הטמעת מיקרו-סגמנטציה ורשתות Overlay עם VMware NSX

VMware NSX: הגדרת וירטואליזציה של רשת לסביבת ייצור

אנו משלבים את VMware NSX בתשתיות vSphere כבר שנים רבות—השלמנו למעלה מ-30 פרויקטים במיקרו-סגמנטציה ורשתות אובירליי. בקשה אופיינית: "חומות האש הישנות מבוססות VLAN לא יכולות להתמודד עם בידוד; אנחנו רוצים NSX." ואז מתחיל החלק המעניין: במקום מתגים ונתבים פיזיים, מופיעים מבנים וירטואליים, הרשת מתוארת בקוד, נפרסת תוך דקות, וחוקי חומת האש חיים ללא תלות בטופולוגיה הפיזית.

NSX-T (גרסאות 3.x ו-4.x) היא פלטפורמה רצינית הדורשת הבנה של מנהרות TEP, אנקפסולציית Geneve ו-BGP על Edge Nodes. אבל הניסיון שלנו מראה שגישה מוצדקת היא להתחיל עם ביקורת ופרויקט פיילוט כדי להימנע מטעויות נפוצות.

כיצד פועלת מיקרו-סגמנטציה ב-NSX

מיקרו-סגמנטציה היא יתרון מרכזי של NSX. בניגוד ל-VLAN, שבו הבידוד קשור לפורט מתג, חוקי Distributed Firewall פועלים ברמת vNIC של כל VM. משמעות הדבר היא שאפילו VMs באותה תת-רשת יכולים להיות מבודדים זה מזה. החיסכון בעלויות תפעול בניהול מדיניות אבטחה מגיע ל-40% בהשוואה לגישות VLAN מסורתיות.

קבוצות דינמיות, המבוססות על תגי vSphere (למשל, env:production, tier:web), מאפשרות לקשור חוקים לסביבה, ולא לכתובות IP. בעת קנה מידה, הקבוצות מתעדכנות אוטומטית, מה שמבטל שגיאות ידניות.

מדוע רשתות אובירליי מהירות יותר מ-VLAN

רשתות אובירליי המשתמשות במנהרות Geneve מאפשרות יצירת אלפי סגמנטים מבודדים ללא תלות בטופולוגיה הפיזית. סגמנט חדש נפרס תוך דקות באמצעות API—פי 5 מהר יותר מהגדרת VLAN על מתגים. זה מקצר את זמן התגובה לבקשות מפתחים ומאיץ את אספקת המוצר.

השוואה בין VLAN ל-NSX

ארכיטקטורה: ממה מורכב NSX

NSX Manager—מישור בקרה. שלושה צמתים בקלאסטר לסבילות לתקלות. מנהל הכל באמצעות API. Transport Nodes—ESXi או Edge Nodes עם מודול ליבת NSX מותקן. Transport Zone—תחום לוגי המגדיר אילו צמתים מתקשרים באמצעות אובירליי (Geneve) או VLAN. TEP (Tunnel Endpoint)—ממשק וירטואלי על כל Transport Node עבור מנהרות Geneve. כתובות TEP IP חייבות להיות ניתנות לניתוב בין כל הצמתים.

כיצד אנו מתקינים NSX Manager

NSX Manager נפרס כ-OVA על vCenter. לאוטומציה, אנו משתמשים ב-govc:

govc import.ova -ds=datastore1 -pool=Resources -name=nsx-manager-01 nsx-unified-appliance-4.1.0.ova 

לאחר הפריסה, אנו מאתחלים את קלאסטר הניהול:

curl -k -u admin:password https://nsx-manager.example.com/api/v1/cluster/status 

התשובה צריכה להכיל govc import.ova -ds=datastore1 -pool=Resources -name=nsx-manager-01 nsx-unified-appliance-4.1.0.ova . אם לא, אנו בודקים קישוריות רשת בין הצמתים.

רשתות אובירליי: סגמנטים ומיקרו-סגמנטציה

סגמנט הוא אנלוגי ל-VLAN אך פועל על מנהרות Geneve. כל ה-VMs בסגמנט רואים זה את זה ברמת L2, אפילו על מארחי ESXi שונים. דוגמה להגדרת סגמנט curl -k -u admin:password https://nsx-manager.example.com/api/v1/cluster/status באמצעות API:

{ "display_name": "web-tier",
  "connectivity_path": "/infra/tier-1s/tier-1-gw",
  "subnets": [
    {
      "gateway_address": "10.1.1.1/24",
      "dhcp_ranges": ["10.1.1.100-10.1.1.200"]
    }
  ],
  "transport_zone_path": "/infra/sites/default/enforcement-points/default/transport-zones/<overlay-tz-id>"
}

VM מתחבר לסגמנט—מקבל IP ממאגר DHCP ומתקשר עם שכנים דרך מנהרות.

כיצד פועלת חומת האש המבוזרת

Distributed Firewall היא התכונה המרכזית של NSX. הסינון מתרחש ברמת vNIC של כל VM לפני שהתעבורה עוזבת את ההיפרביזור. אין נקודת כשל אחת, הביצועים מתקפלים לינארית. חוקים נבנים על קבוצות דינמיות (למשל, "status": "STABLE"). דוגמה למדיניות:

{
  "rules": [
    {
      "action": "ALLOW",
      "source_groups": ["group-web"],
      "destination_groups": ["group-app"],
      "services": ["HTTPS"],
      "logged": true
    },
    {
      "action": "DROP",
      "source_groups": ["ANY"],
      "destination_groups": ["ANY"],
      "services": ["ANY"],
      "logged": false
    }
  ]
}

קבוצה web-tier יכולה לכלול את כל ה-VMs עם תג { "display_name": "web-tier", "connectivity_path": "/infra/tier-1s/tier-1-gw", "subnets": [{ "gateway_address": "10.1.1.1/24", "dhcp_ranges": ["10.1.1.100-10.1.1.200"] }], "transport_zone_path": "/infra/sites/default/enforcement-points/default/transport-zones/<overlay-tz-id>" } —חוקים מוחלים מיידית כאשר ההרכב משתנה.

שלבים להגדרת מדיניות DFW

1. צור קבוצות דינמיות המבוססות על תגי vSphere (למשל, env:production, { "rules": [ {"action": "ALLOW", "source_groups": ["group-web"], "destination_groups": ["group-app"], "services": ["HTTPS"], "logged": true}, {"action": "DROP", "source_groups": ["ANY"], "destination_groups": ["ANY"], "services": ["ANY"], "logged": false} ] } ).
2. הגדר שירותים (TCP/443, UDP/53) וקבוצות ב-NSX Manager.
3. כתוב חוקים בסדר: אפשר תעבורה מותרת, חסום כל דבר אחר.
4. הפעל רישום עבור חוקי allow כדי לחקור תקלות.
5. בדוק על סגמנט פיילוט לפני פריסה על כל ה-VMs.

מהו Edge Node ומתי הוא נדרש?

תעבורת East-West (VM ↔ VM) מנותבת דרך Distributed Router על ההיפרביזורים. עבור תעבורת North-South (VM ↔ אינטרנט/רשת חיצונית), נדרשים Edge Nodes. אלה הם VMs נפרדים או bare-metal עם מודול NSX ייעודי. Edge Node יכול לשמש כ-Tier-0 Gateway, להתחבר למתגי ToR פיזיים באמצעות BGP, ולפרסם תת-רשתות סגמנט כלפי חוץ.

טעויות התקנה נפוצות

1. MTU נמוך מ-9000. Geneve מוסיף 50+ בתים; עם MTU 1500 פרגמנטציה הורגת ביצועים. אנו ממליצים על Jumbo Frames בכל הפורטים.
2. Transport Node במצב 'Not Ready'. סיבה: כתובת TEP IP לא ניתנת לניתוב או מאגר IP מוצה. השתמש ב-group-app על ESXi לאבחון.
3. DFW לא מיושם. אם VM אינו ב-Transport Zone אובירליי, DFW אינו משפיע עליו. בדוק tier:application על המארח.

לוחות זמנים ומה כלול

העלות מחושבת באופן אישי לאחר ביקורת. צור קשר—נעריך את הפרויקט שלך. מהנדסי VMware המוסמכים שלנו מבטיחים SLA ותיעוד מלא. הזמן ביקורת תשתית כדי לקבל תוכנית מעבר מ-VLAN ל-NSX. איתנו, אתה מקבל רשת המנוהלת על ידי קוד, לא סקריפטים.