Para la migración de Manager a Directiva, es posible que el usuario admin de NSX deba realizar acciones en función de cómo afectan las secciones de firewall distribuido (DFW) a los clústeres de la versión básica de Kubernetes (Vanilla) o TKGI y/o las bases TAS.
Si el usuario admin de NSX no crea ninguna sección de DFW, puede omitir la siguiente información.
Las secciones de DFW no afectan a ningún clúster/base.
- Utilizar la API de Directiva para crear el mismo DFW que se creó en el modo Manager.
- Utilizar la interfaz de usuario de NSX para migrar todo una vez que se migraron todos los clústeres de Kubernetes.
- En TAS, migre las secciones o reglas de DFW como un recurso compartido antes o después de la migración de las bases. Tenga en cuenta que si las reglas de DFW tienen un origen y un destino como ANY, dichas secciones de DFW deben migrarse al dominio de Directiva de NSX "predeterminado".
La sección DFW afecta solo a un clúster/base
En una sección puede haber varias secciones y varias reglas.
| Marcadores de sección superior e inferior | Acciones del usuario admin de NSX |
|---|---|
| NCP utiliza marcadores de sección superior e inferior La sección creada por el usuario admin de NSX está fuera de los marcadores de sección superior e inferior. |
Kubernetes Utilice la API de Directiva para crear el mismo DFW que se creó en el modo Manager por encima el marcador superior del clúster. Esto se debe hacer antes de realizar la migración del clúster. Realice las mismas operaciones para las secciones o reglas que se encuentran por debajo del marcador inferior una vez completada la migración del clúster. TAS Migre el mismo DFW que se creó en el modo Manager que existe sobre el marcador superior del clúster como recurso compartido antes de realizar la migración de la base. Realice las mismas operaciones para las secciones o reglas que se encuentran por debajo del marcador inferior una vez completada la migración de la base. Asegúrese de que las secciones de prioridad baja (las que están por debajo del marcador inferior en el modo Manager) se migren a Directiva después una vez migrados todas las bases. |
| Marcadores de sección superior e inferior | Acciones del usuario admin de NSX |
|---|---|
| NCP utiliza marcadores de sección superior e inferior La sección creada por el usuario admin de NSX está dentro de los marcadores de sección superior e inferior. |
Kubernetes Si la sección creada por el administrador se puede mover encima del marcador de sección superior, utilice la API de Directiva para crear el mismo DFW que se creó en el modo Manager antes de la migración del clúster. Si la sección creada por el administrador se puede mover debajo del marcador de sección inferior, utilice la API de Directiva para crear el mismo DFW que se creó en el modo Manager después de completar la migración del clúster. TAS Si la sección creada por el administrador se puede mover por encima del marcador de la sección superior, migre el mismo DFW como recurso compartido antes de la migración de la base. Si la sección creada por el administrador se puede mover debajo del marcador de la sección inferior, migre el mismo DFW que un recurso compartido después de la migración de la base. Kubernetes y TAS Si nada de lo anterior es posible, no se admitirá el escenario. |
| Marcadores de sección superior e inferior | Acciones del usuario admin de NSX |
|---|---|
| NCP no utiliza marcadores de sección superior e inferior En este caso, NCP crea secciones de DFW en el modo Manager en la parte superior o inferior. |
Kubernetes Si la sección creada por el administrador se puede mover encima de la sección superior creada por NCP, utilice la API de Directiva para crear el mismo DFW que se creó en el modo Manager antes de la migración del clúster. Si la sección creada por el administrador se puede mover debajo de la sección inferior creada por NCP, utilice la API de Directiva para crear el mismo DFW que se creó en el modo Manager después de completar la migración del clúster. TAS Si la sección creada por el administrador se puede mover encima de la sección superior creada por NCP, migre el mismo DFW como recurso compartido antes de la migración de la base. Si la sección creada por el administrador se puede mover debajo de la sección inferior creada por NCP, migre el mismo DFW como recurso compartido después de la migración de la base. |
La sección DFW afecta a varios clústeres/bases
| Marcadores de sección superior e inferior | Acciones del usuario admin de NSX |
|---|---|
| NCP utiliza marcadores de sección superior e inferior Todos los clústeres/bases tienen los mismos marcadores de sección superior e inferior. Las secciones creadas por el usuario admin de NSX están fuera de los marcadores de sección superior e inferior. |
Kubernetes Utilice la API de Directiva para crear el mismo DFW que se creó en el modo Manager por encima del marcador superior antes de migrar los clústeres. Realice las mismas operaciones para las secciones o reglas que se encuentran por debajo del marcador inferior después de migrar todos los clústeres. TAS Migre el mismo DFW que se creó en el modo Manager que existe sobre el marcador superior como recurso compartido durante la migración de la primera base. Realice las mismas operaciones para las secciones o reglas que se encuentran por debajo del marcador inferior después de migrar todas las bases. |
| Marcadores de sección superior e inferior | Acciones del usuario admin de NSX |
|---|---|
| NCP utiliza marcadores de sección superior e inferior Todos los clústeres/bases tienen los mismos marcadores de sección superior e inferior. Las secciones creadas por el usuario admin de NSX están dentro de los marcadores de sección superior e inferior. |
Kubernetes Si las secciones creadas por el administrador se pueden mover encima del marcador de sección superior, utilice la API de Directiva para crear el mismo DFW que se creó en el modo Manager antes de migrar los clústeres afectados por las secciones. Si las secciones creadas por el administrador se pueden mover debajo del marcador de sección inferior, utilice la API de Directiva para crear el mismo DFW que se creó en el modo Manager después de migrar los clústeres afectados por las secciones. TAS Si las secciones creadas por el administrador se pueden mover encima del marcador de la sección superior, migre los mismos DFW que los recursos compartidos antes de migrar cualquiera de las bases que se ven afectadas por las secciones. Se pueden migrar utilizando el Ops Manager de cualquiera de las bases. Si las secciones creadas por el administrador se pueden mover debajo del marcador de la sección inferior, migre el mismo DFW como recurso compartido después de migrar todas las bases que se ven afectadas por las secciones. Se pueden migrar utilizando el Ops Manager de cualquiera de las bases. Kubernetes y TAS Si nada de lo anterior es posible, no se admitirá el escenario. |
| Marcadores de sección superior e inferior | Acciones del usuario admin de NSX |
|---|---|
| NCP utiliza marcadores de sección superior e inferior. Los clústeres/bases tienen marcadores de sección superior e inferior diferentes. Las secciones creadas por el usuario admin de NSX están fuera de los marcadores de sección superior e inferior. |
Kubernetes Utilice la API de Directiva para crear el mismo DFW que se creó en el modo Manager por encima del marcador superior antes de migrar los clústeres. Realice las mismas operaciones para las secciones o reglas que se encuentran por debajo del marcador inferior después de completar la migración de todos los clústeres. TAS Migre el mismo DFW que se creó en el modo Manager que existe sobre el marcador superior como recurso compartido durante la migración de la base. Realice las mismas operaciones para las secciones o reglas que se encuentran por debajo del marcador inferior después de migrar todas las bases. |
| Marcadores de sección superior e inferior | Acciones del usuario admin de NSX |
|---|---|
| NCP utiliza marcadores de sección superior e inferior. Los clústeres/bases tienen marcadores de sección superior e inferior diferentes. Las secciones creadas por el usuario admin de NSX están dentro de los marcadores de sección superior e inferior. |
Kubernetes Si es posible, mueva la sección arriba del marcador de sección superior de todos los clústeres afectados por la sección. Después, utilice la API de Directiva para crear el mismo DFW que se creó en el modo Manager antes de migrar los clústeres afectados por la sección. Si es posible, mueva la sección debajo del marcador de sección inferior de todos los clústeres afectados por la sección. Después, utilice la API de Directiva para crear el mismo DFW que se creó en el modo Manager después de migrar los clústeres afectados por la sección. TAS Si es posible, mueva las secciones creadas por el administrador arriba de los marcadores de sección superior de todos los clústeres afectados por las secciones. A continuación, migre los mismos DFW que los recursos compartidos antes de migrar cualquiera de las bases que se ven afectadas por las secciones. Se pueden migrar utilizando el Ops Manager de cualquiera de las bases. Si es posible, mueva las secciones creadas por el administrador abajo de los marcadores de sección inferior de todos los clústeres afectados por las secciones. A continuación, migre los mismos DFW que los recursos compartidos después de migrar todas las bases que se ven afectadas por las secciones. Se pueden migrar utilizando el Ops Manager de cualquiera de las bases. Kubernetes y TAS
Si es posible, divida una sección en secciones más pequeñas de modo que:
Si nada de lo anterior es posible, no se admitirá el escenario. |
| Marcadores de sección superior e inferior | Acciones del usuario admin de NSX |
|---|---|
| NCP no utiliza marcadores de sección superior e inferior. En este caso, NCP crea secciones de DFW en el modo Manager en la parte más superior o inferior. | Este escenario es similar al escenario descrito en la fila anterior, excepto que el marcador de la sección superior se reemplaza por la sección superior creada por NCP, y el marcador de la sección inferior se reemplaza por la sección inferior creada por NCP. |
Notas
- Al crear un DFW en el modo Directiva, el usuario admin de NSX debe crear primero recursos de NSX que necesita el DFW. Algunos ejemplos de estos recursos son NSGroup, IPSet, etc. De forma similar, deben especificar todos los recursos de NSX dependientes en Ops Manager en TAS.
- Si el DFW está consumiendo un recurso de NSX creado por NCP/TKGI/TAS y este DFW debe migrarse antes de que se migre el recurso de NSX creado NCP/TKGI/TAS, debe crear un recurso de NSX similar manualmente en Directiva.
- Si no puede hacerlo, no se admitirá este escenario. Después de migrar el clúster o la base, todos los recursos de NCP, TKGI, NCP y TAS estarán disponibles para crear la directiva de seguridad y las reglas.
- Si esto se puede hacer, el usuario admin deberá editar la directiva de seguridad y utilizar recursos de NSX de NCP/TKGI/TAS en DFW después de migrar el clúster o la base.
- NCP crea directivas de seguridad en las categorías Entorno y Aplicación. Se utilizará el siguiente sequence_number para estas categorías:
- Entorno: 1
- Aplicación: 10, 50, 90, 99
Debe crear o migrar todas las directivas de seguridad o DFW de la API de Directiva para que tengan un sequence_number fuera del rango que utiliza NCP. Por ejemplo, si crea/migra una directiva en la categoría Aplicación que se encuentre por encima de un marcador de sección superior, podrá tener un sequence_number entre 0 y 9 (inclusive). El sequence_number no es exclusivo de una directiva de seguridad (consulte Aplicar revisión a directiva de seguridad). Por ejemplo, todas las reglas de alta prioridad en MP se pueden asignar al número de secuencia 9. Si lo prefiere, puede migrar o crear las secciones en una categoría diferente. Las opciones en orden descendente de prioridad son "Emergencia", "Infraestructura", "Entorno" y "Aplicación".
Acerca de las secciones de DFW
Antes de la migración, al crear una regla de DFW en el modo Directiva, no debe utilizar el nombre para mostrar top_firewall_section_marker.
top-firewall-section-k8scl-two k8scl-two cluster DFW section top-firewall-section-k8scl-one k8scl-one cluster DFW section bottom-marker-section-k8scl-one bottom-marker-section-k8scl-two
top-firewall-section-k8scl-two [sequence 8] top-firewall-section-k8scl-one [sequence 9] k8scl-two cluster DFW section allow [sequence 10] k8scl-one cluster DFW section allow [sequence 10] bottom-marker-section-k8scl-one [sequence 100] bottom-marker-section-k8scl-two [sequence 101]
