server room electric 3d rendering
虛擬雲網路

網路虛擬化NSX 技術文章系列二百六十三: NSX Application Platform簡介與配置流程(八)

作者: Colin Jao 饒康立 – VMware資深技術顧問,主要負責VMware NSX產品線,目前致力於網路虛擬化、分散式安全防護技術與新應用遞送方案的介紹與推廣。

前面七篇網誌我們和大家說明了NSX Application Platform是什麼,架構上的需求,以及不同的安裝方式。作為本系列文的最後一篇,我想要透過QA的形式,將客戶及經銷夥伴那邊常問到的問題在本文內進行回覆。

建立NSX Application Platform時需要採用什麼授權?

在NSX內,需要先配置NSX Enterprise Plus或是NSX Firewall的相關授權,然後就可以進行NAPP的部署。若各位對NSX Firewall授權沒有那麼熟悉,這是VMware NSX針對安全功能的訂閱模式授權,有分成最基本的NSX Firewall,NSX Firewall with Threat Prevention(包含IDPS功能),NSX Firewall with Advanced Threat Prevention(再包含NDR / Malware Prevention等功能)。在NAPP啟動安裝流程前,會先需要確認有任一種NSX Firewall訂閱,或是NSX Enteprise Plus的授權已經輸入。

特別需要說明的是NSX Application Platform的安裝本身以及平台上面功能的啟用,檢查的授權一樣。舉例來說,當客戶已經具備了NSX Enterprise Plus授權,可以啟用NAPP平台。但在平台建置完要啟動功能時,還會要確認所啟用的項目是否包含在授權內。比如說Intelligence有包含在Enterprise Plus授權內可以啟用,但是NDR / Malware Prevention需要ATP授權,沒有輸入,就不能使用了。

此外,當然在NSX Application Platform底層所使用的相關方案,比如說有使用vCenter / vSphere / vSAN / Tanzu等等的話,也請準備好對應的使用授權。

以後沒有用OVA等方式來部署NSX Application Platform的選擇了嗎?

是的很抱歉,我們收到的訊息是這種透過現有Kubernetes平台來配置的方式已經是確定的方式,後續不會回頭採用OVA匯入機制。BU那邊有收到在NAPP安裝機制上面來自客戶及工程師不同的意見回應,還會繼續優化、提供更簡便的安裝方式,但目前採用Kubernetes平台部署的方向不會改變。

我們對於部署Kubernetes的經驗還不純熟,這樣得要怎麼辦?

歡迎與VMware以及代理商進行聯繫。我們非常樂意提供各位相關Kubernetes的技術訓練以及教育課程,以及在架構規劃面的討論說明。

我們已經有使用NSX 3.1版之前的Intelligence功能,可不可以升級到3.2版之後?

沒問題,請參考公開文件 Upgrade NSX Intelligence   (https://docs.vmware.com/en/VMware-NSX-Intelligence/3.2/install-upgrade/GUID-9F91CFBC-DE26-451C-90E0-5AC07117BFFD.html) 內的步驟。當然由於架構上的不同,會需要先準備好可支持NAPP的Kubernetes Cluster,然後依據文件內的步驟進行需求的資料移轉。

部署需求的Kubernetes時,是不是一定要用網誌內指定的相關構件,能不能換成XX?

當然不是,在本系列網誌內採用的配置方式是正式支持的多種架構內的一種。如前面網誌,只要符合VMware  “NSX Application Platform Deployment Prerequisites” 以及”NSX Application Platform System Requirements” 這兩份文件在安裝前準備的要求,當然可以採用不同的產品來提供底層構件。

網誌內採用 vCenter / vSphere / vSAN / Tanzu / NSX-ALB / Harbor等方式進行部署,當然最主要的原因是VMware能提供完整從上到下一站式的方案及支援,大部分的構件也都是我們客戶熟悉且已經部署的環境,無論是從安裝到後續維運都會比較單純。

可不可以在 Air-Gap環境內部署NSX Application Platform

技術上不是百分之百絕對不行,但請大家把Internet連線列為必要條件。有下列的原因:

  • 過程中多個元件,比如說helm / Harbor / AKO等等,直接透過Internet下載安裝的機制極為簡單,在Air-Gap環境內則過程繁瑣
  • NAPP透過Internet上VMware Repository的安裝方式是最簡單的
  • 即使NAPP安裝完,上面啟用的服務如NDR / Malware Prevention,Internet連線是絕對必要的,比如說要將檔案傳到Internet上沙箱進行分析,下載惡意檔案列表等等。如果上層服務不能啟動,那裝NAPP的意義在哪裡呢?

NSX Application Platform使用時,有沒有一定得要先有NSX Overlay網路?

沒有,Overlay網路不是必要。前面流程內大家可以看到,NAPP的安裝與NSX本身安裝完全無關,即使NSX只裝完了Manager,還沒有管理任何Edge / vSphere host,都可以開始安裝NAPP。

但回頭來看,要裝NAPP是因為我們要啟用相關的『監控』與『安全』功能啊。那這些被監控以及要保護,受NSX納管的虛機是放在哪裡呢?各位要放在vlan segments內或是overlay網路內均可,這邊就是NSX本身方案的架構選擇了。

到此為止。本系列文雖然重點放在NSX Application Platform的介紹與安裝流程說明,但相信大家可以感覺出來,這是VMware整體方案內一個很大的改變:NSX Application Platform是VMware傳統產品內,第一個改為採用直接於Kubernetes平台部署的構件,而非採用傳統OVA匯入的方式。也因此,作為一個VMware的系統工程師,除了得了解vCenter / vSphere相關知識外,具備Kubernetes相關的配置及架構規劃能力也越來越必要了。這也是雖然相關的安裝流程與『網路』沒有什麼關係,卻花費這麼多篇幅,和大家就方案本身的安裝進行討論的原因。

下篇網誌開始我想回到本業,和大家討論在NSX Application Platform裝好後,上面可以啟用的相關功能,包含了NSX Network Detection and Response (NDR) 以及 Malware Prevention等機制。

评论

发表评论

电子邮件地址不会被公开。

This site uses Akismet to reduce spam. Learn how your comment data is processed.