सबसे छोटे के लिए VMware NSX। भाग 1

यदि आप किसी फ़ायरवॉल के कॉन्फ़िगरेशन को देखते हैं, तो सबसे अधिक संभावना है कि हम आईपी पते, पोर्ट, प्रोटोकॉल और सबनेट के एक समूह के साथ एक शीट देखेंगे। यह है कि संसाधनों के लिए उपयोगकर्ता की पहुँच के लिए नेटवर्क सुरक्षा नीतियों को किस प्रकार कार्यान्वित किया जाता है। सबसे पहले, वे विन्यास में व्यवस्था बनाए रखने की कोशिश करते हैं, लेकिन फिर कर्मचारी विभाग से विभाग में स्थानांतरित करना शुरू करते हैं, सर्वर गुणा करते हैं और अपनी भूमिका बदलते हैं, विभिन्न परियोजनाओं के लिए उन स्थानों तक पहुंचते हैं जहां वे आमतौर पर नहीं जा सकते हैं, और सैकड़ों अज्ञात बकरी पथ दिखाई देते हैं।

कुछ नियमों के बारे में, अगर आप भाग्यशाली हैं, तो टिप्पणियाँ "वास्य बनाने के लिए कहा जाता है" या "यह डीएमजेड के लिए एक मार्ग है" का वर्णन किया जाता है। नेटवर्क व्यवस्थापक क्विट करता है, और सब कुछ पूरी तरह से समझ से बाहर हो जाता है। तब किसी ने वसाया से विन्यास को साफ करने का फैसला किया, और एसएपी गिर गया, क्योंकि वास्या ने एक बार एसएपी का मुकाबला करने के लिए इस पहुंच के लिए कहा था।



आज मैं VMware NSX समाधान के बारे में बात करूंगा, जो फ़ायरवॉल कॉन्फ़िगरेशन में भ्रम के बिना नेटवर्क और सुरक्षा नीतियों को ठीक से लागू करने में मदद करता है। मैं आपको दिखाऊंगा कि पहले इस भाग में VMware की तुलना में क्या नई विशेषताएं दिखाई दी थीं।

VMWare NSX नेटवर्क सेवाओं के लिए एक वर्चुअलाइजेशन और सुरक्षा मंच है। NSX रूटिंग, स्विचिंग, लोड बैलेंसिंग, फ़ायरवॉल की समस्याओं को हल करता है और कई अन्य दिलचस्प चीजें कर सकता है।

NSX VMware के vCloud नेटवर्किंग एंड सिक्योरिटी (vCNS) के मालिकाना उत्पाद का उत्तराधिकारी है और निकिरा NVP द्वारा अधिग्रहित है।

VCNS से ​​NSX तक

इससे पहले, VMware vCloud पर निर्मित क्लाउड में एक क्लाइंट के पास एक अलग vCNS vShield एज वर्चुअल मशीन थी। इसने एज गेटवे के रूप में कार्य किया, जहां कई नेटवर्क फ़ंक्शन कॉन्फ़िगर किए जा सकते हैं: NAT, DHCP, फ़ायरवॉल, वीपीएन, लोड बैलेंसर, आदि vShield एज ने फ़ायरवॉल और NAT में निर्धारित नियमों के अनुसार बाहरी दुनिया के साथ वर्चुअल मशीन की बातचीत को प्रतिबंधित किया। नेटवर्क के अंदर, वर्चुअल मशीनें सबनेट के भीतर स्वतंत्र रूप से आपस में संवाद करती हैं। यदि आप वास्तव में ट्रैफ़िक को अलग और नियंत्रित करना चाहते हैं, तो आप अनुप्रयोगों के अलग-अलग हिस्सों (अलग-अलग वर्चुअल मशीन) के लिए एक अलग नेटवर्क बना सकते हैं और फ़ायरवॉल में उनके नेटवर्क इंटरैक्शन के लिए उपयुक्त नियम निर्धारित कर सकते हैं। लेकिन यह लंबा, कठिन और निर्बाध है, खासकर जब आपके पास कई दसियों आभासी मशीनें हैं।

NSX में, VMware ने हाइपरविज़र के मूल में निर्मित वितरित फ़ायरवॉल का उपयोग करके माइक्रोसेप्टेशन की अवधारणा को लागू किया। यह न केवल आईपी और मैक पते के लिए, बल्कि अन्य वस्तुओं के लिए भी सुरक्षा नीतियों और नेटवर्क इंटरैक्शन को निर्धारित करता है: वर्चुअल मशीन, एप्लिकेशन। यदि NSX को आंतरिक रूप से तैनात किया जाता है, तो ये ऑब्जेक्ट उपयोगकर्ता या सक्रिय निर्देशिका के उपयोगकर्ताओं का समूह हो सकते हैं। इस तरह की प्रत्येक वस्तु अपने स्वयं के आरामदायक DMZ :) के साथ, वांछित सबनेट में अपने सुरक्षा लूप में एक माइक्रोसेगमेंट में बदल जाती है।


पहले, सुरक्षा परिधि पूरे संसाधन पूल के लिए एक थी, इसे सीमा स्विच द्वारा संरक्षित किया गया था, और एनएसएक्स के साथ आप एक ही नेटवर्क के भीतर भी अनावश्यक बातचीत से एक अलग आभासी मशीन की रक्षा कर सकते हैं।

यदि कोई संस्था किसी अन्य नेटवर्क पर ले जाती है, तो सुरक्षा और नेटवर्किंग नीतियों को अनुकूलित किया जाता है। उदाहरण के लिए, यदि हम किसी मशीन को किसी अन्य नेटवर्क सेगमेंट या किसी अन्य कनेक्टेड वर्चुअल डेटा सेंटर में स्थानांतरित करते हैं, तो इस वर्चुअल मशीन के लिए निर्धारित नियम अपनी नई स्थिति की परवाह किए बिना लागू होते रहेंगे। एप्लिकेशन सर्वर अभी भी डेटाबेस के साथ बातचीत करने में सक्षम होगा।

VCNS vShield Edge को खुद NSX Edge ने रिप्लेस कर दिया है। इसमें पुराने एज के संपूर्ण सज्जन सेट और कुछ नई उपयोगी विशेषताएं हैं। उनके बारे में और आगे चर्चा की जाएगी।

NSX Edge के साथ नया क्या है?

NSX एज कार्यक्षमता NSX संस्करण पर निर्भर है। उनमें से पांच हैं: मानक, पेशेवर, उन्नत, उद्यम, प्लस रिमोट शाखा कार्यालय। सब कुछ नया और दिलचस्प केवल उन्नत के साथ शुरू देखा जा सकता है। नए इंटरफ़ेस को शामिल करना, जो कि, जब तक vCloud पूरी तरह से एचटीएमएल 5 में बदल जाता है (वीएमवेयर 2019 की गर्मियों का वादा करता है), एक नए टैब में खुलता है।

फ़ायरवॉल। आप आईपी पते, नेटवर्क, गेटवे इंटरफेस, और वर्चुअल मशीन को उन वस्तुओं के रूप में चुन सकते हैं जिनके लिए नियम लागू होंगे।





डीएचसीपी। इस नेटवर्क की आभासी मशीनों को स्वचालित रूप से जारी किए जाने वाले आईपी पतों की सीमा निर्धारित करने के अलावा, बंधन और रिले फ़ंक्शन अब NSX एज में उपलब्ध हैं।

बाइंडिंग टैब में, आप वर्चुअल मशीन के मैक पते को आईपी पते पर बाँध सकते हैं यदि आप चाहते हैं कि आईपी पता न बदले। मुख्य बात यह है कि इस आईपी पते को डीएचसीपी पूल में शामिल नहीं किया गया है।



रिले टैब डीएचसीपी सर्वरों के लिए डीएचसीपी संदेशों के रिले को कॉन्फ़िगर करता है जो कि आपके संगठन के बाहर vCloud निदेशक में हैं, जिसमें भौतिक बुनियादी ढांचे के डीएचसीपी सर्वर शामिल हैं।



रूटिंग। VShield एज के साथ, केवल स्थैतिक रूटिंग को कॉन्फ़िगर किया जा सकता है। यहाँ OSPF और BGP प्रोटोकॉल के समर्थन के साथ डायनामिक रूटिंग दिखाई दी। ECMP (सक्रिय-सक्रिय) सेटिंग्स भी उपलब्ध हो गईं, जिसका अर्थ है कि भौतिक राउटर्स के लिए सक्रिय-सक्रिय विफलता।


OSPF सेटअप


कॉन्फ़िगर करें बीजीपी

नए में से एक - अलग प्रोटोकॉल के बीच मार्गों के हस्तांतरण की स्थापना,
मार्गों का पुनर्वितरण (मार्ग पुनर्वितरण)।



L4 / L7 लोड बैलेंसर। HTTP- हैडर के लिए X- फ़ॉर्वर्ड-फॉर दिखाई दिया है। उसके बिना, हर कोई रोया। उदाहरण के लिए, आपके पास एक वेबसाइट है जिसे आप संतुलित करते हैं। इस शीर्ष लेख को अग्रेषित किए बिना, सब कुछ काम करता है, लेकिन वेब सर्वर के आंकड़ों में आपने आगंतुकों का आईपी नहीं देखा, लेकिन बैलेंसर का आईपी। अब सब कुछ सही हो गया है।

इसके अलावा, एप्लिकेशन रूल्स टैब में, अब आप ऐसी स्क्रिप्ट जोड़ सकते हैं जो ट्रैफिक संतुलन को सीधे नियंत्रित करेगी।



वीपीएन। IPSec VPN के अलावा, NSX Edge सपोर्ट करता है:

• L2 VPN, जो आपको भौगोलिक रूप से बिखरी हुई साइटों के बीच नेटवर्क फैलाने की अनुमति देता है। उदाहरण के लिए, ऐसे वीपीएन की जरूरत होती है, ताकि जब आप किसी अन्य साइट पर जाएं, तो वर्चुअल मशीन उसी सबनेट पर बनी रहे और आईपी एड्रेस को सेव कर सके।
  

• एसएसएल वीपीएन प्लस, जो उपयोगकर्ताओं को कॉर्पोरेट नेटवर्क से दूरस्थ रूप से कनेक्ट करने की अनुमति देता है। VSphere स्तर पर इस तरह का एक समारोह था, लेकिन vCloud निदेशक के लिए यह एक नवीनता है।
  

एसएसएल प्रमाणपत्र। NSX Edge अब प्रमाण पत्र वितरित कर सकता है। यह फिर से इस सवाल पर है कि किसी को https के लिए बिना सर्टिफिकेट के बैलेंसर की जरूरत क्या है



वस्तुओं का समूह इस टैब में, वस्तुओं के समूह निर्धारित किए जाते हैं, जिसके लिए नेटवर्क इंटरैक्शन के कुछ नियम, उदाहरण के लिए, फ़ायरवॉल नियम, लागू होंगे।

ये ऑब्जेक्ट IP और MAC एड्रेस हो सकते हैं।





यह उन सेवाओं (प्रोटोकॉल-पोर्ट संयोजन) और अनुप्रयोगों को भी सूचीबद्ध करता है जिनका उपयोग फ़ायरवॉल नियमों के संकलन में किया जा सकता है। नई सेवाओं और अनुप्रयोगों को केवल vCD पोर्टल व्यवस्थापक द्वारा जोड़ा जा सकता है।





सांख्यिकी। कनेक्शन के आँकड़े: यातायात जो कि प्रवेश द्वार, फ़ायरवॉल और बैलेंसर से होकर गुजरता है।

प्रत्येक IPSEC VPN और L2 VPN सुरंग की स्थिति और आँकड़े।



लॉगिंग। एज सेटिंग्स टैब में, आप रिकॉर्डिंग लॉग के लिए एक सर्वर निर्दिष्ट कर सकते हैं। DNAT / SNAT, DHCP, फ़ायरवॉल, रूटिंग, बैलेंसर, IPsec VPN, SSL VPN प्लस के लिए लॉगिंग कार्य करता है।

निम्नलिखित अलर्ट प्रत्येक सुविधा / सेवा के लिए उपलब्ध हैं:

- डिबग
- सतर्क
- महत्वपूर्ण
- त्रुटि
- चेतावनी
- नोटिस
- जानकारी

NSX एज आयाम

कार्य और वॉल्यूम को हल करने के आधार पर, VMware निम्नलिखित आकारों में NSX एज बनाने की सिफारिश करता है :

	NSX एज (कॉम्पैक्ट)	NSX एज (बड़ा)	NSX एज (क्वैड बड़े)	NSX एज (एक्स-बड़े)
vCPU	1	2	4	6
स्मृति	512MB	1GB	1GB	8GB
डिस्क	512MB	512MB	512MB	4.5 जीबी + 4 जीबी
नियुक्ति	एक परीक्षण आवेदन डेटा सेंटर	छोटा या औसत डेटा सेंटर	लोड फ़ायरवॉल	संतुलन लोड स्तर L7

नीचे दी गई तालिका एनएसएक्स एज के आकार के आधार पर नेटवर्क सेवाओं के लिए परिचालन मीट्रिक दिखाती है।

	NSX एज (कॉम्पैक्ट)	NSX एज (बड़ा)	NSX एज (क्वैड बड़े)	NSX एज (एक्स-बड़े)
इंटरफेस	10	10	10	10
उप इंटरफेस (ट्रंक)	200	200	200	200
NAT नियम	2,048	4,096	4,096	8,192
ARP प्रविष्टियां ओवरराइट करने तक	1024	2,048	2,048	2,048
एफडब्ल्यू नियम	2000	2000	2000	2000
Fw प्रदर्शन	3Gbps	9.7Gbps	9.7Gbps	9.7Gbps
डीएचसीपी पूल	20,000	20,000	20,000	20,000
ECMP पथ	8	8	8	8
स्थैतिक मार्ग	2,048	2,048	2,048	2,048
लब ताल	64	64	64	1024
एलबी वर्चुअल सर्वर	64	64	64	1024
LB सर्वर / पूल	32	32	32	32
LB स्वास्थ्य जाँच	320	320	320	3,072
एलबी आवेदन नियम	4,096	4,096	4,096	4,096
L2VPN ग्राहक हब से बात करने के लिए	5	5	5	5
L2VPN नेटवर्क प्रति ग्राहक / सर्वर	200	200	200	200
IPSec सुरंगें	512	1600	4,096	6000
SSLVPN सुरंगें	50	100	100	1,000
SSLVPN निजी नेटवर्क	16	16	16	16
समवर्ती सत्र	64,000	1000000	1000000	1000000
सत्र / दूसरा	8000	50,000	50,000	50,000
एलबी थ्रूपुट एल 7 प्रॉक्सी)		2.2Gbps	2.2Gbps	3Gbps
एलबी थ्रूपुट एल 4 मोड)		6Gbps	6Gbps	6Gbps
LB कनेक्शन्स / s (L7 प्रॉक्सी)		46,000	50,000	50,000
एलबी समवर्ती कनेक्शन (L7 प्रॉक्सी)		8000	60,000	60,000
LB कनेक्शन्स / s (L4 मोड)		50,000	50,000	50,000
एलबी समवर्ती कनेक्शन (एल 4 मोड)		600,000	1000000	1000000
बीजीपी रूट	20,000	50,000	250,000	250,000
बीजीपी पड़ोसी	10	20	100	100
बीजीपी रूट पुनर्वितरित	कोई सीमा नहीं	कोई सीमा नहीं	कोई सीमा नहीं	कोई सीमा नहीं
OSPF रूट	20,000	50,000	100,000	100,000
OSPF LSA अधिकतम 750 टाइप -1 को प्रविष्ट करता है	20,000	50,000	100,000	100,000
OSPF आसन्न	10	20	40	40
ओएसपीएफ रूट्स पुनर्वितरित	2000	5000	20,000	20,000
कुल मार्ग	20,000	50,000	250,000	250,000

→ स्रोत

तालिका से पता चलता है कि केवल बड़े आकार के साथ शुरू होने वाले उत्पादक परिदृश्यों के लिए एनएसएक्स एज पर संतुलन को व्यवस्थित करने की सिफारिश की जाती है।

आज के लिए बस इतना ही। निम्नलिखित भागों में, मैं प्रत्येक NSX एज नेटवर्क सेवा को कॉन्फ़िगर करने के विवरण से गुजरता हूं।