使用 VMware Cloud Director Tenant Portal，可以先在组织虚拟数据中心范围内添加分布式防火墙规则。然后，可以缩小要应用规则的范围。分布式防火墙允许您在源级别和目标级别为每个规则添加多个对象，以帮助减少要添加的防火墙规则的总数。

有关可在规则中使用的预定义服务和服务组的信息，请参见使用 VMware Cloud Director Tenant Portal查看可用于防火墙规则的服务和使用 VMware Cloud Director Tenant Portal查看可用于防火墙规则的服务组。

前提条件

过程

  1. 在虚拟数据中心仪表板屏幕上，单击要浏览的虚拟数据中心对应的卡视图，然后在网络下选择安全。
  2. 选择要为其修改防火墙规则的安全服务 VDC 网络，然后单击配置服务。
    此时将显示“安全服务”屏幕。
  3. 选择要创建的规则类型。您可以选择创建常规规则或以太网规则。
    第 3 层 (L3) 规则将在 常规选项卡上配置。第 2 层 (L2) 规则将在 以太网选项卡上配置。
  4. 要将某个规则添加到防火墙表中的现有规则下方，请单击现有行，然后单击创建 (创建按钮) 按钮。
    新规则行将添加到选定规则下方，并且默认情况下将为其分配任何目标、任何服务以及 允许操作。如果系统定义的“默认允许”规则是防火墙表中的唯一规则，则新规则将添加到默认规则的上方。
  5. 单击名称单元格，然后键入一个名称。
  6. 单击源单元格，然后使用现在可见图标选择要添加到该规则中的源：
    操作 描述
    单击 IP 图标 适用于在常规选项卡上定义的规则。

    输入要使用的源值。有效值为 IP 地址、CIDR、IP 范围或关键字 any。分布式防火墙仅支持 IPv4 格式。

    单击 + 图标 使用 + 图标可将源指定为特定 IP 地址以外的对象：
    • 使用选择对象窗口添加与您的选择匹配的对象，然后单击保留将其添加到规则中。
    • 要从规则中排除某个源，请使用选择对象窗口将此源添加到此规则中，然后选择切换排除图标从此规则中排除此源。

    在对此源选择切换排除后，此规则将应用于来自您排除的源以外的所有源的流量。如果未选择切换排除，则此规则将应用于来自选择对象窗口中指定的源的流量

  7. 单击目标单元格，然后执行以下操作之一：
    操作 描述
    单击 IP 图标 适用于在常规选项卡上定义的规则。

    输入要使用的目标值。有效值为 IP 地址、CIDR、IP 范围或关键字 any。分布式防火墙仅支持 IPv4 格式。

    单击 + 图标 使用 + 图标可将源指定为特定 IP 地址以外的对象：
    • 使用选择对象窗口添加与您的选择匹配的对象，然后单击保留将其添加到规则中。
    • 要从规则中排除某个源，请使用“选择对象”窗口将此源添加到此规则中，然后选择切换排除图标从此规则中排除此源。

    在对此源选择切换排除后，此规则将应用于来自您排除的源以外的所有源的流量。如果未选择切换排除，则此规则将应用于来自选择对象窗口中指定的源的流量

  8. 单击此新规则对应的服务单元格，然后执行以下操作之一：
    操作 描述
    单击 IP 图标 将服务指定为端口–协议组合：
    1. 选择服务协议。
    2. 输入源和目标端口的端口号或指定 any，然后单击保留。
    单击 + 图标 选择预定义的服务或服务组，或者定义一个新服务或服务组：
    1. 选择一个或多个对象，然后将其添加到筛选器。
    2. 单击保留。
  9. 在新规则的操作单元格中，为此规则配置相应操作。
    选项 描述
    允许 允许来自或流向指定源、目标和服务的流量。
    拒绝 阻止来自或流向指定源、目标和服务的流量。
  10. 在新规则的方向单元格中，选择此规则是应用于入站流量、出站流量还是同时应用于这两种流量。
  11. 如果此规则在常规选项卡上，则在此新规则的数据包类型单元格中选择任何、IPV4 或 IPV6 数据包类型。
  12. 选择应用对象单元格，并使用 + 图标定义此规则所适用的对象范围。
    如果此规则在 源和 目标单元格中均包含虚拟机，则您必须将源和目标虚拟机均添加到此规则 应用对象中，此规则才能正常起作用。
    重要说明： IP 地址组（IP 集）、MAC 地址组（MAC 集）和包含 IP 集或 MAC 集的安全组不是有效的输入参数。
  13. 单击保存更改。