端点保护工作流需要合作伙伴在 NSX-T Data Center 中注册他们的服务,需要管理员使用这些服务。下面几个概念有助于您了解工作流。

  • 服务定义:合作伙伴使用以下属性定义服务:名称、说明、支持的规格、包含网络接口的部署属性以及 SVM 要使用的设备 OVF 软件包位置。
  • 服务插入:NSX 提供了服务插入框架,它允许合作伙伴将网络和安全解决方案与 NSX 平台相集成。客户机侦测解决方案是服务插入的一种形式。

  • 服务配置文件和供应商模板:合作伙伴注册供应商模板,以公开策略的保护级别。例如,保护级别可以分类为黄金级、白银级或白金级。可以从供应商模板创建服务配置文件,这使得 NSX 管理员可以根据自己的偏好来命名供应商模板。对于除客户机侦测以外的服务,可以使用属性进行进一步自定义服务配置文件。然后,可以在端点保护策略规则中使用服务配置文件为 NSX 中定义的虚拟机组配置保护。作为管理员,您可以根据虚拟机名称、标记或标识符创建组。可以选择从单个供应商模板创建多个服务配置文件。
  • 端点保护策略:策略是一组规则。当具有多个策略,请按运行顺序对它们进行排序。这一点同样适用于在策略中定义的规则。例如,策略 A 具有三个规则,策略 B 具有四个规则,这些规则按策略 A 先于策略 B 的顺序排列。当客户机侦测开始运行策略时,将先运行策略 A 中的规则,然后运行策略 B 中的规则。

  • 端点保护规则:作为 NSX 管理员,您可以创建规则来指定要保护的虚拟机组,并通过为每个规则指定服务配置文件来选择这些组的保护级别。

  • 服务实例:它指的是主机上的服务虚拟机。vCenter 将服务虚拟机视为特殊的虚拟机,这些虚拟机在任何客户机虚拟机打开电源之前启动,并在所有客户机虚拟机关闭电源后停止。每个主机的每个服务都具有一个服务实例。
    重要事项: 服务实例数等于服务运行主机的主机数。例如,如果一个集群中有八个主机,并在两个集群上部署了合作伙伴服务,则运行的服务实例总数为 16 个 SVM。
  • 服务部署:作为管理员,您可以通过 NSX-T 在每个集群上部署合作伙伴服务虚拟机。部署是在集群级别进行管理的,因此在将任何主机添加到集群时,EAM 会在这些主机上自动部署服务虚拟机。

    自动部署 SVM 非常重要,因为如果在 vCenter 集群上配置了 Distributed Resource Scheduler (DRS) 服务,则 vCenter 可以在新主机上部署和启动 SVM 后,重新平衡现有虚拟机,或将现有虚拟机分发到添加到集群的任何新主机。由于合作伙伴服务虚拟机需要使用 NSX-T 平台为客户机虚拟机提供安全保护,因此必须将主机准备好作为传输节点。

    重要事项: 一个服务部署指的是 vCenter Server 上一个用于部署和配置一个合作伙伴服务的集群。
  • 文件侦测驱动程序:安装在客户机虚拟机上,会拦截客户机虚拟机上的文件活动。
  • 网络侦测驱动程序:安装在客户机虚拟机上,可拦截客户机虚拟机上的网络流量、进程和用户活动。