NSX - Service Composer

Nos Data Centers os workloads de aplicações são constantemente provisionadas, movidas, alteradas e desativadas por demanda.

O provisionamento de serviços de segurança usando o Service Composer é uma dos maiores recursos do NSX distributed Firewall.

Service Composer é a ferramenta que define um novo modelo de configuração de serviços de segurança e redes. Ele permite aprovisionar e assinar as regras e politicas de firewall e serviços de segurança para as aplicações em tempo real.

Service Composer é um interface de configuração que da ao administrador um concistente e centralizada forma para aprovisionar, aplicar e automatizar serviços de segurança de rede como:

Esses serviços são nativos do NSX ou podem ser de parceiros, 3° party solutions

O Service Composer oferece uma forma de automatizar os serviços de segurança através de grupos, aplicando as policitas em grupos de segurança e definindo as VMs nesses grupos, assim quando mais VMs forem adicionadas no grupo as politicas são aplicadas automaticamente nas VMS.

Então sempre que um maquina virtual é movida, as politicas de segurança e redes é movida junto com a VM sem intervenção humana.

Security Group:

O Grupo de segurança o que o adminsitrador quer proteger:

DICA:

Se um grupo de segurança for a origem para uma regra de firewall lógico geral, cada Máquina Virtual identificada no campo Aplicado a da Regra de Firewall Lógico  será afetada pela regra.


Permite estaticamente ou dinamicamente agrupar itens baseado na inclusão e exclusão de objetos:

    

Security Policy:

Políticas de segurança especificam como quer que a proteção seja executada, através de software de antívirus, firewall, intrusion protection, ou perfil de segurança com regras especificas.

Security policies podem ser aplicadas em um ou mais grupos de segurança onde os worloads são membros.

Security policies é uma coleção de serviços de segurança ou  regras de firewall e pode conter:

Guest introspection services:

• São dados de segurança ou soluções de terceiros como antivirus ou serviços de gerenciamento de vulnerabilidades.

Distributed firewall rules:

• São regras aplicadas nas vNICs, são regras que definem o tráfego que será permitido para ou de um grupo de segurança.

Network introspection services

• São serviços que monitoram a rede.

Security services:

• Serviços de gerenciamento de vulnerabilidades como IPS, IDS ou firewall Next Generation podem ser inseridos no fluxo de tráfego.

O mapeamento entre Security Groups e Security Policies, resultam em uma configuração que é imediatamente aplicada.

O Service Composer oferece a Canvas View que mostra todos os Security Groups. Esta visualização reduz a complexidade de gerenciamento dos serviços de segurança e melhora a visibilidade dos workloads.

Security Tag/Etiquetas de segurança:

Security Tag é um mecanismo de rotulagem que pode ser usado como uma abstração para descrever um estado. Isso pode ser impresso em uma carga de trabalho ou ser o critério de correspondência para um grupo de segurança.
Pode-se criar vários rótulos de acordo com a forma como eles querem identificar uma carga de trabalho específica. Uma vez que os critérios de correspondência de um grupo de segurança podsam ser uma tag de segurança, uma carga de trabalho, pode ser automaticamente colocada em um grupo de segurança. Enquanto um administrador pode expressar uma tag de segurança para uma carga de trabalho via Web Client, a API ou a integração com terceiros podem ser usadas para marcar uma carga de trabalho.

Algo que usa a API diretamente seria uma plataforma de gerenciamento de nuvem, como vRealize Automation. Quando um plano é selecionado por um usuário ou administrador, ele pode ser configurado ou definido para rotular uma ou mais etiquetas de segurança. Como resultado, as cargas de trabalho herdarão a pertença do grupo relevante.

SDDC

SDDC - Software Defined Data Center

SDDC habilita automação completa com zero-downtime para qualquer aplicação e hardware

SDDC extende o conceito de virtualização como:  pooling, automação para todo o datacenter e serviços.

Compute virtualization, Network Virtualization e Software Defined Storage oferecem pooling embarcado para automação de serviços de compute, network e storages;

Antes do SDDC:

• Inteligencia no hardware
• Vendedores specificos e dedicados de infraestrutura
• Configuração e gerenciamento manual

Depois do SDDC:

• Capacidade de Compute, Network e Storage
• Vendas pelo melhor preço e performance
• Configuração e gerenciaemnto simplificado

SDDC embarca soluções de Compute, Storage, Networking, Infraestructure e Cloud Management:

Desafios devido a falta de virtualização na rede:

• Slow Provisioning
• Limited Mobility
• Complexity in Service Deployment
• Manual and Risk-prone Configuration
• Capital and Operational Costs
• Contranints on Cloud Resources
• Insuficient and weak Security

Network Virtualization como Core do SDDC:

VMware NSX como um solução verdadeira para Network Virtualization:

NSX reproduz um modelo inteiro de redes baseado em software, habilitando uma topologia de rede forma simples e conmplexa com redes em niveis de multi-tier, além de ofercer a capacidade de provisionamento em segundos:

NSX - Port Mirroring

Espelhamento de porta é um recurso tradicional disponível no switch físico para capturar o tráfego da porta e redirecionar para um destino remoto. 

Uma porta física localizada no mesmo switch físico (Switch port Analyzer ou SPAN port). O tráfego é simplesmente copiado para a porta de destino também.

Uma porta física localizada em um switch físico conectado L2 remoto (Remote SPAN ou RSPAN port). O tráfego para cada sessão RSPAN é transportado sobre uma VLAN RSPAN especificada pelo usuário que é dedicada para essa sessão RSPAN em todos os switches participantes.

Um host remoto (RSPAN encapsulado ou porta ERSPAN). ERSPAN adicionar um cabeçalho ERSPAN para os pacotes originais e encapsula-lo usando GRE.

Uma porta SPAN / RSPAN / ERSPAN é normalmente utilizada para fins de monitorização (depuração da rede, monitorização do desempenho da aplicação, prevenção de segurança ...). No mundo do vSphere, o mirror de portas é um recurso específico disponível em switches distribuídos. Uma solução alternativa está disponível se somente switches padrão estiverem disponíveis.

MONITORAMENTO DE PORTAS EM SWITCH VSS

Um vSwitch não tem recursos de espelhamento, mas uma solução simples pode ser usada para implementar uma porta como SPAN;

Usando switches padrão a única solução é:

• Criar outro grupo de portas equivalente ao anterior dentro do mesmo vSwitch;
• Substituir no grupo de portas a política de segurança "Modo promíscuo";
• Mover a VM e receptor vnic para o novo grupo de portas;
• Ambas as VMs devem ser executadas no mesmo host vSwitch / ESXi.

O "Modo promíscuo" configura o vSwitch como um hub: todas as VMs conectadas a este grupo de portas irão transmitir tráfego para todas as VMs conectadas.

Agora, um monitor de software (como tcpdump) em execução na VM do receptor pode analisar o tráfego da VM monitorada. VM conectada a outros grupos de portas ou vSwitches não receberão tráfego da VM monitorada

MONITORAMENTO DE PORTAS EM SWITCH VDS

Um switch distribuído oferece um recurso nativo para espelhar um vnic: dvMirror. Estão disponíveis cinco opções:

Configuração do Espelhamento:

vCenter Vsphere > Home > Networking > Seleciona a Switch > Manage > Port Mirroring

Distributed Port Mirroring (SPAN)

(Distributed Port Mirroring ou SPAN) permite replicar uma porta virtual dentro de um dvSwitch para outra porta dentro do mesmo dvSwitch; Ambas as VMs devem ser executadas no mesmo host. 

Remote Mirroring Source and Remote Mirroring Destination (RSPAN)

Uma sessão de espelhamento remoto é usada quando a origem e o destino estão sendo executados em diferentes hosts ESXi, dvSwitch ou switch físico (se a origem ou o destino forem físicos). Uma sessão RSPAN ainda é um protocolo L2, o que significa que ele não pode atravessar dispositivos L3

Encapsulated Remote Mirroring (L3) Source (ERSPAN)

Uma sessão encapsulada de espelhamento remoto é usada quando a origem eo destino estão sendo executados em diferentes redes L3. 

SPAN local:

Espelha o tráfego de uma ou mais interfaces no switch para uma ou mais interfaces no mesmo comutador.

Remote SPAN (RSPAN): 

Uma extensão do SPAN chamado SPAN remoto ou RSPAN. O RSPAN permite monitorar o tráfego de portas de origem distribuídas em vários switches, o que significa que você pode centralizar os dispositivos de captura de rede. RSPAN funciona espelhando o tráfego das portas de origem de uma sessão RSPAN para uma VLAN que é dedicada para a sessão RSPAN. Esta VLAN é então trunked para outros switches, permitindo que o tráfego de sessão RSPAN seja transportado através de vários switches. No switch que contém a porta de destino para a sessão, o tráfego da sessão RSPAN VLAN é simplesmente espelhado para fora a porta de destino.

SPAN remoto encapsulado (ERSPAN): 

Encapsulated Remote SPAN (ERSPAN), como o nome diz, traz encapsulamento de roteamento genérico (GRE) para todo o tráfego capturado e permite que ele seja estendido em domínios de Camada 3.