虛擬雲網路

網路虛擬化NSX 技術文章系列一百七十九: NSX Intelligence 介紹以及與 vRNI 比較(四)

作者: Colin Jao 饒康立 – VMware資深技術顧問,主要負責VMware NSX產品線,目前致力於網路虛擬化、分散式安全防護技術與新應用遞送方案的介紹與推廣。

在每一個與客戶或是夥伴說明與展示NSX Intelligence的場合,一定會被問到的問題是,那這和vRealize Network Insight的差異在哪邊呢?Network Insight可以持續地利用Netflow機制檢視各虛機的網路流資訊,也可以進行Firewall Rule Recommendation,只是沒有按一下就把規則推送到NSX上面的功能。客戶環境內也已經在使用Network Insight了,那為什麼需要更換到NSX Intelligence呢?

 

這一篇,我們就是要不逃避,直面回答這個問題~~但兩個重點需要聲明在先:

 

  • NSX Intelligence與vRNI之間並不是前後代產品,誰會取代誰的關係。兩個方案可以擇一使用,或在一個環境內兩個都用,是沒有問題的

 

  • 當客戶購買了NSX Data Center Enterprise Plus的授權,裡面會包含NSX Intelligence,也會包含vRealize Network Insight的Advance版。

 

所以與其說比較或是代換,應該是就大家的現有環境與需要達到的效益,部署這兩個產品哪個對各位的效益較大?而如果需要做的事情單一產品不足夠,想要兩個都用也行,並沒有非黑即白的要求。所以接下來,我們就要用不同的面向,來和大家討論這兩個方案各自更適合哪種情境。

 

方案監控範圍僅在純NSX環境還是包含實體設備/公有雲環境?

 

NSX Intelligence僅僅針對新部署的NSX-T Data Center環境內的網路進行監控、分析與提供可視化介面。vRealize Network Insight設計上雖然最重要在vCenter / NSX的環境,但同時也可透過SSH/SNMP等機制抓取實體設備資料,透過標準Netflow連結實體交換器的網路流,或透過如FlowLog等機制監控AWS上的應用網路資訊。

 

也就是說,vRealize Network Insight是VMware對應到泛用環境網路維運的工具。當然是以vCenter / NSX為中心,但也可以支持多種其他友商設備與不同環境。NSX Intelligence則是NSX-T Data Center內的專屬網路監控分析工具。

 

那只考慮VMware NSX-T / NSX for vSphere / 或是僅有vCenter的環境內,應該選哪種呢?

 

NSX Intelligence僅支援NSX-T。vRealize Network Insight可以在NSX-T或是NSX for vSphere環境內運行,而如果客戶還沒有安裝NSX僅有vCenter,只要客戶環境內有採用vDS (vSphere Distributed Switch),vRNI同樣可以抓取vDS的Netflow資料進行分析。

 

但當然,大概從2019年下半年起,我們在台灣客戶新的NSX部署已經大概都開始使用NSX-T方案了。因此新環境應該不會由於採用NSX for vSphere,而限制到監控方案的選用。

 

而這會導到下一題

 

如果我只是需要一個方案能就現有環境內,核心業務的網路流先進行收集與評估,應該選那種?

 

應該選vRNI。

 

主要的原因很簡單,只要這個核心業務已經在vCenter環境內運作,且底層虛擬交換器已經是採用vDS,此時在不需要做任何的業務機器移轉狀況下,只要把vRNI裝起來,與vCenter接起來,馬上可以開始收集資料,核心業務運作不會受到任何影響

 

而NSX Intelligence運作的前提,是需要先把NSX-T安裝起來,邏輯網路 (VLAN or Overlay) 設定好,將核心業務的機器由原本的環境轉移至NSX-T的邏輯交換器上,NSX Intelligence裝起來,此時才能開始進行資料的收集與分析。各位應該不會只為了『評估』的作業,把生產環境這樣天翻地覆的轉一遍吧。

 

很明確的,如果只是要快速地進行業務網路流收集,在客戶環境已經有vDS的狀況下,用vRNI是簡易且對業務沒有影響的。甚至在沒有vDS僅有vSS,但底層實體交換器可以開Netflow的狀況下,vRNI也可以由實體交換器來收集資訊。這邊的彈性遠大於使用NSX Intelligence

 

而如果我們全新的虛擬化環境已經建好,NSX-T部署完成,逐步要把應用移進來,那此時要使用vRNI還是NSX Intelligence呢?

 

兩種都很好,但以我個人意見來說,如果只選一種,在應用網路流監控的這方面我更建議NSX Intelligence

 

因為單純以一個應用住進來,要進行應用網路流的收集、觀測、防火牆政策推薦與發佈,NSX Intelligence即使在目前的初始版本,功能都比較多。包括了

 

  • NSX Intelligence對於網路流的分析比較深。如同前篇介紹,Intelligence不僅收集網路流,還會與現有的安全機制(防火牆規則)進行比對,管理者不僅可以看到有哪些網路流,還可以看到哪些已被防護(防火牆規則有了),哪些規則仍未建立

 

  • NSX Intelligence在防火牆規則推薦的部分比較完整,推薦完畢後可以直接進行規則修正、群組定義的介面也較直覺。同時,雖然不一定要這麼做,但Intelligence就是可以直接發佈規則到NSX-T內,而vRNI只提出建議。

 

但反過來說,vRealize Network Insight除了網路流監控,還有很多不同的特異功能,像是簡易的自然語法搜尋介面,多樣式的dashboard與可視化介面,也都是非常吸引人。但如果單就網路流監控這一塊,vRNI基本上限制於Netflow的資訊,不會做更深。而NSX Intelligence因為是用系統內部的格式把所有看得到的資訊都餵進來,可做的事情就更多了。

 

所謂NSX Intelligence後續可以做更多事情,大概包括哪些呢?

 

現在的時間點 (NSX-T 3.0版,NSX Intelligence 1.1版),各位已經看到的功能包括了網路流的收集、現有防火牆規則的比對、防火牆規則的推薦與發佈。而隨著NSX-T微分段功能由標準L4防火牆到L7防火牆再到IDPS,這些微分段內的新功能都會逐步地在NSX Intelligence的分析內呈現。

 

也就是說,後續在NSX Intelligence內我們不僅選擇一批虛機後,可以看到彼此間的網路流,還包含了

 

  • 這些網路流有被哪些防火牆規則防護(現在就有)

 

  • 透過L7 Context引擎,確認網路流的真實應用種類

 

  • 確認這些網路流是不是有安全告警與異常問題(由NSX IDPS的資訊),以及進階的安全防護機制推薦

 

  • 目前版本僅支援虛機間的網路流分析,後續當然也會將容器網路流納入

 

文長,大概停在這邊。在本系列文內我們從vRealize Network Insight的功能回顧,到NSX Intelligence的介紹,本篇再做統整的方案比較。以我同事與客戶說明的一句話作為總結:vRealize Network Insight做得廣,可以支援多種類的環境;NSX Intelligence做得深,對應NSX-T Data Center管理的環境內的網路可視化與安全防護更完整。如果各位有興趣想要更進一步資訊,歡迎與我們或是VMware經銷夥伴們進行聯繫。

相关文章

评论

发表评论

电子邮件地址不会被公开。 必填项已用*标注