの適用例となります。「特定キーワードを含むWebサイトへのアクセスをブロック」かつ「各Tier間のアクセスを制限」した例となります。Interop会場においても、オンラインデモを実施していましたので、御覧頂いた方もいらっしゃるのではないでしょうか。

Webアプリケーションへの適用例

Webアプリケーションへの適用例

今回は、PANにフォーカスした、連携ご紹介でしたが、エコシステムパートナーは今後も広がっていきますので 、ご期待ください!