Agregar un grupo

Puede crear grupos que se utilizarán como origen y destino de las reglas de firewall. Los grupos incluyen diferentes objetos que pueden ser una combinación de máquinas virtuales, conjuntos de direcciones IP, conjuntos de direcciones MAC, puertos de segmentos, segmentos, grupos de usuarios de AD y otros grupos. Al configurar un grupo, puede agregar objetos tanto de forma estática como dinámica. Para agregar objetos de forma dinámica, debe especificar un criterio basado en la etiqueta, el nombre de la máquina, el nombre del sistema operativo o el nombre del equipo. Cuando se deba aplicar una regla a un grupo, NSX-T Data Center procesa los criterios para calcular los miembros de forma dinámica y añade o elimina objetos en función de las condiciones de los criterios.

Tenga en cuenta que si elimina cualquier objeto estático de un grupo de vCenter Server, también deberá eliminarlo de la definición del grupo. De lo contrario, aunque el grupo de NSX no mostrará ese objeto como miembro efectivo del grupo, la definición del grupo sí seguirá mostrándolo como miembro del grupo.

Nota: Si crea un grupo en la API utilizando criterios basados en LogicalPort, no podrá editar el grupo en la interfaz de usuario mediante el operador AND entre los criterios de SegmentPort. Si crea un grupo con criterios basados en segmento, puerto de segmento, grupos de puertos distribuidos o puertos distribuidos, deshabilite la opción "Confiar en el primer uso" en el Perfil de detección de IP del grupo. De lo contrario, la dirección IP original de la interfaz permanecerá en el grupo aunque cambie su dirección IP.

Los grupos también se pueden excluir de las reglas de firewall, pudiendo incluir en la lista un máximo de 100 grupos. Los conjuntos de direcciones IP, los conjuntos de direcciones MAC y los grupos de AD no se pueden incluir como miembros de un grupo que se utiliza en una lista de exclusión de firewall. Consulte Administrar una lista de exclusión de firewall para obtener más información.

Un único grupo se puede utilizar como origen solo dentro de una regla de firewall distribuido. Si necesita utilizar grupos de Active Directory y direcciones IP en el origen, cree dos reglas de firewall independientes.

Los grupos que constan únicamente de direcciones IP, direcciones MAC o grupos de Active Directory no se pueden utilizar en el cuadro de texto Se aplica a.

Nota: Cuando se agrega un host a vCenter Server o se elimina de este sistema, el identificador externo de las máquinas virtuales del host cambia. Si una máquina virtual es un miembro estático de un grupo y su identificador externo cambia, esta máquina virtual dejará de aparecer como miembro del grupo en la interfaz de usuario de NSX Manager. Sin embargo, el grupo en el que se incluye la máquina virtual seguirá apareciendo con su identificador externo original en la API que contiene los grupos. Si agrega una máquina virtual como un miembro estático de un grupo y cambia el identificador externo de la máquina virtual, deberá volver a agregar la máquina virtual con el nuevo identificador externo. También puede utilizar los criterios dinámicos de pertenencia al grupo para evitar este problema.

Para los grupos de directivas que contienen direcciones IP, direcciones MAC y grupos de identidades, la API de lista NO mostrará el atributo 'members'. Esto también se aplica a los grupos que contienen una combinación de miembros estáticos. Por ejemplo, un grupo de directivas que contiene IP y máquinas virtuales no mostrará el atributo de miembros.

Para los grupos de directivas que no contengan direcciones IP, direcciones MAC ni grupos de identidades, el atributo de miembro se mostrará en la respuesta del grupo NSGroup. Sin embargo, los nuevos miembros y criterios introducidos en NSX-T Data Center (como DVPort y DVPG) no se incluirán en la definición del grupo MP. Los usuarios pueden ver la definición en Directiva.

Las etiquetas en NSX distinguen entre mayúsculas y minúsculas, pero los grupos basados en etiquetas no. Por ejemplo, si el criterio de pertenencia a grupos dinámicos es VM Tag Equals 'quarantine', el grupo incluirá todas las máquinas virtuales que contengan las etiquetas "Cuarentena" o "CUARENTENA".

Si utiliza NSX Cloud, consulte Agrupar las máquinas virtuales utilizando NSX-T Data Center y etiquetas de nube pública para obtener información sobre cómo usar las etiquetas de nube pública para agrupar las máquinas virtuales de carga de trabajo en NSX Manager.

Requisitos previos

Si utiliza federación de NSX, consulte Seguridad en federación de NSX para obtener más información sobre las opciones de configuración.

Procedimiento

1. Seleccione Inventario > Grupos en el panel de navegación.
2. Haga clic en Agregar grupo y asígnele un nombre al grupo.
3. Si va a agregar un grupo desde un Global Manager para federación de NSX, acepte la selección de región predeterminada o seleccione una región en el menú desplegable. Una vez que se crea un grupo con una región, no se puede editar la selección de región. Sin embargo, puede cambiar el alcance de la propia región agregando o eliminando ubicaciones. Puede crear regiones personalizadas antes de crear el grupo. Consulte Crear una región desde Global Manager.
   Para los grupos que se agreguen desde un Global Manager en un entorno de federación de NSX, se debe seleccionar una región obligatoria. Este cuadro de texto no está disponible si no se utiliza el Global Manager.
4. Haga clic en Establecer.
5. En la ventana Configurar miembros, seleccione el Tipo de grupo.

   Tipo de grupo	Descripción
   Genérico	Este tipo de grupo es la selección predeterminada. Una definición de grupo genérico puede constar de una combinación de criterios de pertenencia, miembros agregados manualmente, direcciones IP, direcciones MAC y grupos Active Directory. Los grupos genéricos con solo miembros de dirección IP agregados manualmente no se pueden usar en el campo Se aplica a en las reglas de DFW. Es posible crear la regla, pero no se aplicará. Cuando se definen criterios de pertenencia en el grupo, los miembros se agregan dinámicamente al grupo en función de uno o varios criterios. Los miembros agregados manualmente incluyen objetos, como puertos de segmentos, puertos distribuidos, grupos de puertos distribuidos, VIF, máquinas virtuales, etc.
   Solo direcciones IP	Este tipo de grupo solo contiene direcciones IP (IPv4 o IPv6). Los grupos Solo direcciones IP solo con direcciones IP agregadas manualmente no se pueden usar en reglas Se aplica a en DFW. Es posible crear la regla, pero no se aplicará. Después de que un grupo de tipo Solo direcciones IP se haya realizado en NSX-T Data Center, no se podrá cambiar el tipo de grupo a Genérico. Sin embargo, si el tipo de grupo es Genérico, podrá editar el tipo de grupo en Solo direcciones IP. En este caso, solo se conservan las direcciones IP en el grupo. Se perderán todos los criterios de pertenencia del grupo y otras definiciones del grupo. Este tipo de grupo es funcionalmente similar a NSGroups con criterio basado en etiquetas de conjunto de direcciones IP en el modo Manager de versiones anteriores de NSX-T.
   Antrea	Este tipo de grupo solo está disponible cuando el entorno de NSX-T tiene uno o varios clústeres de contenedores Antrea registrados. Para obtener más información, consulte Antrea grupos y Agregar un grupo de Antrea.

6. (opcional) En la página Criterios de pertenencia, haga clic en Agregar criterio para agregar miembros al grupo de forma dinámica en función de uno o varios criterios de pertenencia.

   Un criterio de pertenencia puede tener una o varias condiciones. Las condiciones pueden utilizar el mismo tipo de miembro o una combinación de diferentes tipos de miembros. Sin embargo, algunas restricciones se aplican a la adición de varias condiciones con tipos de miembros mixtos en un criterio de pertenencia. Para obtener más información sobre los criterios de pertenencia, consulte Descripción general de los criterios de pertenencia a grupos.

7. (opcional) Haga clic en Miembros para agregar miembros estáticos al grupo.
   Los tipos de miembro disponibles son:

   • Grupos: si utiliza federación de NSX, puede agregar un grupo como miembro que tenga un span igual o menor que la región seleccionada para el grupo que va a crear desde el Global Manager (consulte Seguridad en federación de NSX).
   • NSX Segments: segmentos de NSX Las direcciones IP asignadas a una interfaz de puerta de enlace y las direcciones IP virtuales del equilibrador de carga de NSX no se incluyen como miembros del grupo de segmentos.
   • Puertos de segmento
   • Grupos de puertos distribuidos
   • Puertos distribuidos
   • VIF
   • Máquinas virtuales
   • Servidores físicos
   • Instancias del servicio nativo de nube
8. (opcional) Haga clic en Direcciones IP/MAC para agregar direcciones IP y MAC como miembros del grupo. Se admiten direcciones IPv4, IPv6 y de multidifusión.
   Haga clic en Acción > Importar para importar direcciones IP/MAC desde un archivo TXT o CSV con valores de direcciones IP/MAC separados por comas.
9. (opcional) Haga clic en Grupos de AD para agregar grupos de Active Directory. Los grupos con miembros de Active Directory se pueden utilizar en el cuadro de texto de origen de una regla de firewall distribuido para el firewall de identidad. Los grupos pueden contener tanto miembros de equipos como de AD.
   Nota: Si utiliza federación de NSX, no podrá crear grupos desde Global Manager para incluir grupos de usuarios de AD.
10. (opcional) Introduzca una descripción y una etiqueta.
11. Haga clic en Aplicar.
    Se muestra una lista de grupos, con una opción para ver los miembros y donde se utiliza el grupo.