レイヤー 7 HTTP 仮想サーバの追加

仮想サーバは、すべてのクライアント接続を受信し、複数のサーバに分散します。仮想サーバには、IP アドレス、ポート、および TCP プロトコルが設定されます。

仮想サーバの状態が無効になっている場合、仮想サーバに新規接続を試みると、TCP 接続では TCP RST の送信、UDP では ICMP エラーメッセージの送信によってすべて拒否されます。新しい接続に対応するパーシステンスエントリがある場合でも拒否されます。アクティブな接続は、引き続き処理されます。仮想サーバが削除されるか、仮想サーバとロードバランサの関連付けが解除されると、その仮想サーバへのアクティブな接続に失敗します。

注： SSL プロファイルは NSX-T Data Center Limited Export Release ではサポートされていません。

仮想サーバでクライアント側 SSL プロファイルバインドが構成されており、サーバ側 SSL プロファイルバインドは構成されていない場合、仮想サーバは SSL 終了モードで動作し、クライアントとは暗号化を使用した接続、サーバとの接続はプレーンテキスト接続となります。クライアント側とサーバ側の両方の SSL プロファイルバインドが構成されている場合、仮想サーバは SSL プロキシモードで動作し、クライアントとサーバの両方に暗号化を使用して接続されます。

現時点では、クライアント側 SSL プロファイルバインドを関連付けずにサーバ側 SSL プロファイルバインドを関連付ることはサポートされません。クライアント側とサーバ側の SSL プロファイルバインドが仮想サーバに関連付けられておらず、アプリケーションが SSL ベースの場合、仮想サーバは SSL 非対応モードで動作します。この場合、仮想サーバはレイヤー 4 で構成する必要があります。たとえば、仮想サーバを Fast TCP プロファイルに関連付けることができます。

前提条件

アプリケーションプロファイルが使用できることを確認します。アプリケーションプロファイルの追加を参照してください。
パーシステンスプロファイルが使用できることを確認します。パーシステンスプロファイルの追加を参照してください。
クライアントとサーバの SSL プロファイルが使用できることを確認します。SSL プロファイルの追加を参照してください。
サーバプールが使用できることを確認します。サーバプールの追加を参照してください。
認証局とクライアントの証明書が使用できることを確認します。証明書署名要求ファイルの作成を参照してください。
証明書失効リスト (CRL) が使用できることを確認します。証明書失効リストのインポートを参照してください。
ロードバランサが使用可能であることを確認します。ロードバランサの追加を参照してください。

手順

ブラウザから、NSX Manager (https://<nsx-manager-ip-address>) に管理者権限でログインします。
[ネットワーク] > [ロードバランシング] > [仮想サーバ] > [仮想サーバの追加] を選択します。

ドロップダウンリストから [L7 HTTP] を選択し、プロトコルの詳細を入力します。

レイヤー 7 仮想サーバは、HTTP プロトコルと HTTPS プロトコルをサポートします。

オプション	説明
名前と説明	レイヤー 7 仮想サーバの名前と説明を入力します。
IP アドレス	仮想サーバの IP アドレスを入力します。IPv4 と IPv6 の両方のアドレスがサポートされています。
ポート	仮想サーバのポート番号を入力します。
ロードバランサ	ドロップダウンメニューからこのレイヤー 4 仮想サーバに接続する既存のロードバランサを選択します。
サーバプール	ドロップダウンメニューから既存のサーバプールを選択します。サーバプールは、プールメンバーとも呼ばれる 1 台または複数のサーバで構成されます。これらは同じように構成され、同じアプリケーションを実行します。縦型の楕円形をクリックすると、サーバプールを作成できます。
アプリケーションプロファイル	プロトコルタイプに基づいて、既存のアプリケーションプロファイルが自動的に適用されます。縦型の楕円形をクリックすると、アプリケーションプロファイルを作成できます。
パーシステンス	ドロップダウンメニューから既存のパーシステンスプロファイルを選択します。仮想サーバでパーシステンスプロファイルを有効にすると、送信元 IP アドレスおよび Cookie に関連するクライアント接続を同じサーバに送信できます。

[構成] をクリックし、レイヤー 7 仮想サーバ SSL を構成します。
クライアント SSL およびサーバ SSL を構成できます。

クライアント SSL を構成します。

オプション	説明
クライアント SSL	ボタンを切り替えてプロファイルを有効にします。クライアント側で SSL プロファイルバインドを行うと、複数のホスト名に対応する複数の証明書を同一の仮想サーバに関連付けることができます。
デフォルトの証明書	ドロップダウンメニューからデフォルトの証明書を選択します。この証明書は、サーバが同じ IP アドレスの複数のホスト名に対応しない場合、またはクライアントが SNI (Server Name Indication) 拡張機能をサポートしていない場合に使用されます。
クライアント SSL のプロファイル	ドロップダウンメニューからクライアント側 SSL プロファイルを選択します。
SNI 証明書	ドロップダウンメニューから利用可能な SNI 証明書を選択します。
信頼されている CA (認証局) 証明書	利用可能な CA 証明書を選択します。
必須のクライアント認証	ボタンを切り替えて、このメニュー項目を有効にします。
証明書チェーンの階層の深さ	サーバ証明書チェーンの階層の深さを確認するための [証明書チェーンの深さ] を設定します。
証明書失効リスト	利用可能な CRL を選択し、侵害されたサーバの証明書を禁止します。

サーバ SSL を構成します。

オプション	説明
サーバ SSL	ボタンを切り替えてプロファイルを有効にします。
クライアント証明書	ドロップダウンメニューからクライアントの証明書を選択します。この証明書は、サーバが同じ IP アドレスの複数のホスト名に対応しない場合、またはクライアントが SNI (Server Name Indication) 拡張機能をサポートしていない場合に使用されます。
サーバ SSL のプロファイル	ドロップダウンメニューからサーバ側 SSL プロファイルを選択します。
信頼されている CA (認証局) 証明書	利用可能な CA 証明書を選択します。
必須のサーバ認証	ボタンを切り替えて、このメニュー項目を有効にします。サーバ側 SSL プロファイルバインドによって、SSL ハンドシェイク中にロードバランサに提示されるサーバ証明書を検証する必要があるかどうかを指定します。検証を有効にする場合、サーバ証明書は、同じサーバ側 SSL プロファイルバインドで自己署名証明書が指定されている、信頼する CA の 1 つによって署名されている必要があります。
証明書チェーンの階層の深さ	サーバ証明書チェーンの階層の深さを確認するための [証明書チェーンの深さ] を設定します。
証明書失効リスト	利用可能な CRL を選択し、侵害されたサーバの証明書を禁止します。サーバ側では、OCSP および OCSP Stapling はサポートされていません。

追加のレイヤー 7 仮想サーバのプロパティを構成するには、[その他のプロパティ] をクリックします。

オプション	説明
最大同時接続	同じロードバランサでホストされている他のアプリケーションのリソースをすべて消費することがないように、仮想サーバに許される同時接続の最大数を設定します。
最大新規接続レート	仮想サーバがリソースをすべて消費することがないように、サーバプールメンバーに対して新規接続の最大速度を設定します。
ソーリーサーバプール	ドロップダウンメニューから既存のソーリーサーバプールを選択します。ソーリーサーバプールは、ロードバランサがデフォルトプールからの要求を処理するバックエンドサーバを選択できない場合に要求を処理します。縦型の楕円形をクリックすると、サーバプールを作成できます。
デフォルトのプールメンバーポート	仮想サーバのプールメンバーポートが定義されていない場合は、デフォルトのプールメンバーポートを入力します。たとえば、仮想サーバに 2000～2999 のポート範囲を定義し、デフォルトのプールメンバーポート範囲を 8000～8999 と設定した場合、仮想サーバのポート 2500 への受信クライアント接続は、ターゲットポートが 8500 に設定された状態でプールメンバーに送信されます。
管理状態	ボタンを切り替え、レイヤー 7 仮想サーバの管理状態を無効にします。
アクセスログ	ボタンを切り替え、レイヤー 7 仮想サーバのログを有効にします。
重大イベントのみをログに記録	このフィールドは、アクセスログが有効になっている場合にのみ構成できます。HTTP 応答状態が > = 400 の要求は、重要なイベントとして扱われます。
タグ	ドロップダウンリストからタグを選択します。タグを指定して、タグの範囲を設定できます。

[保存] をクリックします。