虛擬雲網路

網路虛擬化NSX 技術文章系列一百七十八: NSX Intelligence 介紹以及與 vRNI 比較(三)

作者: Colin Jao 饒康立 – VMware資深技術顧問,主要負責VMware NSX產品線,目前致力於網路虛擬化、分散式安全防護技術與新應用遞送方案的介紹與推廣。

在上篇內大家看到了NSX Intelligence的簡單畫面,我們可以隨時去看指定業務系統機器的網路流與相關資訊。如果花很多錢裝了這麼大傢伙只能做這麼一點點功能,當然是不可以的,所以在本篇,我們要強調一下NSX Intelligence與NSX Distributed Firewall的整合與政策推薦功能。

 

首先請大家比較一下下面兩張圖,有什麼不一樣?

在第一張圖的業務系統內,所有的虛機間連接線都是“綠線”,而在下面這張圖內,虛機間的連接線除了綠線外還有紅色的虛線。NSX Intelligence不僅單純收集虛機間的網路流,在呈現給管理者的同時,也會分析這些網路流『是不是已經定義在現有的防火牆規則內』。依據不同的顏色,可能包括了

 

  • 綠色:這邊的網路流已經很明確地在防火牆內有規則定義出來,且允許放行

 

  • 藍色:這邊的網路流已經很明確地在防火牆內有規則定義出來,且被阻擋

 

  • 紅色:這邊的網路流在防火牆內未明確定義,在Default Rule內被放行或阻擋

 

在下面兩張圖裡,第一張圖是我們點開一條綠色線,這邊可以直接查詢到這個Flow是因為哪條規則通過。第二張圖是點開一條紅色線,同樣地,也可以查詢到這個Flow是對應到哪條規則(放行或阻擋),但此時的規則通常是一條Default Rule(來源與目的地都是Any)

因此只要業務系統放到NSX納管的範圍內,虛機的網路流不僅會被NSX Intelligence紀錄,還會直接確認這些網路流目前防火牆是否已經有被明確定義。這時候我們無論是要進行防火牆規則的規劃以及後續的檢視,都非常的方便。

 

進一步,當我們要進行這個業務系統的防火牆規劃,可以直接選擇Recommendation 的功能。此時,我們僅需要輸入要選擇哪些虛機,以及分析的範圍時間,如下圖:

與之前V版Application Rule Manager的最大差異是,ARM是要『從頭開始錄』,但是Intelligence則是每天24小時原本就在紀錄,因此相關的資料本來就已經在資料庫內了。此時NSX Intelligence僅需要由資料庫內撈出相關的資訊,而且進行分析包含網路流的分類,以及哪些虛機可以放到同一個群組等等。幾分鐘後分析完成,就會出現一個初步的防火牆規則建議版本:

此時我們可以先檢視各條規則,並且與應用原本文件內定義的相關規則進行比對,是否有缺漏或是有哪些規則不正常。此外,通常我們會到Groups裡面,去檢視虛機的群組分類是否正確,並且在需要時,加上識別度高的名稱(而不是Group-1 / Group-2這種):

相關的檢視完成後,這邊的規則如果管理者按下了Publish,就會直接在NSX-T的分散式防火牆內進行發布且生效了:

這功能很不錯吧。本文最後,討論一下NSX Intelligence的防火牆規則推薦功能,與在NSX for vSphere內的Application Rule Manager有哪些不一樣:

 

  • Application Rule Manager僅能在NSX for vSphere內使用,NSX Intelligence則是僅在NSX-T版內使用

 

  • 如前所述,Application Rule Manager是在管理者要求時,才『開始』進行網路流錄製,但是NSX Intelligence是直接抓取原本已經紀錄的歷史資料,直接開始分析。因此不用額外花費幾天、數週的時間,一般來說3~5分鐘內,NSX Intelligence就可產出資料,提供管理者進行防火牆配置建議

 

  • 因為ARM並沒有獨立的資源,是使用V版的NSX Manager進行錄製,因此通常範圍(虛機的數量)以及錄製時間都有限制,一般我們是和客戶說大約20個虛機以內,錄製不要超過兩週。但NSX Intelligence因為有自己獨立的資源,隨時進行資料收集,因此可以進行的應用配置建議以及觀察的時間與ARM相比自然更長

 

  • ARM僅有防火牆規則建議的功能,NSX Intelligence則還有我們前面說明的Day-2網路流觀察,以及在後續Roadmap內會搭配到IDPS等功能告警的功能,適用範圍遠比ARM還要高。

 

以上對於NSX Intelligence的功能作簡要的介紹。當我與客戶進行展示說明,一定會被問到的問題是,同樣是進行網路流收集,我們應該要採用vRealize Network Insight,還是NSX Intelligence?前面幾篇網誌在討論Network Insight時我們有先進行簡單的比較,而下一篇,我們要很直接地與大家就各個面向來討論這個問題。

 

相关文章

评论

发表评论

电子邮件地址不会被公开。 必填项已用*标注