NSX-T は、異種のエンドポイントとテクノロジー スタックを備えた、新しいアプリケーション フレームワークとアーキテクチャに対応するように設計されています。これらの環境には、vSphere に加えて、他のハイパーバイザー、コンテナ、ベアメタル、パブリック クラウドも含まれることがあります。vRealize Network Insight は、vCenter Server によって仮想マシンが管理される NSX-T 展開をサポートします。
考慮事項
- vRealize Network Insight は、vCenter Server が ESXi ホストを管理する NSX-T セットアップのみをサポートします。
- vRealize Network Insight は、NSGroup、NSX-T ファイアウォール ルール、IPSet、NSX-T 論理ポート、NSX-T 論理スイッチ、NSX-T 分散ファイアウォールの IPFIX フロー、セグメント、グループ、およびポリシー ベースの VPN をサポートします。
- vRealize Network Insight は、NSX-V と NSX-T の両方の展開をサポートしています。クエリで NSX を使用する場合、結果には NSX-V と NSX-T の両方のエンティティが含まれます。NSX Manager には、NSX-V Manager と NSX-T Manager の両方が一覧表示されます。NSX セキュリティ グループには、NSX-T と NSX-V の両方のセキュリティ グループが表示されます。NSX-V または NSX-T が NSX の代わりに使用されている場合は、これらのエンティティのみが表示されます。ファイアウォール ルール、IPSet、論理スイッチなどのエンティティにも、同じ論理が当てはまります。
- NSX-T 2.4 リリースでは、vRealize Network Insight は NSX 宣言型ポリシー管理をサポートしており、これにより、結果主導型のポリシー ステートメントを使用して、ネットワークおよびセキュリティの構成を簡素化および自動化できます。
注: セキュリティ グループのマイクロセグメンテーションは、NSX ポリシー データに基づいて実行されます。ただし、対応する NSX ポリシー グループがない場合は、スタンドアローン NS グループがマイクロセグメンテーション分析に含まれます。NS グループの詳細については、 NSX-T の製品ドキュメントを参照してください。
NSX-T Manager をデータ ソースとして追加するには
- 少なくとも、読み取り専用権限が必要です。
- NSX-T Manager に関連付けられているすべての vCenter Server をデータ ソースとして vRealize Network Insight に追加する必要があります。
注: vCenter Server を追加する前に NSX-T Manager を追加すると、 vRealize Network Insight は安定化するまで約 4 時間かかります。
- 分散ファイアウォール (DFW) の除外リストに論理スイッチがないことを確認します。このリストに論理スイッチがある場合、これらの論理スイッチに接続されている仮想マシンのフローは報告されません。
- [設定] の [アカウントとデータ ソース] 画面で、[ソースの追加] をクリックします。
- [アカウントまたはデータ タイプの選択] 画面の [VMware Manager] で、[VMware NSX-T Manager] を選択します。
- ユーザー認証情報を指定します。
注:
- 1 つの NSX-T 展開に複数の管理ノードがある場合は、1 台のノードのみをデータ ソースとして vRealize Network Insight に追加するか、(これらのノードの)仮想 IP アドレス (VIP) を使用する必要があります。複数の管理ノードを追加すると、vRealize Network Insight が適切に機能しなくなる可能性があります。
- NSX-T をデータ ソースとして追加する場合は、VIP の使用を推奨します。VIP ではなく管理ノードの IP アドレスを追加する場合に、後で VIP または他の管理ノードの IP アドレスを追加する場合は、既存のデータ ソースを削除して、新しい VIP または管理 IP アドレスを追加する必要があります。
- クラスタ内の各管理ノードにコレクタからアクセスできることを確認します。
- IPFIX が必要ない場合、ユーザーは監査レベルの権限を持つローカル ユーザーである必要があります。一方、IPFIX が必要な場合、ユーザーは、enterprise_admin、network_engineer、または security_engineer のいずれかの権限を持っている必要があります。
注: IP アドレスまたは FQDN のいずれかを使用してデータ ソースを追加する必要があります。IP アドレスと FQDN の両方を使用してデータ ソースを追加しないでください。 - (オプション) [DFW IPFIX を有効にする] を選択して、NSX-T で IPFIX 設定を更新します。このオプションを選択すると、vRealize Network Insight は NSX-T から DFW IPFIX フローを受け取ります。IPFIX の有効化の詳細については、VMware NSX-T DFW IPFIX の有効化を参照してください。
注:
- DFW IPFIX は、NSX-T の Standard エディションではサポートされていません。
- vRealize Network Insight は NSX-T スイッチの IPFIX フローをサポートしていません。
- (オプション) 遅延メトリック データを収集する場合は、[遅延メトリックの収集を有効にする] チェック ボックスを選択します。このオプションを選択すると、vRealize Network Insight は NSX-T から VTEP - VTEP、vNIC - pNIC、pNIC - vNIC、vNIC - vNIC などの遅延メトリックを受信します。ネットワーク遅延の詳細については、ネットワーク遅延の統計情報を参照してください。
注:
- このオプションは NSX-T 2.5 以降でのみ使用可能です。
- VTEP - VTEP は NSX-T 2.5 以降で使用可能です。
- vNIC - pNIC、pNIC - vNIC、vNIC - vNIC は NSX-T 3.0.2 以降で使用可能です。
- 遅延メトリックの収集を有効にするには、enterprise_admin 権限が必要です。
- ESXi ノードから遅延データを受信するために、コレクタのポート 1991 が開いていることを確認します。
- このオプションは NSX-T 2.5 以降でのみ使用可能です。
- (オプション) NSX Intelligence からのフロー収集を有効にするには、[NSX インテリジェンスを有効にする] チェック ボックスを選択します。
NSX Intelligence では、アプリケーション レイヤーの可視性によるディープ パケット インスペクション機能を使用できます。NSX Intelligence からフローが受信されると、アプリケーション ID などの L7(アプリケーション レイヤー)情報が表示されます。
注: vRealize Network Insight で NSX Intelligence を有効にするには、NSX Intelligence アプライアンスを展開する必要があります。 vRealize Network Insight は、 NSX-T 3.1 以降を含む NSX Intelligence 1.2 をサポートしています。NSX Intelligence を処理して、vRealize Network Insight にフロー情報を送信するには、12 分以上かかります。
注: NSX Intelligence からのフロー収集を有効にするには、 vRealize Network Insight がフローのプライマリ ソースとして DFW IPFIX を使用しているときに、 [DFW IPFIX を有効にする] チェック ボックスをオンにする必要があります。L7 情報は NSX Intelligence でサポートされていないため、ドロップされたフローには使用できません。
クエリの例
NSX-T に関連するクエリの例を示します。
クエリ | 検索結果 |
---|---|
NSX-T Manager where VC Manager=10.197.53.214 | この特定の VC Manager がコンピュート マネージャとして追加された NSX-T Manager です。 |
NSX-T Logical Switch | vRealize Network Insight のインスタンスにあるすべての NSX-T 論理スイッチが一覧表示されます。スイッチの作成元がシステムであるか、またはユーザーであるかについての詳細も含まれています。 |
NSX-T Logical Ports where NSX-T Logical Switch = 'DB-Switch' | 特定の NSX-T 論理スイッチ (DB-Switch) に属する NSX-T 論理ポートを一覧表示します。 |
VMs where NSX-T Security Group = 'Application-Group' または VMs where NSGroup = ‘Application-Group’ |
特定のセキュリティグループ (Application-Group) 内のすべての仮想マシンを一覧表示します。 |
NSX-T Firewall Rule where Action='ALLOW' | アクションが ALLOW として設定されているすべての NSX-T ファイアウォール ルールを一覧表示します。 |
NSX-T Firewall Rule where Destination Security Group = ‘CRM-Group’ | CRM-Group がターゲット セキュリティ グループであるファイアウォール ルールを一覧表示します。結果には、直接的なターゲット セキュリティ グループと間接的なターゲット セキュリティ グループの両方が含まれます。 |
NSX-T Firewall Rule where Direct Destination Security Group = ‘CRM-Group’ | CRM-Group がターゲット セキュリティ グループであるファイアウォール ルールを一覧表示します。結果には、直接的なターゲット セキュリティ グループのみが含まれます。 |
VMs where NSX-T Logical Port = ‘App_Port-Id-1’ | 特定の NSX-T 論理ポートを持つすべての仮想マシンが一覧表示されます。 |
NSX-T Transport Zone | VLAN およびオーバーレイ トランスポート ゾーンと、それに関連付けられている詳細(トランスポート ノードのタイプを含む)を一覧表示します。
注:
vRealize Network Insight はデータ ソースとして KVM をサポートしていません。
|
NSX-T Router | TIER-1 と TIER-0 のルーターを一覧表示します。結果に表示されるルーターをクリックすると、NSX-T Edge クラスタや HA モードなどのより詳細な情報が表示されます。 |
NSX Policy Segment | vRealize Network Insight のインスタンスにあるすべての NSX ポリシー セグメントが一覧表示されます。 |
NSX Policy Manager | vRealize Network Insight のインスタンスにあるすべての NSX Policy Manager が一覧表示されます。 |
NSX Policy Group | vRealize Network Insight のインスタンスにあるすべての NSX ポリシー グループが一覧表示されます。 |
NSX Policy Firewall | vRealize Network Insight のインスタンスにあるすべての NSX ポリシー ファイアウォールが一覧表示されます。 |
NSX Policy Firewall Rule | vRealize Network Insight のインスタンスにあるすべての NSX ポリシー ファイアウォール ルールを一覧表示します。 |
NSX Policy Firewall Rule where Action = 'ALLOW' | アクションが ALLOW として設定されているすべての NSX ポリシー ファイアウォール ルールを一覧表示します。 |
NSX Policy Based VPN | vRealize Network Insight のインスタンスにあるすべての NSX ポリシー ベース VPN を一覧表示します。 |
NSX-T メトリックのサポート
エンティティ | エンティティ ダッシュボードのウィジェット | サポートされる NSX-T メトリック |
---|---|---|
論理スイッチ | 論理スイッチのパケット メトリック 論理スイッチのバイト メトリック |
|
論理ポート | 論理ポートのパケット メトリック 論理ポートのバイト メトリック |
|
ルーター インターフェイス | ルーター インターフェイス メトリック |
|
ファイアウォール ルール | ファイアウォール ルール メトリック |
|
nsx-t logical switch where Rx Packet Drops > 0
このクエリは、ドロップし受信パケット数が 0 より大きい、すべての論理スイッチを一覧表示します。
nsx-t logical port where Tx Packet Drops > 0
このクエリは、ドロップした転送パケット数が 0 より大きい、すべての論理ポートを一覧表示します。
top 10 nsx-t firewall rules order by Connection count
このクエリは、接続数 (
Hit Count
) に基づいた上位 10 個のファイアウォール ルールを一覧表示します。
NSX-T のセキュリティ計画
plan NSX-T Layer2 Network ‘<NAME_OF_NSX_T_LOGICAL_SEGMENT>’次の手順を実行すると、同じ結果を得ることができます。
- ナビゲーション サイド バーから の順に選択します。
- ドロップダウン メニューから [NSX-T L2 ネットワーク] または [NSX ポリシー セグメント] のいずれかを範囲として選択します。