Внедрение микросегментации и overlay-сетей с VMware NSX

VMware NSX: настройка виртуализации сети для продакшена

Мы внедряем VMware NSX в vSphere-инфраструктуру много лет — за это время провели более 30 проектов по микросегментации и overlay-сетям. Обычный запрос: «У нас старые VLAN-фаерволы не справляются с изоляцией, хотим NSX». И тут начинается самое интересное: вместо физических коммутаторов и маршрутизаторов появляются виртуальные конструкции, сеть описывается кодом, разворачивается за минуты, а правила файрвола живут независимо от физической топологии.

NSX-T (версии 3.x и 4.x) — серьёзная платформа, требующая понимания TEP-туннелей, Geneve-инкапсуляции и BGP на Edge Node. Но наш опыт показывает, что оправданный подход — начать с аудита и пилотного проекта, чтобы избежать типовых ошибок.

Как работает микросегментация в NSX?

Микросегментация — ключевое преимущество NSX. В отличие от VLAN, где изоляция привязана к порту коммутатора, здесь правила Distributed Firewall действуют на уровне vNIC каждой VM. Это значит, что даже VM в одной подсети могут быть изолированы друг от друга. Экономия операционных затрат на управление политиками безопасности достигает 40% по сравнению с традиционным VLAN-подходом.

Динамические группы, основанные на тегах vSphere (например, env:production, tier:web), позволяют привязать правила к окружению, а не к IP-адресам. При масштабировании группы обновляются автоматически, что исключает ручные ошибки.

Почему overlay-сети быстрее VLAN?

Overlay-сети на Geneve-туннелях позволяют создавать тысячи изолированных сегментов без привязки к физической топологии. Новый сегмент разворачивается за минуты через API — в 5 раз быстрее, чем настройка VLAN на свичах. Это снижает время реакции на запросы разработчиков и ускоряет доставку продукта.

Сравнение VLAN vs NSX

Архитектура: из чего состоит NSX

NSX Manager — control plane. Три ноды в кластере для отказоустойчивости. Управляет всем через API. Transport Nodes — ESXi или Edge Nodes с установленным NSX kernel module. Transport Zone — логический домен, определяющий, какие ноды общаются через overlay (Geneve) или VLAN. TEP (Tunnel Endpoint) — виртуальный интерфейс на каждом транспортном узле для Geneve-туннелей. TEP IP должны быть маршрутизируемы между всеми узлами.

Как мы устанавливаем NSX Manager

NSX Manager разворачивается как OVA на vCenter. Для автоматизации используем govc:

govc import.ova -ds=datastore1 -pool=Resources -name=nsx-manager-01 nsx-unified-appliance-4.1.0.ova 

После развёртывания инициализируем кластер управления:

curl -k -u admin:password https://nsx-manager.example.com/api/v1/cluster/status 

Ответ должен содержать "status": "STABLE". Если нет — проверяем сетевую связность между нодами.

Overlay-сети: сегменты и микросегментация

Сегмент — аналог VLAN, но работает поверх Geneve-туннелей. Все VM на сегменте видят друг друга на L2, даже на разных ESXi. Пример конфигурации сегмента web-tier через API:

{ "display_name": "web-tier",
  "connectivity_path": "/infra/tier-1s/tier-1-gw",
  "subnets": [
    {
      "gateway_address": "10.1.1.1/24",
      "dhcp_ranges": ["10.1.1.100-10.1.1.200"]
    }
  ],
  "transport_zone_path": "/infra/sites/default/enforcement-points/default/transport-zones/<overlay-tz-id>"
}

VM подключается к сегменту — получает IP из DHCP-пула и общается с соседями через туннели.

Как работает Distributed Firewall?

Distributed Firewall — главная фича NSX. Фильтрация происходит на уровне vNIC каждой VM, до того как трафик покинет гипервизор. Нет единой точки отказа, производительность линейно масштабируется. Правила строятся на динамических группах (например, env:production). Пример политики:

{
  "rules": [
    {
      "action": "ALLOW",
      "source_groups": ["group-web"],
      "destination_groups": ["group-app"],
      "services": ["HTTPS"],
      "logged": true
    },
    {
      "action": "DROP",
      "source_groups": ["ANY"],
      "destination_groups": ["ANY"],
      "services": ["ANY"],
      "logged": false
    }
  ]
}

Группа group-app может включать все VM с тегом tier:application — правила применяются мгновенно при изменении состава.

Шаги по настройке политики DFW

1. Создайте динамические группы на основе тегов vSphere (например, env:production, tier:web).
2. Определите сервисы (TCP/443, UDP/53) и группы в NSX Manager.
3. Напишите правила в порядке: allow для разрешённого трафика, drop для всего остального.
4. Включите логирование для правил allow, чтобы отлаживать инциденты.
5. Протестируйте на пилотном сегменте перед развёртыванием на всех VM.

Что такое Edge Node и когда он нужен?

East-West трафик (VM ↔ VM) маршрутизируется через Distributed Router на гипервизорах. Для North-South трафика (VM ↔ интернет/внешняя сеть) нужны Edge Nodes. Это отдельные VM или bare-metal со специализированным NSX-модулем. Edge Node может работать как Tier-0 Gateway, пириться с физическими ToR-свичами по BGP и анонсировать подсети сегментов наружу.

Типичные ошибки при установке

1. MTU меньше 9000. Geneve добавляет 50+ байт, при MTU 1500 фрагментация убивает производительность. Рекомендуем Jumbo Frames на всех портах.
2. Transport Node в статусе 'Not Ready'. Причина — TEP IP не маршрутизируется или IP pool исчерпан. Используйте nsxcli> get tunnel-ports на ESXi для диагностики.
3. DFW не применяется. Если VM не в overlay-транспортной зоне, DFW на неё не действует. Проверьте nsxcli> get firewall status на хосте.

Сроки и что входит в работу

Стоимость рассчитывается индивидуально после аудита. Свяжитесь с нами — оценим ваш проект. Наши сертифицированные инженеры VMware гарантируют SLA и полную документацию. Закажите аудит инфраструктуры, чтобы получить план миграции с VLAN на NSX. С нами вы получаете сеть, которая управляется кодом, а не скриптами.