デフォルト プロファイルの設定がニーズに合っていない場合は、カスタム セグメント セキュリティ セグメント プロファイルを作成できます。

注： このページで説明するすべての機能は、ワークロードが接続されているポートにのみ適用されます。 NSX Edge インターフェイスには適用されません。

前提条件

セグメント セキュリティ セグメント プロファイルの概念を理解します。「セグメント セキュリティのセグメント プロファイルの理解」を参照してください。

手順

  1. 管理者権限で NSX Manager にログインします。
  2. [ネットワーク] > [セグメント] > [セグメント プロファイル] の順に選択します。
  3. [セグメント プロファイルの追加] をクリックして、[セグメント セキュリティ] を選択します。
  4. セグメント セキュリティ プロファイルの詳細を入力します。
    オプション 説明
    名前 プロファイルの名前です。
    BPDU フィルタ

    [BPDU フィルタ] ボタンを切り替えて BPDU フィルタを有効にします。デフォルトは無効です。

    BPDU フィルタを有効にすると、BPDU の宛先の MAC アドレスに対するすべてのトラフィックがブロックされます。また、BPDU フィルタを有効にすると、論理スイッチ ポートの STP が無効になります。これらのポートが STP に参加することは想定されていないためです。

    BPDU フィルタ許可リスト BPDU の宛先の MAC アドレス リストから宛先の MAC アドレスをクリックし、宛先を承認してトラフィックの送信を許可します。このリストから選択できるようにするには、[BPDU フィルタ] を有効にする必要があります。
    DHCP フィルタ

    [サーバ ブロック] ボタンおよび [クライアント ブロック] ボタンを切り替えて、DHCP フィルタを有効にします。どちらもデフォルトは無効です。

    DHCP サーバのブロックにより、DHCP サーバから DHCP クライアントへのトラフィックがブロックされます。DHCP サーバから DHCP リレー エージェントへのトラフィックはブロックされないことに注意してください。

    DHCP クライアントのブロックでは DHCP 要求がブロックされるため、仮想マシンによる DHCP IP アドレスの取得を防止できます。

    DHCPv6 フィルタ

    [サーバ ブロック - IPv6] ボタンおよび [クライアント ブロック - IPv6] ボタンを切り替えて、DHCP フィルタを有効にします。どちらもデフォルトは無効です。

    DHCPv6 サーバのブロックにより、DHCPv6 サーバから DHCPv6 クライアントへのトラフィックがブロックされます。DHCP サーバから DHCP リレー エージェントへのトラフィックはブロックされないことに注意してください。UDP 送信元ポート番号が 547 のパケットがフィルタされます。

    DHCPv6 クライアントのブロックでは DHCP 要求がブロックされるため、仮想マシンによる DHCP IP アドレスの取得を防止できます。UDP 送信元ポート番号が 546 のパケットがフィルタされます。

    非 IP トラフィックをブロック

    [非 IP トラフィックをブロック] ボタンを切り替えて、IPv4、IPv6、ARP および BPDU トラフィックのみを許可します。

    それ以外のトラフィックはブロックされます。IPv4、IPv6、ARP、GARP および BPDU トラフィックは、アドレスの割り当ておよび SpoofGuard に構成されたその他のポリシーに基づいて許可されます。

    デフォルトではこのオプションは無効で、非 IP トラフィックは通常のトラフィックとして処理されます。

    RA ガード 入力方向の IPv6 ルーター アドバタイズを除外するには、[RA ガード] ボタンを切り替えます。ICMPv6 タイプ 134 パケットが除外されます。このオプションはデフォルトで有効です。
    レート制限

    ブロードキャスト トラフィックとマルチキャスト トラフィックのレート制限を設定します。このオプションはデフォルトで有効です。

    レート制限は、ブロードキャストの大量発生などのイベントからワークロードや仮想マシンを保護するために使用できます。

    接続の問題を回避するため、レートの制限の最小値は 10 pps 以上にする必要があります。

  5. [保存] をクリックします。