VMware NSX 筆記 (6) - NSX Security ~ 不自量力の Weithenn

NSX Edge Firewall

NSX Edge Firewall 擔任如同傳統硬體防火牆，也就是擋著「外 -> 內」的攻擊。NSX Edge Firewall 其實就是 vShield Edge VM，因為它是高度客製化的 Linux(VM)，所以其實防火牆功能就是 NetFilter (IPTable)。

預設情況下 Firewall Policy為「外 -> 內 Deny」，採取 Rules First-Match 的防火牆規則讀取方式，最多支援 2,000 筆規則，連線數的部份則跟部署的資源有關。

Firewall Rules 中有 Default, Internal, User 三種類型：

Default： 就是預設規則(可以多條或多組)。
Internal： User Define Chain (服務分類的概念)，這樣的設計的目的是可以「降低規則比對次數，提升運作效能」，但只有系統自已使用，管理者無法手動建立此規則。
User： 實際執行的 Rules，GUI 設定只能是 User。

此外，比較特別的部份是可以識別 vSphere 相關物件如 Cluster, Resource Pool...等，且內建多種常用服務如 Exchange...etc，你可以選一堆組成 Service Group，以因應內部的 VM 服務。Incoming 角度是從 Edge 來看 (外 -> 內 VM)，Outgoing 角度是從 Edge 來看 (內 VM -> 外)。

Distributed Firewall

以往的防火牆，只能擋住外到內的部份，主機之間的攻擊行為防護只能依靠 Guest OS 內建防火牆，但是在管控上並不方便且會影響效能。因此，不同於以往的設計 Distributed Firewall 是擋在「每台 VM」前面的 Firewall (所以 Guest OS Firewall 可以關閉)。

圖片來源： VMware NSX for vSphere (NSX-V) Network Virtualization Design Guide

Distributed Firewall，它是內嵌在 VMkernel 當中(座落於 vNIC Level)。原則上可以處理 L2 ~ L4 (L2 MAC、L3 IP、L4 TCP/UDP/Port)，在優先權上，L2 的 Rules 會優先處理。在 GUI 設定介面中「Ethernet」其實就是 L2 Rules，而「General」就是 L3,L4 Rule，簡單來說，Distributed Firewall會先比對 L2 Rule 後，再比對 L3,L4 Rule 最後比對 Default Rule。此外 Distributed Firewall Rules 會「跟著 VM 走」，所以不用怕 vMotion 之後防火牆規則會跑掉的問題。

圖片來源： VMware NSX for vSphere (NSX-V) Network Virtualization Design Guide

在規則管理上由 vSphere Web Client 統一進行規則設定的動作，透過 NSX Manager 把防火牆規則派送到每一台所屬的 ESXi Host 當中 (NSX Controller 不負責這部份)。

圖片來源： VMware NSX for vSphere (NSX-V) Network Virtualization Design Guide

在防火牆規則中的 SECTION 只是「容器」的概念(管理用途)，跟先前提到 NSX Edge Firewall 的 Internal 不同。現在，透過 NSX 網路虛擬化的 Distributed Firewall 功能，除了能定義 VM 與 VM 之間是否能互通之外，即使不同網段的 VM 也能進行定義。