编辑服务编排防火墙应用对象设置

您可以将通过服务编排创建的所有防火墙规则的应用对象设置设为“分布式防火墙”或“策略的安全组”。默认情况下，应用对象设置为“分布式防火墙”。

在服务编排防火墙规则将应用对象设置设为“分布式防火墙”时，这些规则将应用于安装了分布式防火墙的所有集群。如果将防火墙规则设置为应用于策略的安全组，您可以对防火墙规则进行更精细的控制，但可能需要使用多个安全策略或防火墙规则以获得所需的结果。

过程

在 vSphere Web Client 中，导航到网络和安全 (Networking & Security) > 安全 (Security) > 服务编排 (Service Composer)。
单击安全策略 (Security Policies)选项卡。
要编辑全局防火墙设置，请执行以下操作：
- 在 NSX 6.4.1 和更高版本中，在“全局防火墙设置”旁边，单击“编辑”() 图标。
- 在 NSX 6.4.0 中，在“全局设置: 防火墙规则应用对象”旁边，单击编辑 (Edit)。

选择“应用对象”的默认设置，然后单击确定 (OK)。此值确定将对其应用防火墙规则的虚拟网卡。

选项	说明
分布式防火墙	将防火墙规则应用于安装了分布式防火墙的所有集群。
策略的安全组	将防火墙规则应用于应用了安全策略的安全组。

也可以通过 API 查看和更改默认“应用对象”设置。请参见 NSX API 指南。

请注意，在使用 RDSH 防火墙规则时，应用对象设置为分布式防火墙 (Distributed Firewall)。不支持将策略的安全组 (Policy's Security Groups)作为 RDSH 规则的应用对象设置。

在该示例场景中，使用“任意”服务的默认防火墙规则操作将设置为阻止。您具有两个包含虚拟机的安全组：web-servers 和 app-servers。您创建包含以下防火墙规则的安全策略 allow-ssh-from-web，然后将其应用于安全组 app-servers。

如果防火墙规则应用于分布式防火墙，您可以通过 ssh 从安全组 web-servers 中的虚拟机访问安全组 app-servers 中的虚拟机。

如果防火墙规则应用于策略的安全组，您无法通过 ssh 进行访问，因为阻止流量到达 app-servers。您需要创建额外的安全策略以允许通过 ssh 访问 app-servers，并将该策略应用于安全组 web-servers。