この例では、North-South トラフィック上の悪質なファイルを検出するゲートウェイ ファイアウォール ルールを使用して、セキュリティ ポリシーを作成します。これは、NSX 内の NSX Edge を通過します。
この例では、ネットワーク トポロジーが次の図のようになっているとします。ゲートウェイ マルウェア防止ルールを追加して、Tier-1 ゲートウェイ（T1-GW1 および T1-GW2）のマルウェアを検出します。両方の Tier-1 ゲートウェイにオーバーレイ セグメントが接続されています。ワークロード仮想マシンがオーバーレイ セグメントに接続されています。両方の Tier-1 ゲートウェイが 1 つの Tier-0 ゲートウェイに接続され、さらに物理トップオブラック スイッチに接続されています。これにより、外部パブリック ネットワークとの接続が可能になっています。
仮定：
手順
- ブラウザから、NSX Manager (https://nsx-manager-ip-address) にログインします。
- に移動します。
- [ゲートウェイ固有のルール] ページの [ゲートウェイ] ドロップダウン メニューで、[T1-GW1] を選択します。
- [ポリシーの追加] をクリックしてセクションを作成し、ポリシーの名前を入力します。
たとえば、
Policy_T1-GW1 と入力します。
- [ルールの追加] をクリックして、次の構成で 2 つのルールを構成します。
| 名前 |
ID |
送信元 |
宛先 |
サービス |
セキュリティ プロファイル |
適用先 |
モード |
| N_to_S |
1011 |
North |
South |
HTTP |
Profile_T1-GW |
T1-GW1 |
検出のみ |
| S_to_N |
1010 |
South |
North |
HTTP |
Profile_T1-GW |
T1-GW1 |
検出のみ |
この表のルール ID は参照用です。NSX 環境によって異なる場合があります。
このルールの意味を考えてみましょう。
- ルール 1011：パブリック IP 範囲 (12.1.1.10-12.1.1.100) 内のマシンから HTTP 接続が開始し、これらの接続が Segment1 に接続しているワークロード仮想マシンによって受け入れられた場合に、このルールが T1-GW1 に適用されます。HTTP 接続でファイルが検出されると、ファイル イベントが生成され、ファイルは悪意のある動作について分析されます。
- ルール 1010：Segment1 上のワークロード仮想マシンから HTTP 接続が開始し、これらの接続がパブリック IP 範囲 (12.1.1.10-12.1.1.100) 内のマシンによって受け入れられた場合に、このルールが T1-GW1 に適用されます。HTTP トラフィックでファイルが検出されると、ファイル イベントが生成され、ファイルは悪意のある動作について分析されます。
- ルールを公開します。
- [ゲートウェイ固有のルール] ページの [ゲートウェイ] ドロップダウン メニューで、[T1-GW2] を選択します。
- [ポリシーの追加] をクリックしてセクションを作成し、ポリシーの名前を入力します。
たとえば、
Policy_T1-GW2 と入力します。
- [ルールの追加] をクリックして、次のような Any-Any ルールを構成します。
| 名前 |
ID |
送信元 |
宛先 |
サービス |
セキュリティ プロファイル |
適用先 |
モード |
| Any_Traffic |
1006 |
任意 |
任意 |
任意 |
Profile_T1-GW |
T1-GW2 |
検出のみ |
任意の送信元から任意のタイプのトラフィックが開始し、任意の宛先によって受け入れられた場合に、このルールが T1-GW2 に適用されます。トラフィックでファイルが検出されると、ファイル イベントが生成され、ファイルは悪意のある動作について分析されます。
- ルールを公開します。
例
シナリオ：前に示したのと同じトポロジで、Segment1 の仮想マシンが Segment2 の仮想マシンにファイルを送信するとします。この場合、ファイルは Tier-1 ゲートウェイ T1-GW1 と T1-GW2 の両方を経由します。マルウェア防止プロファイルが両方の Tier-1 ゲートウェイで構成されているため、ファイルは 2 回検査され、2 つのファイル イベントが生成されます。これは通常の動作です。
