Die Sicherheit Ihrer SDDC-Verwaltungsinfrastruktur ist von entscheidender Bedeutung. Standardmäßig blockiert das Verwaltungs-Gateway den Datenverkehr zu allen Verwaltungsnetzwerkzielen aus allen Quellen.
Beim Konfigurieren des Zugriffs auf die SDDC-Verwaltungsinfrastruktur ist es wichtig, dass Sie Firewallregeln für das Verwaltungs-Gateway erstellen, die nur den erforderlichen Zugriff auf das SDDC-Verwaltungsnetzwerk zulassen. Auf das Verwaltungs-Gateway können Sie mit den folgenden Vorgängen zugreifen: Konfigurieren von AWS Direct Connect zwischen Ihrem SDDC und dem lokalen Datencenter und/oder Konfigurieren einer VPN-Verbindung zwischen Ihrem SDDC und dem lokalen Datencenter. Direct Connect bietet private Konnektivität zwischen Ihrem Unternehmen und dem SDDC und kann allein oder in Verbindung mit einem IPsec-VPN zur Verschlüsselung des Datenverkehrs verwendet werden.
Wenn Sie Direct Connect, VMware Managed Transit Gateway, oder ein VPN nicht verwenden können können Sie über das Internet direkt auf den SDDC-vCenter Server zugreifen, indem Sie öffentliches DNS und die öffentliche vCenter Server-IP verwenden. In diesem Fall müssen Sie Firewallregeln für das Verwaltungs-Gateway erstellen, die verhindern, dass nicht vertrauenswürdige Quellen auf das Verwaltungsnetzwerk zugreifen. Ein VPN bietet zusätzliche Sicherheit durch Verschlüsselungs- und Authentifizierungsprotokolle.
- Vordefinierte Firewallregeln werden von VMware Cloud on AWS erstellt und verwaltet. Sie können diese Regeln nicht ändern oder neu anordnen. Es gibt eine vordefinierte Firewallregel für das Verwaltungs-Gateway:
Da diese Regel in einem Standardverweigerungsmodus arbeitet, ist nur Datenverkehr zulässig, der explizit von kundendefinierten Regeln zugelassen wird.Tabelle 1. Vordefinierte Firewallregeln für das Verwaltungs-Gateway Name Quellen Ziele Dienste Aktion Standardeinstellung – Alle ablehnen Alle Alle Alle Verwerfen - Kundendefinierte Firewallregeln werden in der von Ihnen angegebenen Reihenfolge verarbeitet und immer vor vordefinierten Regeln verarbeitet. Für diese Regeln muss entweder die Quelle oder das Ziel eine systemdefinierte Gruppe sein, und die Liste der verfügbaren Ports und Dienste ist begrenzt und wird von VMware verwaltet. Wenn Quellen eine systemdefinierte Gruppe ist, muss Dienste gleich Alle sein. Da diese Regeln die Aktion Zulassen aufweisen müssen, ist die Regelreihenfolge im Allgemeinen unwichtig.
Prozedur
- Geben Sie die Parameter für die neue Regel ein.
Parameter werden auf ihre Standardwerte initialisiert (zum Beispiel Alle für Quellen und Ziele). Zum Bearbeiten eines Parameters bewegen Sie den Mauszeiger über den Parameterwert und klicken auf das Stiftsymbol (
), um einen parameterspezifischen Editor zu öffnen.
Option Beschreibung Quellen Geben Sie eine beliebige Kombination von Quelladressen (CIDR-Blöcke oder Verwaltungsgruppennamen) ein.Wichtig:Obwohl Sie Alle als Quelladresse in einer Firewallregel auswählen können, können Sie Alle oder den Platzhalter 0.0.0.0/0 nicht als Quelladresse verwenden, wenn das Ziel vCenter ist. Dies kann Angriffe auf Ihren vCenter Server ermöglichen und zu einer Kompromittierung Ihres SDDC führen.
Wählen Sie Systemdefinierte Gruppen und wählen Sie eine der folgenden Quelloptionen aus:
- ESXi, um den Datenverkehr von den ESXi-Hosts Ihres SDDCs zuzulassen.
- NSX Manager, um den Datenverkehr von der NSX-Appliance Ihres SDDC zuzulassen.
- vCenter, um Datenverkehr von vCenter Server in Ihrem SDDC zuzulassen
- Andere integrierte Dienste, die im SDDC aktiviert sind.
Wählen Sie Benutzerdefinierte Gruppen aus, um eine von Ihnen definierte Verwaltungsgruppe zu verwenden. Weitere Informationen hierzu finden Sie unter Arbeiten mit Bestandslistengruppen.
Ziele Wählen Sie Beliebig, um den gesamten Datenverkehr zu einer beliebigen Zieladresse oder einem beliebigen Adressbereich zuzulassen.
Wählen Sie Systemdefinierte Gruppen und wählen Sie eine der folgenden Zieloptionen aus:- ESXi, um den Datenverkehr zu Ihrer SDDC-ESXi-Verwaltung zuzulassen.
- NSX Manager, um den Datenverkehr zur NSX-Appliance Ihres SDDC zuzulassen.
- vCenter, um Datenverkehr zu vCenter Server in Ihrem SDDC zuzulassen
- Andere integrierte Dienste, die im SDDC aktiviert sind.
Dienste Wählen Sie die Diensttypen aus, für die die Regel gilt. Die Liste der Diensttypen richtet sich nach der Auswahl für Quellen und Ziele.
Aktion Die einzige verfügbare Aktion für eine neue Firewallregel im Verwaltungs-Gateway ist Zulassen. Die neue Regel ist standardmäßig aktiviert. Schieben Sie den Umschalter nach links, um sie zu deaktivieren.
Beispiel: Erstellen einer Firewallregel im Verwaltungs-Gateway
- Erstellen Sie eine Verwaltungs-Bestandslistengruppe, die die lokalen ESXi-Hosts enthält, die Sie für vMotion auf dem SDDC aktivieren möchten.
- Erstellen Sie eine Verwaltungs-Gateway-Regel mit ESXi-Quellhosts und lokalen ESXi-Zielhosts.
- Erstellen Sie mit einem vMotion-Dienst eine andere Verwaltungs-Gateway-Regel mit lokalen ESXi-Quellhostgruppen und ESXi-Zielhosts.
Nächste Maßnahme
Sie können Statistiken Regeltreffer und Datenstromstatistiken für jede Regel außer der Standardregel „Alle ablehnen“ anzeigen.
-
Klicken Sie auf das Zahnradsymbol
, um die Protokollierungseinstellungen für die Regel anzuzeigen oder zu ändern. Protokolleinträge werden an den VMware VMware Aria Operations for Logs-Dienst gesendet. Weitere Informationen finden Sie unter Verwenden von VMware Aria Operations for Logs im VMware Cloud on AWS Operations Guide. -
Klicken Sie auf das Diagrammsymbol
, um Regeltreffer und Datenstromstatistiken für die Regel zu sehen.
Tabelle 2. Statistiken Regeltreffer Beliebtheitsindex Häufigkeit, mit der die Regel in den letzten 24 Stunden ausgelöst wurde. Anzahl der Treffer Häufigkeit, mit der die Regel seit ihrer Erstellung ausgelöst wurde.
Statistiken werden erfasst, sobald die Regel aktiviert ist.Tabelle 3. Datenstromstatistiken Paketanzahl Gesamtpaketdurchlauf durch diese Regel. Byteanzahl Gesamter Bytedurchlauf durch diese Regel.
