Las listas de exclusión de firewall se componen de grupos que se pueden excluir de una regla de firewall basada en la pertenencia a grupos.
NSX admite grupos excluidos del sistema y grupos excluidos del usuario:
- Los grupos excluidos por el sistema están administrados por el sistema y son de solo lectura para los usuarios. Los grupos excluidos por el sistema incluyen SVM de Prevención de malware e Inserción de servicios, así como NSX Managers y dispositivos de NSX Edge implementados a través de un administrador de equipos configurado.
- El usuario administra los grupos excluidos y están vacíos de forma predeterminada.
Las máquinas virtuales, como equilibradores de carga, firewalls, funciones de red virtual (enrutamiento, conmutación, etc.) y cualquier máquina virtual que requiera el modo promiscuo deben estar en una lista de exclusión de DFW. VMware no permite agregar esas máquinas virtuales a DFW; se deben agregar manualmente a los grupos excluidos por el usuario.
En el clúster de NSX Manager, el primer nodo debe agregarse manualmente a la lista de exclusión del firewall distribuido.
Los grupos definidos por el usuario se pueden excluir de las reglas de firewall, pudiendo incluir en la lista un máximo de 100 grupos. Los conjuntos de direcciones IP, los conjuntos de direcciones MAC y los grupos de Active Directory no se pueden incluir como miembros de un grupo que se utiliza en una lista de exclusión de firewall.
A partir de NSX 4.0.1.1, las listas de exclusión se admiten en un Global Manager (GM) en NSX Federation. En un Local Manager (LM), habrá dos listas de exclusión: una del GM y la propia lista de exclusión del LM. Se excluyen todos los miembros de ambas listas.
Los grupos de Antrea no se admiten en una lista de exclusión de firewall.
