您可以将通过服务编排创建的所有防火墙规则的应用对象设置设为“分布式防火墙”或“策略的安全组”。默认情况下,应用对象设置为“分布式防火墙”。

在服务编排防火墙规则将应用对象设置设为“分布式防火墙”时,这些规则将应用于安装了分布式防火墙的所有集群。如果将防火墙规则设置为应用于策略的安全组,您可以对防火墙规则进行更精细的控制,但可能需要使用多个安全策略或防火墙规则以获得所需的结果。

过程

  1. vSphere Web Client 中,导航到网络和安全 (Networking & Security) > 安全 (Security) > 服务编排 (Service Composer)
  2. 单击安全策略 (Security Policies)选项卡。
  3. 要编辑全局防火墙设置,请执行以下操作:
    • NSX 6.4.1 和更高版本中,在“全局防火墙设置”旁边,单击“编辑”(编辑) 图标。
    • NSX 6.4.0 中,在“全局设置: 防火墙规则应用对象”旁边,单击编辑 (Edit)
  4. 选择“应用对象”的默认设置,然后单击确定 (OK)。此值确定将对其应用防火墙规则的虚拟网卡。
    选项 说明
    分布式防火墙 将防火墙规则应用于安装了分布式防火墙的所有集群。
    策略的安全组 将防火墙规则应用于应用了安全策略的安全组。
    也可以通过 API 查看和更改默认“应用对象”设置。请参见 NSX API 指南

    请注意,在使用 RDSH 防火墙规则时,应用对象设置为分布式防火墙 (Distributed Firewall)。不支持将策略的安全组 (Policy's Security Groups)作为 RDSH 规则的应用对象设置。

示例: 应用对象行为

在该示例场景中,使用“任意”服务的默认防火墙规则操作将设置为阻止。您具有两个包含虚拟机的安全组:web-servers 和 app-servers。您创建包含以下防火墙规则的安全策略 allow-ssh-from-web,然后将其应用于安全组 app-servers。
  • 名称:allow-ssh-from-web
  • 源:web-servers
  • 目标:策略的安全组
  • 服务:ssh
  • 操作:允许

如果防火墙规则应用于分布式防火墙,您可以通过 ssh 从安全组 web-servers 中的虚拟机访问安全组 app-servers 中的虚拟机。

如果防火墙规则应用于策略的安全组,您无法通过 ssh 进行访问,因为阻止流量到达 app-servers。您需要创建额外的安全策略以允许通过 ssh 访问 app-servers,并将该策略应用于安全组 web-servers。

  • 名称:allow-ssh-to-app
  • 源:策略的安全组
  • 目标:app-servers
  • 服务:ssh
  • 操作:允许