posted

0 Comments

作者: Colin Jao 饒康立 – VMware資深技術顧問,主要負責VMware NSX產品線,目前致力於網路虛擬化、分散式安全防護技術與SD-WAN方案的介紹與推廣。

NSX-T與NSX for vSphere兩個版本間最大的差異,就是NSX for vSphere僅支援vSphere環境與虛機,但NSX-T可以支援不同Hypervisor、虛機及容器、私有雲與公有雲。架構上當然是NSX-T更為開放與兼容,可是僅在vSphere上運作也有好處:可以和vCenter / vSphere整合的更為緊密。

請大家回憶一下NSX for vSphere的操作:當我們要配置分散式防火牆規則的來源或目的端時,除了採用IP地址或是IPSet(IP集合)外,還有哪些其他的方式?

  • 直接選虛機或是某個vNic網卡
  • 選擇一整個vCenter DataCenter / Cluster / Resource Pool / vApp
  • 選擇指定的Distributed Switch Port Group或是Logical Switch
  • 選擇一個安全群組 (Security Group)

而當我們要配置一個Security Group時,也有很多方法把指定的應用或部門機器自動納進來,包含了

  • 虛擬機器的VM Name或是Hostname
  • 虛擬機器的作業系統
  • 虛擬機器上被標注的Security Tag
  • 用大的安全群組去包含多個小的安全群組

上面的配置方式非常動態且彈性,可以說是廣為我們NSX用戶喜愛的配置機制。但是在NSX-T內,因為要支援其他虛擬化平台如KVM,因為要支援容器,因為要支援公有雲,此時NSX-T在架構上兼容的好處反而會變成管理上可能會有些限制。比如說,在其他的非vSphere平台上,虛機抓得到作業系統嗎?其他的非vSphere平台上,有Cluster / Resource Pool / vApp這類的配置嗎?

因此,在NSX-T Data Center內,我們僅會支援下面這幾種機制作為防火牆的來源與目的地配置:

  • IP地址或是IPSet集合
  • 指定的NSX-T邏輯交換器
  • 指定的Logical Port (對應到虛機的vNic,或是一個K8S Pod)
  • 指定的群組 (NSGroup)

而在NSX-T內,我們不再是叫做安全群組,而是改名為NSGroup。這個NSGroup的全名是什麼…PM也沒有和我們講,應該是NSX-T Security Group的意思吧(自己解釋)。重點是現在如果建立一個NSGroup,裡面的群組成員有包括了

  • 靜態的指定:包含IPSet / Logical Port / Logical Switch / MACSet,或是去包含其他的小NSGroup
  • 動態的指定:可以指定虛機或是Logical Port。如果是虛機,可以用虛機的名稱或是虛機的標籤 (Tag),而如果是Logical Port,僅能使用標籤。

這邊NSX-T的Tag對應到的就是之前NSX for vSphere的安全標籤 (Security Tag),不是vCenter內對到一個VM的Tag喔。

下圖內,我們可以看到在NSX-T內,對應到一個虛機,管理者所打的標籤:

 

 

這裡的標籤可以是管理者在UI介面上面配置,或自動化系統利用NSX-T API來配置。有一個重點:大家有沒有注意到,現在的Tags變成是二次項,我們可以先定義一個特定意義的Scope,代表一個屬性像是擁有者、租戶、應用系統、機敏等級等等,然後在對應這個Scope後面的Tag再打上對應的值。上圖內,

  • 定義了一個租戶的Scope (Tenant),然後租戶名稱是Customer-01
  • 定義了一個業務系統的Scope (Application),然後這個虛機的業務系統是CRM
  • 定義了一個特定的應用構件層Scope (Tier),這個虛機是隸屬於Web層

這樣兩層式的架構,標籤定義上是不是比NSX for vSphere的單層標籤清楚的多呢?以前如果我們打個tag叫colin,大家看到了可能搞不清楚這是owner / project name / tenant name還是到底什麼東西,但現在這種兩層架構就能夠把各個標籤定義的非常清楚。

下面舉三個NSGroup的動態配置的例子:

 

 

上圖內,任何一個虛機,如果同時符合有三個標籤,其Tenant是Customer-01、Application是CRM、Tier是Web的話,就要加入C01-CRM-Web群組

 

 

上圖內,如果有任何一個Logical Port (Kubernetes Pod) 或是虛機,有被打上Tenant是Customer-02,以及Application是planespotter的話,就要加入C02-Planespotter群組

 

 

上圖內,如果有任何一個虛機,名稱有包含mysql,Tenant是Customer-02,以及Application是planespotter的話,就要加入C02-Planespotter-MySQL群組

利用這樣的NSGroup群組定義,大家就可以看到,在NSX的防火牆內,我們可以直接利用動態群組來作為來源與目的端的定義,達到安全自動化
希望上面的討論能讓大家對於NSX-T內的群組及標籤配置有基本的認識。雖然在NSX-T內可以用來做動態配置的條件與NSX for vSphere相比減少了,但以我這幾年在台灣實際銷售 / 部署NSX的經驗,中大型生產環境的微分段配置內,大家主要都是用Security Tag來作為虛機 / 應用區分的方法,因此NSX-T的改動應該不會造成客戶在建立微分段政策上的困難,反而更明確、單純了。