PowerNSX で NSX の分散ファイアウォール除外リストを管理する。

NSX の分散ファイアウォール（DFW）には、保護対象から特定の VM を除外する 「除外リスト」があります。 ファイアウォールによる保護からの仮想マシンの除外   今回は、vCenter 6.7a / NSX-v 6.4.1 / PowerCLI 10.1 / PowerNSX 3.0 の環境で、 あらかじめ用意した VM リストのテキストファイルをもとに、 PowerNSX で除外リストへのメンバー追加 / 削除をしてみます。   DFW 除外リストの様子。 除外リストを見ると、デフォルトでは一般的な VM の「ユーザーが除外した仮想マシン」には 何も登録されていませんが・・・   「システムが除外した仮想マシン」として、 NSX 関連の VM（NSX Controller、NSX Edge など）が自動的に除外されています。   NSX の DFW でデフォルトのルールを「ブロック」や「却下」にした場合、 ルールの考慮 / 設定もれなどで vCenter やインフラの管理機能をもつ VM の通信を 遮断してしまうことがあります。 そこで、そういった VM を 除外リストで DFW の作用から除外しておくという運用ができます。   PowerNSX での DFW 除外リスト管理。 除外対象としたい VM が多い場合には、手作業だとリストへの追加もれなどの心配があります。 そこで、あらかじめ対象 VM のリストを作成しておき、PowerNSX で追加をしてみます。   今回は、Connect-NsxServer で vCenter / NSX には接続ずみです。 PowerNSX での NSX への接続方法について。   まず下記のような VM 名を記載したテキストファイルを作成しておきます。 あらかじめファイルを用意することで、除外リストの追加対象をしっかり確認して、 それをモレなく実機に反映することが容易になるはずです。   vm_list.txt PowerNSX> cat .vm_list.txt ctl-vm-01 ctl-vm-02 ctl-vm-03 ctl-vm-04 ctl-vm-05 ctl-vm-06   ファイルの内容をもとに、DFW の除外リストに VM を追加します。 PowerNSX> cat .vm_list.txt | % {Get-VM -Name $_ | Add-NsxFirewallExclusionListMember}   除外リストに VM が追加されました。 PowerNSX> Get-NsxFirewallExclusionListMember   Name                 PowerState Num CPUs MemoryGB ----                 ---------- -------- -------- ctl-vm-01            PoweredOff 1        2.000 ctl-vm-02            PoweredOff 1        2.000 ctl-vm-03            PoweredOff 1        2.000 ctl-vm-04            PoweredOff 1        2.000 ctl-vm-05            PoweredOff 1        2.000 ctl-vm-06            PoweredOff 1        2.000     vSphere Client でも、除外リストで VM の追加が確認できます。   vSphere Web Client でも、除外リストで VM の追加が確認できます。   同様に、除外リストから VM の削除もできます。 Remove-NsxFirewallExclusionListMember で テキストファイルに記載した VM を除外リストから削除してみます。 PowerNSX> cat .vm_list.txt | % {Get-VM -Name $_ | Remove-NsxFirewallExclusionListMember} PowerNSX> Get-NsxFirewallExclusionListMember PowerNSX>   たとえば、vCenter や管理セグメントに配置されたインフラ管理系の VM については 除外リストの対象とすることができます。   また、サービスや業務で直接利用されない VM については DFW によるマイクロセグメンテーションが必ずしも必要ではないので 除外リストに入れることで、DFW ルール処理の件数を削減すると 負荷軽減が見込めそうです。   他にも、ESXi を vSAN 以外の HCI（ハイパー コンバージド インフラストラクチャ）として 利用していて、コントローラ VM （従来のストレージ コントローラの役割）が 存在する場合も、それらの除外リスト追加を検討するとよいと思います。 一方、基本的に DFW は VMkernel ポートには作用しないので、 vSAN の場合は特別に除外リストを気にすることはないはずです。   以上、PowerNSX で DFW の除外リストを管理してみる話でした。 via Latest imported feed items on VMware Blogs https://ift.tt/2lUDqu7 If New feed item from https://blogs.vmware.com/feed, then send me an email at kr