Un pare-feu distribué permet de surveiller l'ensemble du trafic est-ouest sur vos machines virtuelles.

Conditions préalables

Si vous créez des règles de pare-feu d'identité, vous devez tout d'abord créer un groupe avec les membres Active Directory. Pour afficher les protocoles pris en charge pour IDFW, reportez-vous à la section Configurations prises en charge par le pare-feu d'identité.
Note : Pour l'application des règles de pare-feu d'identité, le service de temps Windows doit être activé pour toutes les VM utilisant Active Directory. Cela garantit que la date et l'heure sont synchronisées entre Active Directory et les VM. Les modifications apportées à l'appartenance au groupe AD, y compris l'activation et la suppression d'utilisateurs, ne prennent pas immédiatement effet pour les utilisateurs connectés. Pour que les modifications prennent effet, les utilisateurs doivent fermer puis rouvrir leur session. L'administrateur AD doit forcer la fermeture de session lorsque l'appartenance au groupe est modifiée. Ce comportement est une limite d'Active Directory.

Notez que si vous utilisez une combinaison de couche 7 et d'ICMP, ou d'autres protocoles, vous devez placer les règles de pare-feu de couche 7 en dernier. Les règles situées au-dessus d'une règle any/any de couche 7 ne sont pas exécutées.

Procédure

  1. Dans le navigateur, connectez-vous avec des privilèges d'administrateur à un dispositif NSX Manager sur https://<nsx-manager-ip-address>.
  2. Sélectionnez Sécurité > Pare-feu distribué dans le panneau de navigation.
  3. Activez le pare-feu distribué en sélectionnant Actions > Paramètres généraux en haut à droite de la fenêtre et en basculant l'état du pare-feu distribué. Cliquez sur Enregistrer.
  4. Assurez-vous d'être dans la catégorie prédéfinie souhaitée et cliquez sur Ajouter une stratégie. Pour en savoir plus sur les catégories, reportez-vous à la section Pare-feu distribué.
  5. Entrez un Nom pour la nouvelle section de stratégie.
  6. Pour configurer les paramètres de stratégie suivants, cliquez sur l'icône d'engrenage :
    Option Description
    TCP strict Une connexion TCP commence par l'établissement d'une liaison en trois temps (SYN, SYN-ACK, ACK) et se termine généralement par un échange bidirectionnel (FIN, ACK). Dans certains cas, le pare-feu distribué (DFW) peut ne pas voir l'établissement de liaison à trois voies pour un flux particulier (en raison du trafic asymétrique ou du pare-feu distribué activé lorsqu'il existe un flux). Par défaut, le pare-feu distribué n'impose pas le besoin de voir l'établissement d'une liaison en trois temps et sélectionne les sessions déjà établies. TCP strict peut être activé sur une base par section pour désactiver la prise en charge en milieu de session et pour appliquer la condition requise pour un établissement de liaison à trois voies.

    Lors de l'activation du mode TCP strict pour une stratégie DFW spécifique et de l'utilisation d'une règle ANY-ANY Block par défaut, les paquets qui ne remplissent pas les conditions requises de connexion d'établissement d’une liaison en trois temps et qui correspondent à une règle TCP dans cette section sont abandonnés. Strict s'applique uniquement aux règles TCP avec état et est activé au niveau de la stratégie du pare-feu distribué. TCP strict n'est pas appliqué pour les paquets qui correspondent à une valeur par défaut ANY-ANY Allow qui n'a aucun service TCP spécifié.

    Avec état Un pare-feu avec état surveille l'état des connexions actives et utilise ces informations pour déterminer les paquets à autoriser via le pare-feu.
    Verrouillé La stratégie peut être verrouillée pour empêcher plusieurs utilisateurs de modifier les mêmes sections. Vous devez inclure un commentaire lors du verrouillage d'une section.

    Certains rôles, tels Administrateur d'entreprise, disposent d'informations d'identification d'accès complet et ne peuvent pas être verrouillés. Reportez-vous à la section Contrôle d'accès basé sur les rôles.

  7. Cliquez sur Publier. Il est possible d'ajouter plusieurs stratégies et de les publier simultanément.
    La nouvelle stratégie s'affiche à l'écran.
  8. Sélectionnez une section de stratégie et cliquez sur Ajouter une règle.
  9. Entrez un nom pour la règle. Les adresses IPv4, IPv6 et de multidiffusion sont prises en charge.
  10. Dans la colonne Sources, cliquez sur l'icône de modification et sélectionnez la source de la règle. Les groupes avec des membres Active Directory peuvent être utilisés pour le champ source d'une règle IDFW. Pour plus d'informations, reportez-vous à Ajouter un groupe.
  11. Dans la colonne Destinations, cliquez sur l'icône de modification et sélectionnez la destination de la règle. La destination correspond à n'importe laquelle si elle n'est pas définie. Pour plus d'informations, reportez-vous à la section Ajouter un groupe.
  12. Dans la colonne Services, cliquez sur l'icône de modification et sélectionnez les services. Le service correspond à n'importe lequel s'il n'est pas défini.
  13. La colonne Profils n'est pas disponible lorsque vous ajoutez une règle à la catégorie Ethernet. Pour toutes les autres catégories de règle de la colonne Profils, cliquez sur l'icône de modification et sélectionnez un profil de contexte, ou cliquez sur Ajouter un nouveau profil de contexte. Reportez-vous à la section Ajouter un profil de contexte.
    Les profils de contexte utilisent les attributs de l'ID d'application de couche 7 pour une utilisation dans des règles de pare-feu distribué et des règles de pare-feu de passerelle. Il est possible d’utiliser plusieurs profils de contexte d'ID d'application dans une règle de pare-feu avec des services définis sur Quelconque. Pour les profils ALG (FTP ou TFTP), un seul profil de contexte est pris en charge par règle.
    Les profils de contexte ne sont pas pris en charge lors de la création de règles IDS.
  14. Cliquez sur Appliquer pour appliquer le profil de contexte à la règle.
  15. Par défaut, la colonne Appliqué à est définie sur DFW et la règle est appliquée à toutes les charges de travail. Vous pouvez également appliquer la règle à des groupes sélectionnés. Vous ne pouvez pas utiliser Appliqué à pour les groupes basés sur IPSets. La colonne Appliqué à définit la portée de la mise en application pour chaque règle. Elle est utilisée principalement pour l'optimisation ou des ressources sur les hôtes ESXi et KVM. Elle vous aide à définir une stratégie ciblée pour des zones et des locataires spécifiques, sans interférer avec d'autres stratégies définies pour les autres locataires et zones.
  16. Dans la colonne Action, sélectionnez une action.
    Option Description
    Autoriser Autorise le trafic L3 ou L2 avec la source, la destination et le protocole spécifiés à passer par le contexte de pare-feu actuel. Les paquets qui correspondent à la règle, et qui sont acceptés, traversent le système comme si le pare-feu n'était pas présent.
    Annuler Abandonne des paquets avec la source, la destination et le protocole spécifiés. L'abandon d'un paquet est une action silencieuse sans notification aux systèmes source ou de destination. L'abandon d'un paquet entraîne une nouvelle tentative de connexion jusqu'à ce que le seuil de nouvelles tentatives soit atteint.
    Refuser Rejette des paquets avec la source, la destination et le protocole spécifiés. Le refus d'un paquet est une manière plus appropriée de refuser un paquet, car il envoie un message de destination inaccessible à l'expéditeur. Si le protocole est TCP, un message TCP RST est envoyé. Les messages ICMP avec du code interdit par l'administrateur sont envoyés pour les connexions UDP, ICMP et autres connexions IP. L'avantage d'utiliser Refuser est que l'application d'envoi est informée après une seule tentative que la connexion ne peut pas être établie.
  17. Cliquez sur le bouton bascule État pour activer ou désactiver la règle.
  18. Cliquez sur l'icône d'engrenage pour configurer les options de règle suivantes :
    Option Description
    Journalisation La journalisation est désactivée par défaut. Les journaux sont stockés dans le fichier /var/log/dfwpktlogs.log sur des hôtes ESXi et KVM.
    Direction Fait référence à la direction du trafic selon le point de vue de l'objet de destination. IN signifie que seul le trafic vers l'objet est vérifié, OUT signifie que seul le trafic provenant de l'objet est vérifié et In-Out signifie que le trafic dans les deux sens est vérifié.
    Protocole IP Appliquez la règle sur le protocole IPv4, IPv6 ou IPv4-IPv6 à la fois.
    Étiquette de journal Une description entrée ici sera visible sur l'interface de l'hôte.
  19. Cliquez sur Publier. Il est possible d'ajouter plusieurs règles à la fois et de les publier ensemble.
  20. Sur chaque règle, cliquez sur l'icône Infos pour afficher le numéro d'ID de la règle et l'endroit où elle est appliquée.
    Cette icône est grisée tant que vous n'avez pas publié la règle. Vous pouvez également spécifier un ID de règle lorsque vous cliquez sur l'icône de filtre pour afficher uniquement les stratégies et les règles qui répondent aux critères de filtre.
  21. L'API de l'état de réalisation a été optimisée au niveau de la stratégie de sécurité pour fournir des informations supplémentaires sur l'état de réalisation. Pour en bénéficier, spécifiez le paramètre de requête include_enforced_status=true avec intent_path. Effectuez l'appel d'API suivant.

    GET https//<nsx>/policy/api/v1/infra/realized-state/status?intent_path=/infra/domains/default/security-policies/<security-policy-id>&include_enforced_status=true