بایگانی‌های vmware nsx

بایگانی برچسب برای: vmware nsx

مقایسه VXLAN در مقابل GENEVE

NSX-v از پروتکل کپسول‌سازی VXLAN استفاده می‌کند؛ در حالی که NSX-T از GENEVE که پروتکل مدرن‌تری است استفاده می‌کند.

جداسازی شبکه در VXLAN:

برای VXLAN از MAC over IP encapsulation استفاده می‌شود و اصل کار جداسازی شبکه با روش VLAN متفاوت است. VLAN سنتی تعداد محدودی شبکه دارد که طبق استاندارد ۸۰۲٫۱q 4094 اجرا می‌شود و جداسازی شبکه روی لایۀ ۲ شبکۀ فیزیکی با افزودن ۴ بایت در هدرهای قاب اترنت انجام می‌شود. حداکثر تعداد شبکه‌های مجازی برای VXLAN 2 ^ 24 است. شناسه شبکه VXLAN برای علامت‌گذاری هر شبکه مجازی در این حالت استفاده می‌شود. فریم‌های لایه ۲ شبکه overlay در درون داده‌های UDP منتقل شده از طریق یک شبکه فیزیکی کپسول می‌شوند. شماره پورت UDP در این مورد ۴۷۸۹ است.

هدر VXLAN از قسمت‌های زیر تشکیل شده است.

۸ بیت برای پرچم‌ها استفاده می‌شود. برای معتبر ساختن شناسه شبکه VXLAN (VNI) باید پرچم I روی ۱ تنظیم شود.۷ بیت دیگر، فیلدهای R هستند که رزرو شده‌اند و باید هنگام انتقال صفر شوند. قسمت‌های R تنظیم شده روی صفر در هنگام رسید نادیده گرفته می‌شوند.
VXLAN Network Identifier (VNI) که به عنوان VXLAN Segment ID نیز شناخته می‌شود، یک مقدار ۲۴ بیتی است که برای تعیین شبکه هم‌پوشانی منفرد استفاده شده، برای ارتباط ماشین‌های مجازی با یکدیگر استفاده می‌شود.
قسمت‌های رزرو شده (۲۴ بیتی و ۸ بیتی) باید صفر تنظیم شده و در هنگام رسیدگی نادیده گرفته شوند.

اندازۀ هدر VXLAN ثابت است و برابر با ۸ بایت می‌شود. استفاده از فریم‌های Jumbo با MTU تنظیم شده روی ۱۶۰۰ بایت یا بیشتر برای VXLAN توصیه می‌شود.

ژنو GENEVE:

هدر GENEVE بسیار شبیه VXLAN است و ساختار زیر را دارد:

یک سرصفحۀ تونل جمع و جور در UDP از طریق IP محصور می‌شود.
از یک هدر تونل ثابت کوچک برای ارائۀ اطلاعات کنترل و همچنین سطح پایه عملکرد و قابلیت همکاری استفاده می‌شود.

گزینه‌های طول متغیر برای امکان ایجاد نوآوری‌های آینده در دسترس است.

اندازۀ هدر GENEVE متغیر است.

(GEneric NEtwork Virtualization Encapsulation) به عنوان یک پروتکل تونل‌زنی استفاده می‌کند که قابلیت‌های سنتی بارگیری موجود در NIC کنترل‌کننده‌های رابط شبکه را برای بهترین عملکرد حفظ می‌کند. فراداده اضافی می‌تواند به سرصفحه‌های هم‌پوشانی اضافه شود و به شما کمک می‌کند تا تفاوت زمینه برای پردازش اطلاعات مانند تله متری پایان به پایان، ردیابی داده‌ها، رمزگذاری، امنیت و غیره در لایۀ انتقال داده بهبود یابد. اطلاعات اضافی موجود در فراداده‌ها TLV نوع، طول، مقدار نامیده می‌شود. GENEVE را VMware، Intel، Red Hat و Microsoft توسعه یافته است.GENEVE بر اساس بهترین مفاهیم پروتکل‌های کپسول‌سازیVXLAN، STT و NVGRE ساخته شده است.

مقدار MTU برای فریم‌های Jumbo باید حداقل ۱۷۰۰ بایت باشد. هنگام استفاده از کپسول‌سازی GENEVE که ناشی از قسمت متادیتای اضافی با طول متغیر برای هدرهای GENEVE MTU 1600 یا بالاتر است، برای VXLAN استفاده می‌شود. همان طور که یادآوری می‌کنید.

NSX-v و NSX-T به دلیل تفاوت کپسول‌سازی پوشش داده شده در این بخش، با یکدیگر سازگار نیستند.

شبکه لایۀ ۲

اکنون می‌دانید که چطور قاب‌های اترنت لایۀ مجازی ۲ از طریق شبکه‌های IP کپسوله می‌شوند، از این رو زمان آن رسیده است که پیاده‌سازی شبکه‌های لایۀ ۲ مجازی برای NSX-v و NSX-T را بررسی کنیم.

انتقال گره‌ها و سوئیچ‌های مجازی

گره‌های حمل و نقل و سوئیچ‌های مجازی نشان‌دهندۀ اجزای انتقال داده NSX هستند.

Transport Node(TN) دستگاه سازگار با NSX است که در انتقال ترافیک و پوشش شبکه NSX شرکت می‌کند. برای اینکه بتواند به عنوان یک گره حمل و نقل عمل کند، یک گره باید یک میزبان را شامل شود.

NSX-v به طور معمول در vSphere نیاز به استفاده از سوئیچ مجازی توزیع شده vSphere (VDS) دارد. برای NSX-v نمی‌توان از سوئیچ‌های مجازی استاندارد استفاده کرد.

NSX-T فرض می‌کند که شما باید یک سوئیچ مجازی توزیع شده NSX-T (N-VDS) را مستقر کنید.vSwitches باز (OVS) برای میزبان‌های KVM و VMware vSwitches استفاده شده و برای میزبان‌های ESXiمی‌توانند استفاده شوند.

N-VDS سوئیچ توزیع شده مجازی که قبلاً به عنوان میزبان شناخته می‌شد، یک جزء نرم‌افزاری NSX در گره حمل و نقل است که انتقال ترافیک را انجام می‌دهد.N-VDS جز component اصلی صفحه داده گره‌های حمل و نقل است که ترافیک را هدایت می‌کند و حداقل یک کنترل‌کنندۀ رابط شبکه فیزیکی (NIC) دارد. سوئیچ‌های NSX (N-VDS) مستقل از گره‌های مختلف حمل و نقل عمل می‌کنند، اما می‌توان آن‌ها را با اختصاص همان نام‌ها برای مدیریت متمرکز گروه‌بندی کرد.

در هایپروایزر ESXi، N-VDS با استفاده از VMware vSphere توزیعی که از طریق ماژول ایجاد شده NSX-vSwitch است که در هسته هایپروایزر بارگیری می‌شود و آن را اجرا می‌کنند. در ناظران KVM کلید میزبان را ماژول Open-vSwitch (OVS) پیاده‌سازی می‌شود.

مناطق حمل و نقل برای NSX-v و NSX-T در دسترس هستند. مناطق حمل و نقل حدود توزیع شبکه‌های منطقی را تعریف می‌کنند. هر منطقه حمل و نقل به NSX Switch (N-VDS) خود متصل است. مناطق حمل و نقل برای NSX-T به خوشه‌ها مرتبط نیستند.

به دلیل کپسول‌سازی GENEVE، دو نوع ناحیه حمل و نقل برای VMware NSX-T وجود داردOverlay یا VLAN. در موردVMware NSX-v، یک ناحیه حمل و نقل، فقط محدودیت توزیع VXLAN را مشخص می‌کند.

حالت‌های تکرار سوئیچ منطقی

هنگامی که دو ماشین مجازی مستقر در میزبان‌های مختلف مستقیماً با هم ارتباط برقرار می‌کنند، ترافیک unicast در حالت کپسوله شده بین دو آدرس IP نقطه پایانی اختصاص داده شده به هایپروایزر بدون نیاز به سیلاب رد و بدل می‌شود. گاهی اوقات، ترافیک شبکه لایۀ ۲ که از طریق یک ماشین مجازی ایجاد می‌شود باید به همان اندازه ترافیک لایه ۲ در شبکه‌های فیزیکی سنتی تحت تأثیر قرار گیرد. به عنوان مثال، اگر فرستنده آدرس MAC رابط شبکه مقصد را نمی‌داند. این بدان معناست که ترافیک یکسانی (پخش، تک‌پخش، چندپخشی) باید برای همه ماشین‌های مجازی متصل به یک سوئیچ منطقی ارسال شود. اگر ماشین‌های مجازی در میزبان‌های مختلفی زندگی می‌کنند، ترافیک باید در آن‌ها تکرار شود. ترافیک پخش، تک‌پخش و چندرسانه‌ای به عنوان ترافیک BUM نیز شناخته می‌شود.

بیایید تفاوت بین حالت‌های تکثیر را برای NSX-v و NSX-T ببینیم:

NSX-vاز حالت Unicast، حالت Multicast و حالت ترکیبی پشتیبانی می‌کند.

NSX-Tاز حالت Unicast با دو گزینه پشتیبانی می‌کند: تکرار Hierarchical Two-Tier بهینه‌سازی شده، همان NSX-v و تکرار Head بهینه‌سازی نشده.

سرکوب ARPمیزان ترافیک پخش‌شده ARP را از طریق شبکه کاهش می‌دهد و برای حالت‌های تکثیر ترافیک Unicast و Hybrid در دسترس است. بنابراین سرکوب ARP برای NSX-v و NSX-T در دسترس باقی می‌ماند.

هنگامی که یک VM1 درخواست ARP را برای دانستن آدرس MAC یک VM2 ارسال می‌کند، درخواست ARP از طریق سوئیچ منطقی رهگیری می‌شود. اگر سوئیچ از قبل ورودی ARP رابط شبکه هدف VM2 را داشته باشد، پاسخ ARP از طریق سوئیچ به VM1 ارسال می‌شود. در غیر این صورت، سوئیچ درخواست ARP را به یک کنترل‌کنندۀ NSXمی‌فرستد. اگر کنترل‌کننده NSX حاوی اطلاعات مربوط به اتصال VM IP به MAC باشد، کنترل‌کننده پاسخ را با آن اتصال ارسال می‌کند و سپس سوئیچ منطقی پاسخ ARP را به VM1می‌فرستد. اگر ورودی ARP روی کنترلر NSX وجود نداشته باشد، درخواست ARP مجدداً روی سوئیچ منطقی پخش می‌شود.

پل NSX لایه ۲

پل لایه ۲ برای انتقال بارهای کاری از شبکه‌های هم‌پوشانی به VLAN یا تقسیم زیرشبکه‌ها بین بارهای فیزیکی و مجازی مفید است.

NSX-v: این ویژگی در سطح هسته یک هایپروایزر کار می‌کند که یک VM کنترل روی آن اجرا می‌شود.

NSX-T: گره NSX-Bridge جداگانه‌ای برای این منظور ایجاد می‌شود. گره‌های پل NSX را می‌توان به صورت خوشه‌ای مونتاژ کرد تا تحمل خطای کل محلول را بهبود بخشد.

در NSX-v control VM، افزونگی با استفاده از طرح دسترسی بالا (HA) اجرا شد. یک نسخه از VM فعال است. در حالی که نسخۀ دوم VM در حالت آماده به کار قرار دارد. اگر VM فعال از کار افتاده باشد، ممکن است مدت زمان زیادی طول بکشد تا ماشین مجازی را تعویض کرده و با فعال کردن آن، VM stand-by را بارگیری کند.NSX-T با این عیب روبه‌رو نیست، زیرا به جای طرح فعال / آماده به کار برای HA از یک خوشۀ مقاوم در برابر خطا استفاده شده است.

مدل مسیریابی در VMware NSX

در مواردی که از VMware NSX استفاده می‌کنید، اصطلاحات زیر استفاده می‌شود:

ترافیک شرق غربی: به انتقال داده از طریق شبکه در مرکز داده اشاره دارد. این نام برای این نوع خاص از ترافیک استفاده می‌شود زیرا خطوط افقی روی نمودارها معمولاً نشان‌دهندۀه ترافیک شبکه محلی (LAN) است.

ترافیک شمال ــ جنوب: به ترافیک سرویس گیرنده سرور یا ترافیکی گفته می‌شود که بین یک مرکز داده و یک مکان خارج از مرکز داده (شبکه‌های خارجی) حرکت می‌کند. خطوط عمودی روی نمودارها معمولاً این نوع ترافیک شبکه را توصیف می‌کنند.

روتر توزیعی منطقی(DLR) یک روتر مجازی است که می‌تواند از مسیرهای ثابت و پروتکل‌های مسیریابی پویا مانند OSPF، IS-IS یا BGP استفاده کند.

مستأجر به مشتری یا سازمانی گفته می‌شود که به یک محیط امن و منزوی که ارائه دهندۀ خدمات مدیریت شده (MSP) فراهم می‌کند، دسترسی یابد. یک سازمان بزرگ می‌تواند با در نظر گرفتن هر بخش به عنوان یک مستأجر واحد، از معماری چند مستأجر استفاده کند. VMware NSX می‌تواند به ویژه برای ارائه زیرساخت به عنوان یک سرویس (IaaS) مفید باشد.

بررسی مسیریابی در NSX-v

NSX برای vSphere از DLR روتر منطقی توزیع شده و مسیریابی متمرکز استفاده می‌کند. در هر هایپروایزر یک ماژول هستۀ مسیریابی وجود دارد که می‌توان روی آن رابط بین رابط‌های منطقی (LIF) در روتر توزیع شده را انجام داد.

بیایید به عنوان مثال، یک طرح معمول مسیریابی برای NSX-v را در نظر بگیریم، هنگامی که شما یک مجموعه سه بخشی دارید: VM‌های دارای پایگاه داده، VM‌های با سرورهای برنامه و VM‌های با وب سرورها. ماشین‌های مجازیِ این بخش‌ها (آبی آسمانی، سبز و آبی عمیق) به یک روتر منطقی توزیع شده (DLR) متصل می‌شوند که به نوبۀ خود از طریق درگاه‌های لبه (NSX Edge) به شبکه‌های خارجی متصل می‌شود.

اگر با چندین مستأجر کار می‌کنید، می‌توانید از ساخت و ساز چند لایه NSX Edge استفاده کنید، یا هر مستأجر می‌تواند DLR اختصاصی و کنترلر VM اختصاصی خود را داشته باشد، دسته دوم روی خوشۀ لبه قرار دارد. دروازه NSX Edge با ارائه سرویس‌های مشترک دروازه مانند DHCP، VPN، NAT، مسیریابی پویا و تعادل Load، شبکه‌های خرد شده و خرد را به شبکه‌های اشتراکی (uplink) متصل می‌کند. استقرارهای معمول NSX Edge در DMZ، VPN Extranets و محیط‌های چند مستأجر Cloud وجود دارد که NSX Edge برای هر مستأجر مرزهای مجازی ایجاد می‌کند.

اگر شما به انتقال ترافیک از یک ماشین مجازی واقع در بخش Aآبی مستأجر اول به بخش Aمستأجر دوم نیاز دارید، ترافیک باید از دروازه NSX Edge عبور کند. در این حالت، هیچ مسیریابی توزیعی وجود ندارد، زیرا ترافیک باید از یک نقطه عبور کند که دروازه NSX Edge تعیین شده است.

همچنین می‌توانید اصل کار را در مورد طرحی مشاهده کنید که اجزا به خوشه تقسیم می‌شوند: خوشه مدیریت، خوشه لبه و خوشه محاسبه. در این مثال، هر خوشه از ۲ میزبان ESXi استفاده می‌کند. اگر دو VM در یک میزبان ESXi یکسان اجرا شوند، اما به بخش‌های مختلف شبکه تعلق داشته باشند، ترافیک از دروازه NSX Edge که در میزبان ESXi دیگر خوشه Edge واقع شده عبور می‌کند. پس از مسیریابی، این ترافیک باید به میزبان ESXi برگردانده شود که ماشین‌های مجازی منبع و مقصد در آن در حال اجرا هستند.

مسیر انتقال ترافیک در این حالت مطلوب نیست. از مزایای موجود برای مسیریابی توزیع شده در مدل چند مستأجر با درگاه‌های Edge نمی‌توان استفاده کرد، در نتیجه تأخیر بیشتری برای ترافیک شبکه شما ایجاد می‌کند.

بررسی مسیریابی در NSX-T

NSX-T برای حل مسائل توضیح داده شده در بالا از یک مدل مسیریابی توزیع شدۀ دو لایه استفاده می‌کند.Tier0 و Tier1 هر دو در گره‌های Transport ایجاد می‌شوند؛ مورد دوم ضروری نیست، اما برای بهبود مقیاس‌پذیری در نظر گرفته شده است.

ترافیک با استفاده از بهینه‌ترین مسیر منتقل می‌شود، زیرا مسیریابی بعد از آن روی هایپروایزر ESXi یا KVM انجام می‌شود که ماشین‌های مجازی در آن در حال اجرا هستند. تنها موردی که باید از یک نقطه ثابت مسیریابی استفاده شود، اتصال به شبکه‌های خارجی است. گره‌های Edge جداگانه‌ای روی سرورهایی مستقر شده‌اند که هایپروایزر را اجرا می‌کنند.

سرویس‌های اضافی مانند BGP، NAT و Edge Firewall را می‌توان در گره‌های Edge فعال کرد، که به نوبه خود می‌توانند به عنوان یک خوشه برای بهبود در دسترس بودن ترکیب شوند. علاوه بر این، NSX-T همچنین تشخیص خرابی سریع‌تر را فراهم می‌کند. به زبان ساده، بهترین وسیله برای توزیع مسیریابی، مسیریابی در زیرساخت مجازی شده است.

آدرس IP برای شبکه‌های مجازی

هنگام پیکربندیNSX-v، باید طرحی از آدرس دهی IP در داخل بخش‌های NSX تهیه کنید. سوئیچ‌های منطقی ترانزیت که DLR‌ها و دروازه‌های Edge را به هم پیوند می‌دهند نیز باید در این مورد اضافه شوند. اگر از تعداد زیادی دروازه Edge استفاده می‌کنید، باید طرح آدرس IP را برای بخش‌هایی تنظیم کنید که با این دروازه‌های Edge به یکدیگر مرتبط شده‌اند.

اما NSX-Tنیازی به این عملیات ندارد. تمام بخش‌های شبکه بین Tier0 و Tier1 به طور خودکار آدرس‌های IP را به دست می‌آورند. از هیچ پروتکل مسیریابی پویا استفاده نمی‌شود ــ در عوض، از مسیرهای ثابت استفاده می‌شود و یک سیستم به طور خودکار اجزا را به هم متصل و پیکربندی را آسان‌تر می‌کند. نیازی به صرف زمان زیادی دربارۀ برنامه‌ریزی آدرس IP برای اجزای شبکه سرویس (ترانزیت) نیست.

ادغام برای بازرسی ترافیک

NSX-v که با سرویس‌های شخص ثالث مانند آنتی ویروس‌های غیر عامل، فایروال پیشرفته (فایروال‌های نسل بعدی) ادغام شده است، IDS سیستم‌های تشخیص نفوذ،IPS سیستم‌های پیشگیری از نفوذ و انواع دیگر خدمات بازرسی ترافیک را ارائه می‌دهد. ادغام با انواع ذکر شده بازرسی ترافیک با استفاده از یک گذرگاه محافظت شده VMCI رابط ارتباطی ماشین مجازی در یک لایه هسته هایپروایزر انجام می‌شود.

NSX-T در حال حاضر این قابلیت‌ها را ارائه نمی‌دهد.

امنیت در NSX

فایروال‌های توزیع شده در سطح هسته برای NSX-v و NSX-T پیکربندی می‌شوند و روی سطح آداپتور مجازی VM کار می‌کنند. گزینه‌های امنیتی سوئیچ برای هر دو نوع NSX موجود است، اما گزینه «محدودیت نرخ پخش و پخش چندرسانه‌ای» فقط برای NSX-T در دسترس است.

NSX-T به شما امکان می‌دهد قوانین را به صورت یکی یکی اعمال کنید، در نتیجه منطقی‌تر از گره‌های حمل و نقل استفاده می‌شود. به عنوان مثال، می‌توانید قوانینی را بر اساس اشیا following زیر اعمال کنید: سوئیچ منطقی، پورت منطقی.

NSGroup برای دستیابی به سطوح بالاتر کارایی و بهینه‌سازی، می‌توان از این ویژگی برای کاهش پیکربندی تنظیم شده روی کلید منطقی، پورت منطقی یا NSGroup استفاده کرد. شما همچنین می‌توانید علاوه بر میزبانی از استقرار چند مستأجر، فضای مقیاس و چرخه‌های جست‌وجوی قانون را نیز ذخیره کنید و قوانین خاص مستأجر را اعمال کنید (قوانینی که برای بارهای مستأجر مناسب اعمال می‌شود).

روند ایجاد و اعمال قوانین برای NSX-v و NSX-T کاملاً مشابه است. تفاوت در این است که سیاست‌های ایجاد شده برای NSX-T به تمام کنترل‌کننده‌هایی ارسال می‌شود که در آن قوانین به آدرس‌های IP تبدیل می‌شوند، در حالی که درNSX-v، سیاست‌ها بلافاصله به vShield Firewall Daemon (VSFWD) منتقل می‌شوند.

NSX-v در مقابل NSX-T – جدول مقایسه

اکنون که با جالب‌ترین قابلیت‌های VMware NSX آشنا شدید، بیایید ویژگی‌های اصلی NSX-v و NSX-T را که در این پست وبلاگ بررسی شده است، علاوه بر مقایسۀ آن‌ها در جدول، خلاصه کنیم

	NSX-V	VSX-T
ادغام دقیق با vSphere	بله	خیر
کارد کردن بدون vCenter	خیر	بله
پشتیبانی از چندین نمونه NSX Manager از طرف vCenter	خیر	بله
شبکۀ مجازی را برای سیستم‌عامل‌های زیر فراهم می‌کند	VMware vSphere	KVM، Docker، Kubernetes و OpenStack، AWS، VMware vSphere
استقرار NSX Edge	ESXI VM	GENEVE
N-VDS از سوییچ‌های مجازی استفاده می‌کند	توزیع شده از طرف vSphere سوییچ VDS	Unicast دو لایه یا سر
سرکوب ARP	بله	بله
مسیریابی توزیع شدۀ دولایه	خیر	بله
برای بخش‌های IP پیکربندی طرح آدرس	کتابچه راهنما	خودکار بین ردیف صفر و ردیف یک
ادغام برای بازرسی ترافیک	بله	خیر
فایروال توزیع‌شده در سطح هسته	بله	خیر

VMware NSX یک بستر مجازی‌سازی شبکه عالی است که می‌تواند از جانب ارائه‌دهندگان خدمات مدیریت‌شده برای ارائۀ زیرساخت به عنوان سرویس (IaaS) مورد استفاده قرار گیرد.NSX-v بهترین راه‌حل است؛ اگر فقط از یک محیط vSphere استفاده کنید، در حالی که NSX-T نه تنها برای vSphere بلکه برای سیستم‌عامل‌های مجازی‌سازی KVM، Docker، Kubernetes و OpenStack در چارچوب ساخت شبکه‌های مجازی نیز استفاده شود. در مورد اینکه کدام نوع NSX بهتر است پاسخ واحدی وجود ندارد. اینکه شما باید از NSX-v یا NSX-T استفاده کنید، به نیازها و ویژگی‌های شما از طرف هر نوع NSX بستگی دارد. محبوب‌ترین ویژگی‌های NSX-v و NSX-T در پست وبلاگ امروز توضیح داده شده است. خط مشی صدور مجوز NSX کاربرپسند است ــ صرف نظر از نوع NSX که می‌خواهید استفاده کنید، فقط باید یک مجوز NSX بخرید. بعداً می‌توانید NSX-T را در یک محیط NSX-v نصب کنید یا برعکس.

بسته به نیاز خود و با استفاده از راه‌حل NSXمی‌توانید مرکز دادۀ خود را با نرم‌افزار تعریف شده با VMware بسازید. VMware ویژگی‌های خوشه‌بندی را برای اطمینان از تداوم عملکرد، در دسترس بودن زیاد و تحمل خطا در اختیار شما قرار می‌دهد، با وجود این، تهیۀ نسخه پشتیبان از ماشین VM اقدام مازادی نخواهد بود. برای محافظت از داده‌های خود، مرتباً از VM‌های تولیدی خود استفاده کنید که مربوط به پروژه‌های مختلف و VM‌هایی هستند که به عنوان اجزای VMware vSphere و VMware NSX مانندvCenter، NSX Manager، NSX Controller، NSX Edge اجرا می‌شوند و می‌توانید از آن‌ها پشتیبان تهیه کنید.

مقایسه جامع بین NSX-v در مقابل NSX-T

مجازی‌سازی تغییراتی در نحوۀ ساخت مراکز داده ایجاد کرده است

اکثر مراکز داده مدرن از مجازی‌سازی سخت‌افزاری استفاده می‌کنند و سرورهای فیزیکی را برای نظارت بر ماشین‌های مجازی بر روی سرورهای گفته شده مستقر می‌نمایند. این روش مقیاس‌پذیری، انعطاف‌پذیری و کارایی، هزینۀ مرکز داده را بهبود می‌بخشد.VMware یکی از بازیگران برتر بازار مجازی‌سازی است و محصولات آن‌ها در صنعت IT بسیار مورد احترام قرار دارد، VMware ESXi Hypervisor و VMware vCenter از اجزای شناخته شده راه‌حل مجازی‌سازی VMware vSphere است.

شبکه یکی از اجزای مهم هر مرکز داده است، از جمله مرکز دادۀ مجازی، و اگر به شبکه‌های بزرگ و پیکربندی‌های پیچیدۀ شبکه برای مرکز دادۀ مجازی خود نیاز دارید، استفاده از شبکه تعریف شده از طریق نرم‌افزار SDN را در نظر بگیرید. شبکه از طریق نرم‌افزار معماری تعریف شده است که هدف آن چابک‌سازی و انعطاف‌پذیری شبکه‌ها است. هدف SDN بهبود کنترل شبکه از طریق فراهم آوردن امکانات لازم به شرکت‌ها و ارائه‌دهندگان خدمات برای پاسخ سریع به تغییر الزامات تجاری است.VMware به مشتریان خود اهمیت می‌دهد و راه‌حل VMware NSX را برای ساخت شبکه‌های تعریف شده از طریق نرم‌افزار ارائه می‌دهد. پست وبلاگ امروز VMware NSX را شامل می‌شود و تفاوت بین VMware NSX-v و VMware NSX-T را بررسی می‌کند.

VMware NSX چیست و چگونه می‌توان از آن استفاده کرد؟

VMware NSX یک راه‌حل مجازی‌سازی شبکه است که به شما امکان می‌دهد شبکه‌های تعریف شده از طریق نرم‌افزار را در مراکز داده مجازی‌سازی کنید. همان طور که ماشین‌های مجازی از سخت‌افزار سرور فیزیکی انتزاع می‌شوند، شبکه‌های مجازی شامل سوئیچ‌ها، پورت‌ها، روترها، فایروال‌ها و غیره نیز در فضای مجازی ساخته می‌شوند. شبکه‌های مجازی مستقل از سخت‌افزار اصلی تهیه و مدیریت می‌شوند. ماشین‌های مجازی به درگاه‌های مجازی و سوئیچ‌های مجازی متصل می‌شوند.

مقایسه تقسیم خرد در NSX

هنگام استفاده از یک روش سنتی برای پیکربندی دسترسی بین چندین شبکه در یک محیط مجازی، یک روتر فیزیکی یا یک دروازه edge که روی یک ماشین مجازی اجرا می‌شود معمولاً مستقر می‌شود، هرچند این رویکرد به خصوص سریع و راحت نیستVMware .مفهوم تقسیم‌بندی خرد را در NSX با استفاده از یک فایروال توزیع شده که در هسته هایپروایزر تعبیه شده، پیاده‌سازی کرده است. سیاست‌های امنیتی، پارامترهای تعامل شبکه برای آدرس‌هایIP، آدرس‌هایMAC، ماشین‌های مجازی، برنامه‌ها و سایر اشیا all همه در این فایروال توزیع شده تنظیم شده‌اند. در صورت استقرار NSX در داخل شرکت شما در آنجا که از Active Directory Domain Controller (ADDC) استفاده می‌شود، می‌توان با استفاده از اشیا users مانند کاربران Active Directory و گروه‌ها، قوانین را پیکربندی کرد.

Firewall توزیع شده به شما امکان می‌دهد نهادهای مرکز داده‌های مجازی مانند ماشین‌های مجازی را تقسیم‌بندی کنید. تقسیم‌بندی می‌تواند بر اساس نام و ویژگی‌های VM، هویت کاربر، اشیا v vCenter مانند مراکز داده و میزبان‌ها باشد یا می‌تواند بر اساس ویژگی‌های شبکه‌های سنتی مانند آدرس‌هایIP، گروه‌های پورت و غیره باشد.

مؤلفۀ Edge Firewall به شما کمک می‌کند تا نیازهای کلیدی محیط پیرامونی مانند ساخت DMZ بر اساس سازه‌های IP / VLAN، جداسازی مستأجر از مستأجر در مراکز داده مجازی چند مستأجر، ترجمه آدرس شبکه (NAT)، VPN‌های شریک (اکسترانت)، و SSL VPN‌های مبتنی بر کاربر.

اگر یک ماشین مجازی از یک میزبان به میزبان دیگر منتقل شود ــ از یک زیرشبکه به زیرشبکۀ دیگر ــ قوانین دسترسی و سیاست‌های امنیتی مطابق با مکان جدید اتخاذ می‌شوند. اگر یک سرور پایگاه داده روی یک VM مهاجرت در حال اجرا است، قوانین تعیین شده برای این VM در فایروال پس از پایان مهاجرت به یک میزبان یا شبکۀ دیگر، برای این VM کار می‌کند، به سرور پایگاه داده اجازه می‌دهد تا به سرور برنامه در حال اجرا روی VM دسترسی داشته باشد. این نمونه‌ای از بهبود انعطاف‌پذیری و اتوماتیک‌سازی در هنگام استفاده از VMware NSX است. NSX می‌تواند به ویژه برای ارائه‌دهندگان ابر و زیرساخت‌های مجازی بزرگ مفید باشد.VMware دو نوع از پلتفرم شبکه را که از طریق نرم‌افزار NSX تعریف می‌شود، ارائه می‌دهد NSX-v و NSX-T.

بررسی NSX برای vSphere (NSX-v)

کاملاً با VMware vSphere ادغام شده و نیاز به استقرارVMware vCenter دارد. VMware NSX-v مخصوص محیط‌های vSphere هایپروایزر است و قبل از NSX-T توسعه داده شده است.

بررسی NSX-T (NSX-Transformers)

برای سیستم‌عامل‌های مختلف مجازی‌سازی و محیط‌های چند‌ هایپروایزر طراحی شده است و همچنین می‌تواند در مواردی که NSX-v قابل استفاده نیست، مورد استفاده قرار گیرد. در حالی که NSX-v از SDN فقط برای VMware vSphere پشتیبانی می‌کند،NSX-T همچنین از پشتۀ مجازی‌سازی شبکه برای KVM، Docker، Kubernetes و OpenStack و همچنین بارهای محلی AWS پشتیبانی می‌کند.VMware NSX-T می‌تواند بدون سرور vCenter مستقر شود و برای سیستم‌های محاسباتی ناهمگن از آن استفاده کنند.

سناریوهای اصلی استفاده از NSX-v در جدول زیر ذکر شده است. جدول به سه ردیف تقسیم شده است که در یکی از آن‌ها طبقه‌بندی سناریو وجود دارد. سناریوهای استفاده از NSX-T با قلم پررنگ برجسته می‌شوند.

امنیت	اتوماتیک‌سازی	تداوم برنامه
تقسیم‌بندی خرد	اتوماتیک‌سازی IT	بازیابی فاجعه
کاربر نهایی امن	ابر توسعه‌دهنده	جمع‌آوری چندین مرکز داده
DMZ در هر جایی	زیرساخت چند مستأجر	ابر متقاطع

اجزای اصلی در NSX

اجزای اصلی VMware NSX ,NSX Manager، کنترل‌کننده‌های NSX و دروازه‌های NSX Edge هستند.

NSX Manager یک جز component متمرکز روی NSX است که برای مدیریت شبکه‌ها استفاده می‌شود. NSX Manager می‌تواند به عنوان یک ماشین مجازی در یکی از سرورهای ESXi که از طریق vCenter مدیریت شده است، از الگوی OVA تبعیت کند. در مواردی که از NSX-v استفاده می‌کنید، NSX Manager می‌تواند فقط با یک سرور vCenter کار کند، در حالی که NSX Manager برای NSX-T می‌تواند به عنوان ESXi VM یا KVM VM مستقر شود و می‌تواند با چندین سرور vCenter هم‌زمان کار کند.

NSX Manager برای vSphereمبتنی بر سیستم عامل Photon مشابه vCenter Server Applianceاست.

NSX-T Manager روی سیستم عامل اوبونتو اجرا می‌شود.

بررسی کنترل کننده‌های NSX:

کنترل‌کننده NSX یک سیستم مدیریت حالت توزیع شده است که برای پوشش دادن تونل‌های حمل و نقل و کنترل شبکه‌های مجازی از آن استفاده می‌شود و می‌تواند به عنوان یک ماشین مجازی در هایپروایزرهای ESXi یا KVM مستقر شود.NSX Controller تمام سوئیچ‌های منطقی موجود در شبکه را کنترل می‌کند و اطلاعات مربوط به VM‌ها،‌ هاست‌ها، سوئیچ‌ها و VXLAN‌ها را کنترل می‌کند. داشتن سه گره کنترل‌کننده، افزونگی داده‌ها را در صورت خرابی یک گره کنترل‌کننده NSX تضمین می‌کند.

بررسی NSX Edge

یک سرویس دروازه‌ای است که دسترسی به شبکه‌های فیزیکی و مجازی را برای ماشین‌های مجازی فراهم می‌کند. NSX Edge می‌تواند به عنوان روتر مجازی توزیع شده یا به عنوان دروازۀ خدمات نصب شود. خدمات زیر را می‌توان در آن ارائه داد: مسیریابی پویا، فایروال‌ها، ترجمۀ آدرس شبکه (NAT)، پروتکل پیکربندی میزبان پویا (DHCP)، شبکه خصوصی (VPN)، تعادل بار و در دسترس بودن بالا.

گزینه‌های استقرار در NSX

مفهوم استقرار برای NSX-v و NSX-T کاملاً مشابه است. برای استقرار NSX باید مراحل زیر را انجام دهید:

NSX Manager را با استفاده از یک دستگاه مجازی روی میزبان ESXi به عنوان VM نصب کنید. حتماً NSX Manager را در vSphere vCenter برای NSX-v ثبت کنید. اگر از NSX-T استفاده می‌کنید، NSX Manager می‌تواند به عنوان یک وسیلۀ مجازی روی میزبان KVM مستقر شود؛ زیرا VMware NSX-T به شما امکان می‌دهد مجموعه‌ای از مدیران NSX ایجاد کنید.
سه کنترل‌کننده NSX مستقر کرده و یک خوشۀ کنترل‌کننده NSX ایجاد کنید.
VIB‌ها (ماژول‌های هسته) را روی میزبان‌های ESXi نصب کنید تا اگر از NSX-v استفاده می‌کنید، یک فایروال توزیع شده، مسیریابی توزیع شده و VXLAN را فعال کنید. اگر از NSX-T استفاده می‌کنید، ماژول‌های هسته نیز باید روی هایپروایزرها KVM نصب شوند.
NSX Edge را به عنوان VM روی ESXi نصب کنید. برای NSX-v و NSX-Tاگر از NSX-T استفاده می‌کنید و امکان نصب Edge به عنوان یک ماشین مجازی روی ESXi وجود ندارد، Edge می‌تواند در یک سرور فیزیکی مستقر شود. در حال حاضر نصب Edge به عنوان یک VM در هایپروایزرهای KVM پشتیبانی نمی‌شود. برای NSX-T v.2.3اگر می‌خواهید Edge را در یک سرور فیزیکی مستقر کنید، قبل از انجام این کار، لیست سازگاری سخت‌افزار مهم برای CPU‌ها و NIC‌ها را بررسی کنید.

مقایسه قابلیت‌های مشترک در NSX

یک سری قابلیت‌ها وجود دارد که برای هر دو نوع NSX موجود است.

قابلیت‌های مشترک NSX-v و NSX-T عبارت‌اند از:

مبتنی بر نرم‌افزار مجازی‌سازی شبکه
هم‌پوشانی مبتنی بر نرم‌افزار
مسیریابی توزیع شده
توزیع دیوار آتش
اتوماتیک‌سازی مبتنی بر API
نظارت دقیق و آمار

توجه داشته باشید که API‌ها برای NSX-v و NSX-T متفاوت هستند.

مجوز دادن در NSX

صدور مجوز برای هر دو نوع NSX از این جهت است که انعطاف‌پذیری و جهانی بودن بیشتری را برای شما فراهم می‌کند. به عنوان مثال، می‌توانید مجوز استفاده از NSX را برای vSphere سفارش دهید و اگر در زیرساخت خود تغییراتی ایجاد کردید و نیاز به استقرار NSX-T دارید، می‌توانید از پروانه کسب شده برای ESXi-v استفاده کنید. NSX، NSX است ــ هیچ تمایزی از طرف مجوز وجود ندارد، زیرا نسخه‌های صدور مجوز نیز یکسان هستند.

کپسول‌سازی هم‌پوشانی در شبکه‌های مجازی

کپسول‌سازی Overlay برای شبکه‌های مجازی و در مورد انتزاع شبکه‌های مجازی با حمل اطلاعات لایۀ ۲ روی لایۀ ۳ استفاده می‌شود. شبکه منطقی لایۀ ۲ از طریق شبکه‌های لایۀ ۳ موجود شبکه‌های IP در زیرساخت فیزیکی موجود ایجاد می‌شود. در نتیجه، دو ماشین مجازی می‌توانند از طریق شبکه با یکدیگر ارتباط برقرار کنند، حتی اگر مسیر بین ماشین‌های مجازی باید مسیریابی شود. یک شبکه فیزیکی را می‌توان شبکۀ زیرانداز نامید.

درک مجازی‌سازی شبکه با VMware NSX

درک چگونگی جمع شدن شبکه‌های فیزیکی و شبکه‌های مجازی برای ارائه یک راه‌حل از انتها به پایان برای ایجاد یک محیط تولید پایدار حیاتی است. شبکه‌های فیزیکی و مجازی با یکدیگر تعامل می‌کنند تا عملکردهای مختلفی را ارائه دهند. با معرفی شبکه‌های هم‌پوشانی مانندVMware NSX، چندین لایه اضافی وجود دارد. این مبحث مفاهیم زیر را توضیح می‌دهد:

معماری VMware vSphere

معماری VMware vSphere بسیار ساده است. دو میزبان ESXi در یک خوشه به نام «خوشه جدید» وجود دارد. هر دو میزبان یک سوئیچ مجازی توزیع شده به نام “DSwitch” با یک گروه پورت “DPortGroup” دارند؛ این خوشه به یک مرکز داده به نام “Datacenter” اختصاص داده شده است.

همه ماشین‌های مجازی لوازم خانگی NSX در سوئیچ مجازی توزیع شده “DSwitch” قرار می‌گیرند. vSwitch0 محلی دیگر برای هر نوع ترافیکی استفاده نمی‌شود. کل ترافیک زیرین سوئیچ مجازی توزیع شده را وارد و خارج می‌کند.

VMware NSX

برای فعال کردن SDN، توابع زیادی از مدیریت تا انتقال بسته وجود دارد که باید انجام شود. در ادامه هر جزء component عملکردی شرح داده می‌شود.

مدیر VMware NSX

مدیر VMware NSX یکپارچه‌سازی با سرور VMware vCenter را فراهم می‌کند که به شما امکان می‌دهد محیط VMware NSX را از طریق VMware vCenter مدیریت کنید. تمام عملیات و پیکربندی VMware NSX از طریق VMware vCenter انجام می‌شود، که از طریق API‌ها با VMware NSX Manager ارتباط برقرار می‌کند تا وظایف را به صاحب مسئول محول کند.

کنترل‌کنندۀ VMware NSX

کلیه تهیه شبکه‌های مجازی و یادگیری آدرس MAC از طریق کنترل‌کننده VMware NSX انجام می‌شود. شما می‌توانید VMware NSX Controller را به عنوان صفحه کنترل مجازی شده شبکه SDN تصور کنید.

روتر توزیع شده VMware NSX Logical

روتر توزیع شده منطقی VMware NSX (LDR) وظیفۀ حمل و نقل و مسیریابی همه بسته‌ها را از طریق شبکه‌های مجازی‌سازی شده SDN بر عهده دارد. این روتر عملکرد زیر را فراهم می‌کند:

دروازه پیش‌فرض برای همه ماشین‌های مجازی
آدرس مک و یادگیری و جاری شدن سیل
اتصال و مسیریابی همه بسته‌ها بین شبکه‌های مختلف مجازی
همکاران با VMware NSX Edge برای پیشرفت خروج از ترافیک خارج از شبکه‌های مجازی
خاتمه نقطۀ انتهایی تونل مجازی (VTEP)
سیاست‌های امنیتی و اجرای آن
چند اجاره‌ای

NSX LDR ابزاری عالی برای تقسیم‌بندی شبکه مجازی درشت یا ریزدانه است. چندین LDR‌های VMware NSX می‌توانند ایجاد کنند تا اجاره‌های چندگانه یا یک منطقۀ امنیتی کاملاً مجزا را برای نیازهای منظم مانند استاندارد امنیت داده صنعت کارت پرداخت (PCI DSS) فعال کنند. هر VMware NSX LDRمی‌تواند سوئیچ‌های مجازی ایجاد کند که فقط VXLAN Network Identifiers (VNI) هستند. می‌توانید سوئیچ‌های مجازی را مانند گذشته به کار ببرید، مخصوصاً زمانی که از VLAN در یک شبکۀ فیزیکی استفاده می‌کنید. سوئیچ‌های مجازی راهی آسان برای ایجاد شبکه‌های چند طبقه موقع اجرای برنامه‌ها است.

VMware NSX LDR به دو جز split تقسیم می‌شود: صفحه کنترل و صفحه داده. صفحه کنترل مسئولیت مدیریت و ادارۀ تغییرات را بر عهده دارد. VMware NSX LDR نیز در هر میزبان VMware ESXi نصب شده است تا انتقال و مسیریابی ترافیک را انجام دهد؛

هر میزبان VMware یک نسخه از VMware NSX LDR دارد که در هایپروایزر اجرا می‌شود. همۀ رابط‌های ورودی و آدرس‌های IP در کل خوشه VMware توزیع شده‌اند. این رابط‌ها اجازه می‌دهد تا ماشین‌های مجازی مستقیماً به هایپروایزر محلی و دروازۀ پیش‌فرض خود دسترسی پیدا کنند. VMware NSX از سه روش برای یادگیری آدرس MAC پشتیبانی می‌کند:

Unicast – هر میزبان VMware برای یادگیری آدرس MAC به TCP Controller NSX Controller متصل است.
Multicast – شبکه فیزیکی ــ در این مورد، شاسی مجازی ــ برای تکثیر ترافیک پخش، Unicast ناشناخته و چند پخشی از بین چند میزبان بین همه میزبان‌های VMware که در همان VNI شرکت می‌کنند، از چند برنامه استفاده می‌کند.
ترکیبی ــ هر میزبان VMware برای یادگیری آدرس MAC یک اتصال TCP به کنترل‌کننده VMware NSX دارد، اما برای عملکرد خود از شبکۀ فیزیکی برای فرایند محلی پخش، ترافیک Unicast ناشناخته و چندپخشی استفاده می‌کند.

اگر محیط شما ۱۰۰ درصد مجازی است، توصیه می‌کنیم از حالت unicast یا ترکیبی استفاده کنید. اگر می‌خواهید سرورهای فیزیکی ــ مانند Mainframes را در محیط مجازی VMware NSX ادغام کنید، برای یادگیری آدرس MAC باید از حالت چندپخشی استفاده کنید. Virtual Chassis Fabric به شما امکان می‌دهد که با استفاده از یک دستور IGMP، برنامه multicast را پیکربندی کنید و دیگر نگران طراحی و نگهداری پروتکل‌های چندپخشی مانند PIM نباشید.

همۀ سوئیچ‌های مجازی VMware NSX با VNI ارتباط دارند. بسته به مشخصات ترافیک، LDR می‌تواند به صورت محلی ترافیک را پیش ببرد یا مسیریابی کند. اگر مقصد روی میزبان دیگری یا خارج از شبکه‌های مجازی NSX باشد، VMware NSX LDR می‌تواند ترافیک را به سمت VMware NSX Edge Gateway هدایت کند.

هر ‌هایپروایزر یک نقطۀ انتهایی تونل مجازی (VTEP) دارد که وظیفۀ کپسول‌سازی ترافیک VM درون هدر VXLAN و هدایت بسته به VTEP مقصد را برای پردازش بیشتر دارد. برای دسترسی به شبکۀ فیزیکی می‌توان ترافیک را به میزبان دیگری یا VMware NSX Edge Gatew به VTEP دیگر هدایت کرد.

جداسازی شبکه

جداسازی شبکه اساس بسیاری از موارد امنیتی در شبکه است، چه برای انطباق، مهار یا جدا کردن محیط‌های توسعه‌ای و چه آزمایش و تولید. به طور سنتی، ACL‌ها، قوانین فایروال و سیاست‌های مسیریابی را برای ایجاد و اجرای انزوا و چند کارایی استفاده می‌کنند. با مجازی‌سازی شبکه، پشتیبانی از آن ویژگی‌ها ذاتاً فراهم می‌شود. با استفاده از فناوری VXLAN، شبکه‌های مجازی به طور پیش‌فرض از سایر شبکه‌های مجازی و از زیرساخت‌های فیزیکی زیرین جدا می‌شوند و اصول امنیتی حداقل امتیاز را ارائه می‌دهند. شبکه‌های مجازی به صورت جداگانه ایجاد می‌شوند و جدا می‌مانند، مگر اینکه صریحاً به هم متصل شوند. برای ایجاد انزوا، هیچ زیرشبکۀ فیزیکی، VLAN، ACL یا فایروال نیاز نیست.

تقسیم‌بندی شبکه

تقسیم‌بندی شبکه به انزوا مربوط می‌شود، اما در یک شبکۀ مجازی چند لایه اعمال می‌شود. به طور سنتی، تقسیم شبکه تابعی از فایروال فیزیکی یا روتر است که برای اجازه یا رد ترافیک بین بخش‌های شبکه یا ردیف‌ها طراحی شده است. هنگام تقسیم‌بندی ترافیک بین سطوح وب، برنامه‌ها و پایگاه داده، فرایندهای پیکربندی سنتی زمان‌بر و بسیار مستعد خطاهای انسانی هستند، در نتیجه درصد زیادی از نقض امنیتی را شامل می‌شود. پیاده‌سازی به مهارت در نحوۀ پیکربندی دستگاه، آدرس‌دهی شبکه و پورت‌ها و پروتکل‌های برنامه نیاز دارد.

مجازی‌سازی شبکه ساخت و آزمایش پیکربندی سرویس‌های شبکه را ساده می‌کند تا پیکربندی‌های اثبات‌شده‌ای را تولید کند که می‌توانند به صورت برنامه‌ریزی‌شده در سراسر شبکه مستقر شوند و برای اعمال تقسیم‌بندی کپی آن را مورد استفاده قرار ‌دهند. تقسیم‌بندی شبکه، مانند انزوا، قابلیت اصلی مجازی‌سازی شبکه NSX است.

ریز تقسیم‌بندی

ریز تقسیم‌بندی با استفاده از روترهای توزیع شده و فایروال‌های متناسب با آن، ترافیک را در سطح vNIC جدا می‌کند. کنترل‌های دسترسی اعمال‌شده در vNIC کارایی را نسبت به قوانین اعمال شده در شبکۀ فیزیکی افزایش می‌دهد. برای پیاده‌سازی ریز تقسیم‌بندی یک برنامۀ سه لایه، به عنوان مثال وب سرور، سرور برنامه و پایگاه داده، که در آن چندین سازمان ممکن است از نظر توپولوژی شبکۀ منطقی مشترک باشند، می‌توانید از ریز تقسیم‌بندی با فایروال توزیع شده NSX و اجرای فایروال مورد استفاده بهره ببرید.

مدل اعتماد صفر برای پیکربندی امنیتی در شبکه

برای دستیابی به دقیق‌ترین تنظیمات امنیتی، هنگام پیکربندی سیاست‌های امنیتی، از یک مدل اعتماد صفر استفاده کنید. یک مدل با اعتماد صفر دسترسی به منابع و بارهای کاری را منع می‌کند؛ مگر اینکه به طور خاص یک سیاست مجاز وجود داشته باشد. مطمئن باشید که اجازۀ ترافیک زیرساخت‌های اساسی را می‌دهید. به طور پیش‌فرض، NSX Manager، NSX Controllers و NSX Edge gateways سرویس از فایروال توزیع نمی‌شوند. سیستم‌های سرور vCenter استثنا نیستند و باید قبل از اعمال خط مشی صریحاً اجازۀ جلوگیری از قفل شدن را داشته باشند.

Hypervisor NSX VMware بستر مدیریت استقرار شبکه‌‌های مجازی

VMware در سال ۲۰۱۲ شرط‌بندی ۱ میلیارد دلاری را برای راه اندازی یک استارت‌آپ کوچک Nicira انجام داد که در آن مدیرانِ IT شرکت، ارزش سرور و مجازی‌سازی فضای ذخیره‌سازی را می‌بینند و این ساختار را به کل شبکه گسترش می‌دهند. به نظر می‌رسد که پیگیری محصول VMware به Nicira – Hypervisor شبکه NSX – نتیجۀ خوبی داده است.

NSX بیشتر به دلیل توانایی در ایجاد امنیت اعتماد صفر بین ماشین‌‌های مجازی شناخته شده است؛‌ با این حال‌‌، VMware دوست دارد ارزش انتقال اطلاعات بیشتر از دستگاه‌‌های سخت‌افزاری شبکه به کنترل‌کننده‌‌های مبتنی بر ‌‌نرم‌افزار را برجسته کند. شبکه‌‌های سازمانی یکی از آخرین حوزه‌‌های فناوری اطلاعات است که تاکنون تحت‌تأثیر انتزاع ‌‌نرم‌افزار قرار نگرفته است.

بسیاری از تحلیلگران فناوری معتقدند که زمان شبکۀ تعریف‌شده از جانب ‌‌نرم‌افزار (SDN) فرا رسیده است. شرکت‌های ابری عمومی مانند AWS مدت‌هاست که SDN را پذیرفته‌اند و اعلامیۀ مدیریت سیسکو مبنی بر قصد خود تغییراتی را در صنعت به وجود می‌آورد. این راهنمای VMware NSX معرفی مختصری از محصول مجازی‌سازی است.

به‌روزرسانی:VMware پایان عمر مرکز داده NSX (NSX-V) را در سال ۲۰۱۸ اعلام کرد و از اواسط سال ۲۰۲۰ مردم را به مهاجرت به NSX-T‌‌، نسخۀ جدیدتر ابر بومی NSX که از hypervisor جدا شده است‌‌، فعالانه ترغیب می‌کند. NSX-V 6.3 قبلاً به پشتیبانی عمومی رسیده است و پایان اطلاعات راهنمای فنی آن ۲ فوریه ۲۰۲۱ است.NSX-V 6.4 در ۱۶ ژانویه ۲۰۲۲ به پایان پشتیبانی عمومی و در ۱۶ ژانویه به پایان راهنمایی فنی می‌رسد‌‌، ۲۰۲۳٫ مشتریان NSX باید در اسرع وقت به NSX-T مهاجرت کنند تا از قطع خدمات جلوگیری شود.

خلاصه ای از مفاهیم NSX

VMware NSX چیست؟NSX یک ‌‌هایپروایزر شبکه است که بستری را برای مدیریت استقرار شبکه‌‌های مجازی فراهم می‌کند.
چرا VMware NSX مهم است؟NSX در حال حاضر برترین ‌‌پلت‌فرم مجازی‌سازی شبکه است. همچنین‌‌، segmentation ارائه می‌دهد.
چه زمانی VMware NSX در دسترس است؟NSX در حال حاضر به عنوان نسخه ۶٫۳٫۲ ارسال می‌شود.
چگونه از VMware NSX استفاده کنم؟NSX دو خصوصیت عمده دارد: یکی برای محیط‌‌های vSphere و دیگری برای محیط‌‌های غیرvSphere.

VMware NSX چیست؟

مارتین کازادو‌‌، بنیان‌گذار Nicira و General Partner در Andreessen Horowitz (a16z)‌‌، از NSX به عنوان یک ناظر شبکه نام برده است. به عنوان یک ناظر شبکه‌‌، NSX یک ارائه‌دهندۀ شبکۀ پیشرفته برای محیط‌‌های مجازی است که از طریق سوئیچ‌‌های مجازی تغذیه می‌شوند. مدت زیادی است که تعداد پورت‌‌های سوئیچ مجازی بیش از تعداد پورت‌‌های سوئیچ فیزیکی است.

بیشتر محیط‌های سازمانی تعداد زیادی از کارهای مجازی را حفظ می‌کنند. ماشین مجازی (VM) اولین معیار اندازه‌گیری منابع داده است ــ حتی سرویس‌‌های مبتنی بر cloud به بهترین وجه محیط خود را به عنوان ماشین مجازی میزبانی شده در یک مرکز دادۀ عمومی توصیف می‌کنند.

NSX از مفهوم سوئیچ مجازی برای افزایش قابلیت شبکۀ مجازی استفاده می‌کند. در حالی که نسخه‌ای از NSX برای محیط‌‌های غیر vSphere وجود دارد‌‌، هدف اصلی vSphere است. NSX یکپارچه‌سازی دقیق با پایگاه داده VMware vCenter را فراهم می‌کند‌‌. ادغام امکان گسترش طبیعی ساختارهای vSphere به شبکه را فراهم می‌آورد.

مبانی ‌‌نرم‌افزار مجازی‌سازی VMware vSphere & ESXi:

مدیران شبکه توانایی کنترل شبکه را با استفاده از خط‌مشی مشابه vCenter به دست می‌آورند ـ VMware این رویکرد را شبکه تعریف شده از طریق ‌‌نرم‌افزار می‌نامد. از دیدگاه علوم کامپیوتر‌‌، انتزاع کنترل شبکه و خدمات از سخت‌افزار فیزیکی است. عملکردهایی مانند مسیریابی‌‌، تعادل‌دهنده‌‌های تراکم کاری، حفاظت از نفوذ و امنیت به عنوان سرویس‌‌هایی در Hypervisor وجود دارد. به همین ترتیب‌‌، سرپرستان شبکه، شبکۀ مجازی را از طریق یک صفحه کنترل NSX و API پیکربندی و مدیریت می‌کنند.

به عنوان ‌‌یک نرم‌افزار‌‌، VMware می‌تواند NSX را عملاً در هر محیطی مستقر کند. علاوه بر پشتیبانی از vSphere‌‌، نسخه‌ای از NSX برای KVM وجود دارد و VMware نسخه غیر حمل و نقل را برای محیط‌‌های AWS EC2 نشان داده است.

چرا VMware NSX مهم است؟

سرعت و امنیت ابتدا با در نظر گرفتن NSX به ذهن خطور می‌کنند. ارائه‌دهندگان ابر وب و ارائه‌دهندگان خدمات مخابراتی دو صنعتی هستند که ارزش شبکۀ انتزاعی شده را نشان می‌دهند.

ابر خصوصی مجازی (VPC) AWS‌، اوج شبکۀ انتزاعی شده را نشان می‌دهد. مشتری از طریق API یا پانل کنترل توانایی استقرار و مدیریت خدماتی مانند تعادل بار‌‌، امنیت اعتماد صفر و شبکه‌‌های زائد چند منطقه‌ای را دارد ــ حتی کاربرانی که دانش زیادی در مورد شبکه ندارند می‌توانند این خدمات پیشرفته را در عرض چند ساعت یا چند دقیقه در AWS پیکربندی کنند. استقرار این سرویس‌‌ها در مراکز داده سنتی چند روز‌‌، ماه یا سال به طول می‌انجامد. شرکت‌‌ها از سرعت AWS VPC بسیار سود می‌برند.

به همین ترتیب‌‌، ارائه‌دهندگان خدمات مخابراتی با استفاده از SDN مجازی‌سازی عملکرد شبکه (NFV) را می‌گیرد که یک سرور فیزیکی یا سایر سخت‌افزارهای اختصاصی و مجازی را ارائه می‌کند. به گره توزیع محتوا (CDN) فکر کنید. در گذشته‌‌، اگر یک ارائه‌دهنده خدمات می‌خواست مشتری جدید CDN را به شرکت اضافه کند‌‌، ارائه‌دهنده خدمات یک تکنسین را برای تهیه و نصب سرور فیزیکی مستقر می‌کرد. به عنوان یک دستگاهNFV‌‌، ارائه‌دهندۀ خدمات یک ماشین مجازی جدید برای خدمات به مشتری جدید فراهم می‌کند. نیازی به استقرار یک تکنسین نیست و مدت زمان مورد نیاز برای حضور در یک مشتری جدید هفته‌‌ها کاهش می‌یابد.

در حالی که برخی از ارائه‌دهندگان خدمات و شرکت‌‌های مقیاس وب از NSX استفاده می‌کنند‌‌، VMware انتزاع شبکه را تا سطح شرکت مقیاس می‌کند. NSX برای ارکستراسیون و اتوماسیون در اکوسیستم محصولاتVMware‌‌، از جمله VMware (vRA) ادغام می‌شود. سازمان‌هایی که به شدت در VMware سرمایه‌گذاری می‌کنند توانایی خودکارسازی شبکه‌‌، ذخیره‌سازی و محاسبه را از طریق یک سازمان واحد برای پشتیبانی کسب می‌کنند.

VMware NSX روی چه کسانی تأثیر می‌گذارد؟

NSX یک محصول شبکه است و بنابراین تیم شبکه را هدف قرار می‌دهد. با این حال‌‌، NSX بخشی از استراتژی بیشتر یک مرکز داده تعریف شده از طریق ‌‌نرم‌افزار (SDDC) است. درSDDC‌‌، تمام جنبه‌‌های عملیات باید ارائه شود. به عنوان مثال‌‌، یک استفادۀ شگفت‌آور برای NSX امنیت است.

با توجه به ادغام NSX با vCenter‌‌، NSX Firewall مزایای جانبی غیرمنتظره‌ای را فراهم می‌کند که VMware فراخوانی میکرو تقسیم‌بندی می‌نامد‌‌، که نوعی ایده اعتماد صفر است‌‌. اعتمادبه‌نفس صفر هیچ فرض اعتماد بین گره‌‌های مبتنی بر دامنۀ پخش شبکه را ایجاد نمی‌کند. با استفاده از پایگاه داده vCenter‌‌، مهندسان امنیتی توانایی پیاده‌سازی سیاست‌‌های امنیتی بین دو گره در یک زیر شبکۀ منطقی را دارند. قبل ازNSX‌‌، ایجاد یک شبکۀ اعتماد صفر هزینۀ سنگینی داشت.

اگرچه‌‌، در صحبت با مارتین کاسادو زمانی که مدیر کل واحد تجاری و امنیت VMware بود‌‌، محدودیت‌‌هایی وجود دارد. هنگامی که در مورد گره‌‌های غیرمجازی مانند ارتباطات بین دو میزبان فلزی بدون روکش، از او سؤال شد‌‌، کاسادو پاسخ داد که NSX پشتیبانی از ارتباطی را ارائه نمی‌دهد که از شبکه‌‌های میزبان سوئیچ مجازی عبور نمی‌کند‌‌. NSX به طور کامل جایگزین هوش شبکه‌های فیزیکی نمی‌شود و NSX از تراکم کاری غیرمجازی پشتیبانی نمی‌کند. ‌‌راه‌حل‌‌های شرکت‌‌هایی مانند Nuage Networks و Cisco ‌‌راه‌حل‌‌های مبتنی بر سخت‌افزار را ارائه می‌دهند.

چه زمانی VMware NSX منتشر شد؟

نسخۀ اصلی NSX 6.0 در اوت ۲۰۱۳ در کنفرانس کاربران VMworld ایالات متحده منتشر شد. NSX در حال حاضر به عنوان نسخه ۶٫۳٫۲ ارسال می‌شود.

رقبای VMware NSX چه کسانی هستند؟

سیسکو اخیراً از یک بستر شبکۀ هوشمند خبر داده است که ‌‌چشم‌انداز رقابتی را برای NSX فراهم می‌کند. علاوه بر ‌‌راه‌حل منتشر نشده سیسکو‌‌، VMware همچنین در برابر Nuage Networks و Juniper نیز رقابت می‌کند. من با تیم محصولات Big Switch Networks صحبت کردم. در حالی که تیم محصول VMware را به عنوان یک رقیب نمی‌داند‌‌، Big Switch ویژگی‌‌های همسان با NSX دارد.

چگونه از VMware NSX استفاده کنم؟

خواه هدف شما micro segmentation ، اتوماسیون یا عملیات ساده باشد‌‌، NSX ‌‌چشم‌انداز جدیدی را به شبکۀ مجازی ارائه می‌دهد. VMware شرط‌بندی جسورانه‌ای روی NSX و توانایی تیم‌‌های شبکه سنتی انجام داده است که در کنار یکدیگر با مجازی‌سازی و عملیات امنیتی کار می‌کنند. همان طور که ارائه‌دهندگان مقیاس وب و مشتریان مخابراتی نشان داده شده است‌‌، پتانسیل برای بهبود توانایی و عملیات بسیار زیاد است.

امنیت VMware NSX

VMware NSX یک ‌‌پلت‌فرم مجازی‌سازی شبکه است که امکان اجرای شبکه‌‌های مجازی در شبکه‌‌های فیزیکی و در زیرساخت‌‌های سرور مجازی را فراهم می‌کند. NSX تحت عنوان شبکۀ تعریف شده از جانب ‌‌نرم‌افزار (SDN) قرار می‌گیرد‌‌، که مفهوم مجازی‌سازی سرور را که از طریق VMware محبوبیت یافته است، به فضای شبکه گسترش می‌دهد. VMware NSX می‌تواند برای پیاده‌سازی جزئی تقسیم‌بندی‌ها در محیط‌‌های مجازی‌‌، جدا کردن تراکم‌های فردی در یک منطقه، اعتماد مشخص و کمک به کاهش سطح حملۀ سازمان مورد استفاده قرار گیرد.

همان طور که زیرساخت‌‌های فناوری اطلاعات از مرکز دادۀ متمرکز و سنتی به معماری‌‌های پراکنده‌تر تبدیل شده است‌‌، NSX به دو پیشنهاد مجزا تبدیل می‌شود: NSX-V وNSX-T. به عنوان یک ساختار مستقیم، ‌‌راه‌حل اصلی NSX که در سال ۲۰۱۳ معرفی شد‌‌، NSX-V عملکرد SDN را روی فضاهای ابری خصوصی مبتنی بر VMware vSphereقرار می‌دهد. VMware NSX-T جدیدتر ــ فکر کنید «Tبرای تغییر شکل» ــ از محیط‌‌های ناهمگن متشکل از چندین فضای ابری، محیط‌‌های چند ‌‌هایپروایزر‌‌، برنامه‌‌های بومی ابری و بارهای فلزی بدون روکش پشتیبانی می‌کند.

NSX یک پایۀ محکم برای امنیت محیط‌‌های مجازی فراهم می‌کند‌‌، اما موارد بیشتری لازم است. در کنار بارهای مجازی شده‌‌، تیم‌‌های امنیتی شبکه همچنین باید از مرکز داده و محیط دانشگاه خود محافظت کنند. شبکه‌‌های فیزیکیِ آن‌ها را تقسیم کنید و مرزهای مطمئن بین بارهای ابری فیزیکی‌‌، مجازی و عمومی ایجاد کنید. به‌علاوه‌‌، برخی از مقررات ــ مانند استاندارد امنیت داده صنعت کارت پرداخت (PCI DSS) ــ تدابیر امنیتی سختگیرانه‌تری را می‌طلبد، نسبت به آنچه NSX می‌تواند به صورت بومی ارائه دهد‌‌.

این نیازها بسیاری از سازمان‌ها را وادار می‌کند تا به دنبال روش‌هایی برای تقویت زیرساخت‌های امنیتی خود باشند. برای ایمن‌سازی شبکه‌‌های مجازی‌‌، تیم‌‌های امنیتی باید سه هدف اصلی را تحقق بخشند: محدود کردن حرکت تهدید جانبی‌‌، واکنش سریع و مؤثر به نفوذها و جلوگیری از از دست دادن اطلاعات.

هدف ۱: افزایش امنیت برای محدود کردن حرکت تهدید در NSX

جنبش تهدید جانبی (همچنین به عنوان جنبش شرق به غرب شناخته می‌شود) یک استراتژی حملۀ متداول است که در آن تهدید ابتدا یک نقطۀ ورودی به یک موجود آسیب‌پذیر را پیدا می‌کند ــ مانند یک ماشین مجازی یا عملکرد شبکۀ مجازی ــ و سپس یواشکی درون توپولوژی شبکه حرکت می‌کند تا سایر اجزا را آلوده کند. در صورت عدم وجود دفاع داخلی‌‌، چنین عفونت‌‌هایی کاملاً سریع و به صورت جانبی حرکت می‌کنند. برای تیم‌‌های امنیتی که پرونده‌‌های وقایع را مرور می‌کنند و از ابزارهای امنیتی قدیمی استفاده می‌کنند‌‌، تشخیص سریع آن‌ها دشوار است.

‌‌راه‌حل در تقسیم‌بندی بخش‌های جزئی است‌‌؛ یکی از موارد اصلیِ استفاده از VMware NSX. معماران امنیتی می‌توانند از تقسیم‌بندی‌های کوچک برای جدا کردن تراکم کاری از یکدیگر و جلوگیری از فعل و انفعالات بار به بار استفاده کنند‌‌، مگر اینکه صریحاً خود را مجاز اعلام کرده باشد. این تکنیک به هیچ دخالت انسانی احتیاج ندارد و حتی در مواردی از نفوذ قبل از تشخیص نیز تأثیرگذارتر است.

هدف ۲: بهبود پاسخ سریع و مؤثر به نفوذها در NSX

در حالی که تقسیم‌بندی‌های جزئی می‌تواند به طور مؤثر تراکم کاری را از یکدیگر جدا کند‌‌، اما برای کارکرد صحیح ممکن است لازم باشد تا حجم کاری مشخص با سایر کارها یا سرویس‌‌های خاص شبکه ارتباط برقرار کند. به عنوان مثال‌‌، برنامه‌‌های مالی اغلب نیاز به برقراری ارتباط با سرورهای DNS دارند که در منطقۀ مطمئن دیگری قرار می‌گیرند. برنامه‌‌ها همچنین می‌توانند در مناطق مطمئن مختلف از داده‌‌های مهم قرار بگیرند. به عنوان مثال‌‌، یک سیستم سفارش تحت وب ممکن است نیاز به ارسال و دریافت اطلاعات حساس مشتری به یک پایگاه داده داشته باشد که در یک بخش با اعتماد بالا قرار می‌گیرد. کارمندان امنیتی می‌توانند سیاست‌‌هایی را تأیید کنند که به این تعاملات مورد نیاز اجازۀ برقراری ارتباط مورد نظر را می‌دهد. ترفند این است که مطمئن شوید مهاجمان سایبری با مجوز عبور از مرزهای ایمن به عنوان مؤلفه‌هایی مورد اطمینان نقاب به چهره نمی‌زنند.
برای این منظور‌‌، جلوگیری از تهدید پیشرفته‌‌، از جمله پیشگیری از نفوذ‌‌، برای تأمین امنیت ترافیکی واجب است، چون بین مناطق مورد اعتماد حرکت می‌کند‌؛ به ویژه هنگامی که سطح اطمینان متفاوت است. سیستم‌‌های پیشگیری از نفوذ (IPS) به تیم‌‌های امنیتی کمک می‌کنند تا شبکه‌‌های خود را از نظر ترافیک مخرب کنترل کنند تا مطمئن شوند که فقط سرویس‌‌های شناخته‌شده و قابل قبول در حال اجرا هستند. با شناسایی امضاهای مخرب‌‌، IPS می‌تواند اقدامات اصلاحی مناسب را انجام دهد.

هدف ۳: روشی برای جلوگیری از اتلاف اطلاعات در NSX

برای ایجاد یک دفاع تأثیرگذار، معماران امنیتی باید وارد مغز دشمنان خود شوند. انگیزۀ بسیاری از حملات سایبری به سرقت اطلاعات مشتری یا مالکیت معنوی آن بستگی دارد که می‌توان از طریق باج‌خواهی شرکت‌‌ها یا فروش غیرقانونیِ آن، درآمد به دست آورد. متأسفانه‌‌، مهاجمان معمولاً یک ورودی باز پیدا می‌کنند: اتصال شبکه به اینترنت عمومی. بنابراین‌‌، آخرین خط دفاعی باید مطمئن شود که حتی تهدیدهایی که از دو اقدام امنیتی دیگر فرار می‌کنند‌‌، نمی‌توانند اطلاعات خارج از محیط امنیتی را به هر سو پراکنده کنند.

تیم‌‌های امنیتی معمولاً دیوارهای فایروال نسل جدید را در کلیۀ نقاط ورود به شبکه مستقر می‌کنند تا از نفوذ بدافزارها به آن جلوگیری کنند‌‌، اما دخل و تصرف در آن‌ها دیر یا زود اتفاق می‌افتد. به همین دلیل‌‌، توصیه می‌شود ویژگی‌‌های ضد انفجار را به فایروال‌‌های نسل بعدی اضافه کنید ــ به ویژه امنیت DNSو فیلتر کردن URL. امنیت DNS با استفاده از تجزیه و تحلیل‌‌های پیش‌بینی‌شده حملاتی را مختل می‌کند‌‌ که سعی در استفاده از DNS برای سرقت داده‌‌ها دارند‌‌، در حالی که فیلتر کردن URL با استفاده از یادگیری ماشینی‌‌، دسترسی به سایت‌‌های مخربی را مسدود می‌کند که بدافزارها را تحویل می‌دهند و مدارک را می‌دزدند.

خلاصه

نفوذ در محیط‌‌های NSX اجتناب‌ناپذیر است‌‌، اما می‌توان با استفاده از ابزارهای امنیتی تأثیرگذار که حرکت تهدید را محدود می‌کند‌‌، به تیم‌‌های امنیتی اجازه داد تا سریع و مؤثر پاسخ دهند و از اتلاف اطلاعات جلوگیری کنند و با این کار می‌توان دامنه آسیب احتمالی را کاهش داد. در حالی که هر یک از قابلیت‌‌های فوق‌الذکر امنیت NSX را بهبود می‌بخشد‌‌، اما فقط ترکیبی از تمام آن‌ها پاسخ بسیار مؤثری به تهدیدهای پیشرفتۀ امروز ارائه می‌دهد.