虛擬雲網路

網路虛擬化NSX 技術文章系列二百零七: NSX – V轉T事前規劃及工具討論(四)

作者: Colin Jao 饒康立 – VMware資深技術顧問,主要負責VMware NSX產品線,目前致力於網路虛擬化、分散式安全防護技術與新應用遞送方案的介紹與推廣。

承前面討論,所以在接下來兩篇我們的重點是要以實際的畫面與大家說明NSX V2T Migration Coordinator內,採用先建後拆 (Lift and Shift) 的防火牆移轉 (DFW_Only) 機制。為什麼特別挑這個出來當重點,當然是因為我們在台灣幾乎全部的NSX客戶,都已經採用微分段防火牆機制保護核心業務,但網路的功能反而不一定都會使用到。在V版逐步步入產品後期,如何協助這些客戶平順地移轉到T版環境,並持續得到相關的安全及網路效益,是後續的工作重點。

展示的情境請參考下圖,左邊是運作NSX for vSphere的原始生產環境,右邊是新建的NSX-T環境:

  • 因為是Lift and Shift架構,因此在目的環境內(右邊),客戶要先採購額外的硬體伺服器,然後將vCenter / vSphere / NSX-T安裝完成。
  • 同時,此環境內我們在NSX-T內以vlan形式建立了對應的業務網路(目的地的B-VLAN23-Seg),與來源端的A-PG-vlan23是二層打通的。DFW_Only架構可以支持目的端採用Overlay網路,再以L2-Bridge機制與原本來源端的VLAN網段連通,但這裡我們採用最簡單的實體vlan網路機制。
  • 業務機器在原本環境均運作在上述的vlan 23實體網路內。如同前項說明,因為此環境內的網路僅採用vlan,當我們後續要將業務機器遷移到目的地的vlan 23網段 (B-VLAN23-Seg),由於是在同樣的二層網路內,IP/Gateway都不用改,管理者可以考慮採用vMotion或是HCX來進行移轉

在原始環境內,我們透過NSX for vSphere的DFW來進行業務虛機的保護。下圖是我們在相關安全構件的配置:

環境內我們有配置一個Security Tag叫v2t-web-tag,並且apply到web-01 / web-02這兩個虛機上。同時建立兩個群組:Web-Group這個群組的條件是任何有v2t-web-tag的虛機就要包含在此群組內,因此web-01 / web-02兩個機器當然有被包含在內。另外,為了定義 “Internet Traffic”,我們定義了一個IPSET集合叫做Non-Internet IPSET,裡面包含了被保留的Intranet / Multicast IP等地址(我知道這裡包含的私有地址範圍很不完整,但只是舉例,大家就隨便看看)。

因此,在分散式防火牆規則內我們就可以利用群組以及IPSET來定義對應到這些虛機的保護規則:所有SSH的Traffic,包含L4/L7的比對,都要允許。Web-Group內虛機間的相互連線要拒絕,但往Internet的連線可允許。所有其他的Traffic都要reject。

下面幾張圖是在原始環境內,NSX for vSphere介面內,對應到上述Security Tag / Security Group / IPSET / DFW Rule的配置。首先是Security Tag:

Security Group v2t-web-group內的規則是只要有上述v2t-web-02這個標籤的虛機,就要加入此群組。因此兩個業務虛機都有被包含在內

另外建了一個IPSET集合是包含了Intranet/Multicast Addresses:

然後是分散式防火牆的規則。下圖內比較特殊的是1008號的規則,這邊我們要定義的是這些受保護的虛機可以到”Internet”,但因為我們無法建一個集合叫Internet,因此這裡用了否定”Negate”語法,如果是要到任何『沒有』被定義在Non-Internet-IPSET集合的地址,就是要往Internet。

上面的防火牆相關規則雖然極為簡單,但是這個範例內應該已經包含到許多NSX客戶常用的微分段機制:

  • 基於標籤以及群組,來動態定義業務構件
  • 基於業務構件來定義防火牆的來源與目的端規則
  • 支持基於 IP / IPSET 的標準定義
  • 支持基於 L4的Protocol/Port服務定義,以及L7的應用識別定義
  • 虛機是運作在vlan實體網路上。無論虛機在NSX內運作於vlan網路或是overlay網路,防火牆都應生效。

在下篇文內我們會和大家就DFW_Only的V2T移轉流程進行說明。當移轉完成後,上述大家在這邊看到的標籤、群組、IPSET、服務、防火牆規則等,都應該要能夠在NSX-T的新環境內出現,只要我們將虛機遷移到T版環境,就可以受到相同等級的保護。那就先停在這邊。

相关文章

评论

发表评论

电子邮件地址不会被公开。 必填项已用*标注