收集流量监控会话后,可以对结果进行分析和筛选,以便用于分组对象和防火墙规则。ARM 会基于所分析的流量自动建议防火墙规则和安全组。

可以对所分析的流量进行筛选,以限制工作集中的流量数量。筛选器选项图标位于右侧的“已处理的视图”下拉菜单旁边。

前提条件

在进行分析之前,必须先从选定的虚拟网卡或虚拟机收集流量监控会话。

过程

  1. 收集流量后,单击分析 (Analyze)
    将解析所定义的服务,开始将 IP 地址转换到虚拟机,并移除重复项。
  2. 分析完成后,将提供有关流量的以下数据:
    字段 选项
    方向

    流入 - 流量进入输入源中一个选定的虚拟机和虚拟网卡。

    流出 - 流量由输入源中一个选定的虚拟机和虚拟网卡产生。

    内部 - 流量在输入源中选定的虚拟机和虚拟网卡之间流过。

    如果流量记录的源 IP 地址解析为 NSX 清单中的一个虚拟机,则为该虚拟机名称。请注意,只有在这些虚拟机中启用了 VM Tools 时,IP 地址才能被解析为虚拟机。

    如果没有在 NSX 清单中找到此源 IP 地址的虚拟机,则为原始 IP。请注意,多播和广播 IP 地址将不会解析为虚拟机。

    如果 IP 地址是映射到不同网络中多个虚拟机的重叠 IP 地址,用户需要将虚拟机解析为与此流量记录相关的正确虚拟机,则为虚拟机数量(例如:2 个虚拟机)。

    目标 与“源”字段中的值相同。
    服务

    NSX 定义的协议/端口服务。

    如果 NSX Manager 中没有定义服务,则为原始协议/端口。

    服务数量。如果有多个服务映射到同一协议/端口,并且用户需要将其解析为一个适用于流量记录的服务。

  3. 选择防火墙规则 (Firewall Rules)选项卡以查看自动建议的 ARM 分组工作流和策略创建,以及基于选定的流量创建的防火墙规则。用户可以修改建议的规则,尤其是组和规则的命名,以使其更加直观。
    在进行流量分析后,ARM 会自动提供以下建议
    • 基于流量模式和服务建议工作流的分组和 IP 集。例如,对于一个 3 层应用程序,结果将会有四个建议的安全组,其中的三个组分别用于每个应用程序层,还有一个组则用于该应用程序中的所有虚拟机。如果目标 IP 在 vCenter 域之外,ARM 还会基于应用程序虚拟机(例如 DNS/NTP 服务器)使用的服务建议目标的 IP 集。
    • 基于所分析的流量数据建议安全组。对于一个 3 层应用程序,结果可能有四个规则:https 上的 LB 到 WEB,http 上的 WEB 到 APP,MYSQL 上的 APP 到 DB,以及用于基础架构服务(例如 DNS)的通用规则。
    • 识别应用程序层之间流量的应用程序上下文(第 7 层)。例如,不考虑所使用的 TCP/UDP 端口和用于 https 的 TLS 版本而运行的 L7 应用程序。
  4. 单击发布 (Publish)以将给定应用程序的策略作为防火墙规则表中的一个区域进行发布。或者,根据需要修改规则。请注意,建议的防火墙规则将限制对与应用程序关联的虚拟机的实施(应用)范围。输入防火墙规则区域名称,然后单击相应的复选框以启用以下可选参数:
    选项 说明
    启用 TCP 严格策略 允许您为每个防火墙区域设置 TCP 严格策略。
    启用无状态防火墙 允许您为每个防火墙区域启用无状态防火墙。