1、1測(cè)試分布式1.1創(chuàng)建的功能以及 applied torte 特性：規(guī)則并下發(fā)1）測(cè)試 VM 邏輯關(guān)系如下登錄到 Web-01 驗(yàn)證所有虛擬機(jī)地址都可以 ping 通：Web-01（1） Web-02 (2) App-01(1)DB-01(1)LB(0)21 分布式（Distributed Firewall）通過 LB 發(fā)地址可以正常業(yè)務(wù)應(yīng)用。2）創(chuàng)建新的規(guī)則 section3）建立應(yīng)用虛擬機(jī)之間的安全規(guī)則任意地址通過 HTTPSWeb 虛擬機(jī)Web 虛擬機(jī)通過 Tomcat（TCP

2、8443）App 虛擬機(jī)App 虛擬機(jī)通過 MysqlSSH 登錄 Web-01DB 虛擬機(jī)然后將 default 規(guī)則設(shè)置為 deny34）驗(yàn)證規(guī)則生效SSH 登錄 Web-01，ping 所有 VM 地址，應(yīng)該都無法 ping 通HTTPSLB 業(yè)務(wù)應(yīng)用地址，可以正常。策略下發(fā) Applied To 功能1.21）登錄 ESXi 主機(jī) 2，上面有兩個(gè)虛擬機(jī)（Web-01 和 db-01）#summarize-dvfilter查找到與 db-01 有關(guān)的 filter name 為 nic-86391-eth0-vmware-sfw.2#vsipioctl getfwrules -f <

3、;Filter Name>4這時(shí)候看到所有的前面設(shè)置的策略都被推送到了 Db-01 的上，有很多和 Db 虛擬機(jī)無關(guān)的策略。為了避免這種情況，我們?cè)O(shè)置 Applied To 特性。2）在 vCenter 里面設(shè)置 Applied To，顆粒度為 logical Switch。3）這時(shí)再次驗(yàn)證 Db-01 的策略這時(shí)候可以看到所有和 DB-01 虛擬機(jī)無關(guān)的機(jī)層面。策略都被推送到虛擬5根據(jù)整個(gè) NSX 環(huán)境收集的數(shù)據(jù)，快速確定數(shù)據(jù)中心的“Intresting”數(shù)據(jù)流。1）vCenter-Networking Security-Flow Monitoring2）Enable Flow Col

4、lection3）找一臺(tái) Apache 服務(wù)器模擬對(duì) Web-01 發(fā)起的大流量的 HTTP62 流量（Flow Monitoring）4)通過 Flow Monitoring-Dashboard-Top Flows 可以看到目前中最大的流量為 HTTP5）顯示數(shù)據(jù)流的詳細(xì)信息6）可以點(diǎn)進(jìn)去看到每個(gè)數(shù)據(jù)流的詳細(xì)信息，包含源地址和目的地址根據(jù)信息直接添加策略，源地址 VM 對(duì)于 Web-01 的 HTTP 請(qǐng)求。7檢查規(guī)則，策略已經(jīng)自動(dòng)部署完畢7）點(diǎn)擊 live Flow，選擇某個(gè) VM 的虛擬機(jī)網(wǎng)卡，可以檢測(cè)到當(dāng)前出入 vNIC 的活動(dòng) Flow 的信息。8SpoofGuard 是通過分布式系

5、的安全性，防止來確保數(shù)據(jù)中心虛擬機(jī) vnic 的 IP 和 MAC 地址對(duì)應(yīng)關(guān)。1）創(chuàng)建 SpoofGuard 規(guī)則，選擇“Trust On First Use”2）選擇其中一臺(tái)虛擬機(jī)，例如 4開啟長(zhǎng) ping。登錄這臺(tái)虛擬機(jī)，手工更改 IP 地址為 74，開啟對(duì)于此地址的長(zhǎng) ping，這時(shí)候是無法 ping 通的。手工 approve IP 地址為 74 之后，IP 地址可以 pint 通將 VM 的 IP 地址改回 4，可以正常 ping 通。93SpoofGuard104.1Activity Monitoring1）NSX 加入 AD 域信息2）部署 Endpoint3）Activity Monitor選擇要的 Cluster114 Activity Monitoring 和驗(yàn)證4）從 Activity Monitoring 的界面可以看到目前虛擬機(jī)登陸用戶應(yīng)用的詳細(xì)信息。驗(yàn)證4.21）創(chuàng)建一個(gè) Domain Admins 的，屬于 Admin 的 AD Group12