Впровадження мікросегментації та overlay-мереж з VMware NSX

VMware NSX: налаштування віртуалізації мережі для продакшену

Ми впроваджуємо VMware NSX в vSphere-інфраструктуру багато років — за цей час провели понад 30 проектів з мікросегментації та overlay-мереж. Звичайний запит: «У нас старі VLAN-фаєрволи не справляються з ізоляцією, хочемо NSX». І тут починається найцікавіше: замість фізичних комутаторів та маршрутизаторів з'являються віртуальні конструкції, мережа описується кодом, розгортається за хвилини, а правила фаєрвола живуть незалежно від фізичної топології.

NSX-T (версії 3.x та 4.x) — серйозна платформа, що вимагає розуміння TEP-тунелів, Geneve-інкапсуляції та BGP на Edge Node. Але наш досвід показує, що виправданий підхід — почати з аудиту та пілотного проекту, щоб уникнути типових помилок.

Як працює мікросегментація в NSX?

Мікросегментація — ключова перевага NSX. На відміну від VLAN, де ізоляція прив'язана до порту комутатора, тут правила Distributed Firewall діють на рівні vNIC кожної віртуальної машини. Це означає, що навіть віртуальні машини в одній підмережі можуть бути ізольовані одна від одної. Економія операційних витрат на управління політиками безпеки сягає 40% порівняно з традиційним VLAN-підходом.

Динамічні групи, засновані на тегах vSphere (наприклад, env:production, tier:web), дозволяють прив'язати правила до оточення, а не до IP-адрес. При масштабуванні групи оновлюються автоматично, що виключає ручні помилки.

Чому overlay-мережі швидші за VLAN?

Overlay-мережі на Geneve-тунелях дозволяють створювати тисячі ізольованих сегментів без прив'язки до фізичної топології. Новий сегмент розгортається за хвилини через API — в 5 разів швидше, ніж налаштування VLAN на комутаторах. Це знижує час реакції на запити розробників та прискорює доставку продукту.

Порівняння VLAN vs NSX

Архітектура: з чого складається NSX

NSX Manager — control plane. Три вузли в кластері для відмовостійкості. Керує всім через API. Transport Nodes — ESXi або Edge Nodes з встановленим NSX kernel module. Transport Zone — логічний домен, що визначає, які вузли спілкуються через overlay (Geneve) або VLAN. TEP (Tunnel Endpoint) — віртуальний інтерфейс на кожному транспортному вузлі для Geneve-тунелів. TEP IP мають бути маршрутизовані між усіма вузлами.

Як ми встановлюємо NSX Manager

NSX Manager розгортається як OVA на vCenter. Для автоматизації використовуємо govc:

govc import.ova -ds=datastore1 -pool=Resources -name=nsx-manager-01 nsx-unified-appliance-4.1.0.ova 

Після розгортання ініціалізуємо кластер керування:

curl -k -u admin:password https://nsx-manager.example.com/api/v1/cluster/status 

Відповідь має містити "status": "STABLE". Якщо ні — перевіряємо мережеву зв'язність між вузлами.

Overlay-мережі: сегменти та мікросегментація

Сегмент — аналог VLAN, але працює поверх Geneve-тунелів. Всі віртуальні машини на сегменті бачать одна одну на L2, навіть на різних ESXi. Приклад конфігурації сегмента web-tier через API:

{
  "display_name": "web-tier",
  "connectivity_path": "/infra/tier-1s/tier-1-gw",
  "subnets": [
    {
      "gateway_address": "10.1.1.1/24",
      "dhcp_ranges": [
        "10.1.1.100-10.1.1.200"
      ]
    }
  ],
  "transport_zone_path": "/infra/sites/default/enforcement-points/default/transport-zones/<overlay-tz-id>"
}

Віртуальна машина підключається до сегмента — отримує IP з DHCP-пулу та спілкується з сусідами через тунелі.

Як працює Distributed Firewall?

Distributed Firewall — головна фіча NSX. Фільтрація відбувається на рівні vNIC кожної віртуальної машини, до того як трафік покине гіпервізор. Немає єдиної точки відмови, продуктивність лінійно масштабується. Правила будуються на динамічних групах (наприклад, env:production). Приклад політики:

{
  "rules": [
    {
      "action": "ALLOW",
      "source_groups": ["group-web"],
      "destination_groups": ["group-app"],
      "services": ["HTTPS"],
      "logged": true
    },
    {
      "action": "DROP",
      "source_groups": ["ANY"],
      "destination_groups": ["ANY"],
      "services": ["ANY"],
      "logged": false
    }
  ]
}

Група group-app може включати всі віртуальні машини з тегом tier:application — правила застосовуються миттєво при зміні складу.

Кроки налаштування політики DFW

1. Створіть динамічні групи на основі тегів vSphere (наприклад, env:production, tier:web).
2. Визначте сервіси (TCP/443, UDP/53) та групи в NSX Manager.
3. Напишіть правила в порядку: allow для дозволеного трафіку, drop для всього іншого.
4. Увімкніть логування для правил allow, щоб відлагоджувати інциденти.
5. Протестуйте на пілотному сегменті перед розгортанням на всіх віртуальних машинах.

Що таке Edge Node і коли він потрібен?

East-West трафік (віртуальна машина ↔ віртуальна машина) маршрутизується через Distributed Router на гіпервізорах. Для North-South трафіку (віртуальна машина ↔ інтернет/зовнішня мережа) потрібні Edge Nodes. Це окремі віртуальні машини або bare-metal зі спеціалізованим NSX-модулем. Edge Node може працювати як Tier-0 Gateway, піритися з фізичними ToR-комутаторами по BGP та анонсувати підмережі сегментів назовні.

Типові помилки при встановленні

1. MTU менше 9000. Geneve додає 50+ байт, при MTU 1500 фрагментація вбиває продуктивність. Рекомендуємо Jumbo Frames на всіх портах.
2. Transport Node в статусі 'Not Ready'. Причина — TEP IP не маршрутизується або IP pool вичерпано. Використовуйте nsxcli> get tunnel-ports на ESXi для діагностики.
3. DFW не застосовується. Якщо віртуальна машина не в overlay-транспортній зоні, DFW на неї не діє. Перевірте nsxcli> get firewall status на хості.

Терміни та що входить у роботу

Вартість розраховується індивідуально після аудиту. Зв'яжіться з нами — оцінимо ваш проект. Наші сертифіковані інженери VMware гарантують SLA та повну документацію. Замовте аудит інфраструктури, щоб отримати план міграції з VLAN на NSX. З нами ви отримуєте мережу, яка керується кодом, а не скриптами.