SDDC 관리 인프라의 안전과 보안을 유지하는 것이 중요합니다. 기본적으로 관리 게이트웨이는 모든 소스에서 모든 관리 네트워크 대상으로 흐르는 트래픽을 차단합니다.
SDDC 관리 인프라에 대한 액세스를 구성할 때에는 SDDC 관리 네트워크에 필요한 액세스만 허용하는 관리 게이트웨이 방화벽 규칙을 생성하는 것이 중요합니다. 관리 게이트웨이에 액세스하려면 SDDC와 온-프레미스 데이터 센터 간 AWS Direct Connect 구성 또는 SDDC와 온-프레미스 데이터 센터 간 VPN 연결 구성 작업을 수행하거나 둘 다 수행할 수 있습니다. 엔터프라이즈와 SDDC 간 전용 연결을 제공하는 Direct Connect는 단독으로 사용하거나 IPsec VPN과 함께 사용하여 트래픽을 암호화할 수 있습니다.
Direct Connect, VMware 관리 Transit Gateway, 또는 VPN을 사용할 수 없는 경우 공용 DNS 및 vCenter Server 공용 IP를 사용하여 인터넷을 통해 직접 SDDC vCenter Server에 액세스할 수 있습니다. 이렇게 하는 경우 신뢰할 수 없는 소스가 관리 네트워크에 액세스하지 못하도록 방지하는 관리 게이트웨이 방화벽 규칙을 생성해야 합니다. VPN은 암호화 및 인증 프로토콜을 통해 추가적인 보안을 제공합니다.
- 미리 정의된 방화벽 규칙은 VMware Cloud on AWS에서 생성되고 관리됩니다. 이러한 역할은 수정하거나 순서를 변경할 수 없습니다. 미리 정의된 관리 게이트웨이 방화벽 규칙이 하나 있습니다.
이 규칙은 기본 거부 모드에서 작동하기 때문에 고객 정의 규칙에 의해 명시적으로 허용된 트래픽만 허용됩니다.표 1. 미리 정의된 관리 게이트웨이 방화벽 규칙 이름 소스 대상 서비스 작업 기본적으로 모두 거부 임의 임의 임의 삭제 - 고객 정의 방화벽 규칙은 지정한 순서대로 처리되며 항상 미리 정의된 규칙 전에 처리됩니다. 이러한 규칙에서는 소스 또는 대상이 시스템 정의 그룹이어야 하며, 사용 가능한 포트 및 서비스의 목록은 VMware에서 관리하는 제한된 목록이어야 합니다. 소스가 시스템 정의 그룹인 경우 서비스는 임의여야 합니다. 또한 이러한 규칙에는 허용 작업이 있으므로 규칙 순서는 일반적으로 중요하지 않습니다.
프로시저
- 새 규칙에 대한 매개 변수를 입력합니다.
매개 변수가 기본값으로 초기화됩니다(예: 소스 및 대상에 대해 임의). 매개 변수를 편집하려면 매개 변수 값 위로 마우스 커서를 이동하고 연필 아이콘(
)을 클릭하여 매개 변수별 편집기를 엽니다.
옵션 설명 소스 소스 주소 조합(CIDR 블록 또는 관리 그룹 이름)을 입력합니다.중요:방화벽 규칙에서 임의를 소스 주소로 선택할 수 있지만 대상이 vCenter인 경우에는 소스 주소로 임의 또는 와일드카드 0.0.0.0/0을 사용할 수 없습니다. 이렇게 하면 vCenter Server에 대한 공격이 가능해져서 SDDC가 손상될 수 있습니다.
시스템 정의 그룹을 선택하고 다음 소스 옵션 중 하나를 선택합니다.
- ESXi - SDDC의 ESXi 호스트에서 오는 트래픽 허용
- NSX Manager - SDDC의 NSX 장치에서 오는 트래픽 허용
- vCenter - SDDC의 vCenter Server에서 전송하는 트래픽 허용
- SDDC에서 사용하도록 설정된 기타 통합 서비스
사용자 정의 그룹을 선택하면 정의한 관리 그룹을 사용할 수 있습니다. 인벤토리 그룹 사용의 내용을 참조하십시오.
대상 임의의 대상 주소 또는 주소 범위로 향하는 트래픽을 허용하려면 임의를 선택합니다.
시스템 정의 그룹을 선택하고 다음 대상 옵션 중 하나를 선택합니다.- ESXi - SDDC의 ESXi 관리로 향하는 트래픽 허용
- NSX Manager - SDDC의 NSX 장치로 향하는 트래픽 허용
- vCenter - SDDC의 vCenter Server에 전송되는 트래픽 허용
- SDDC에서 사용하도록 설정된 기타 통합 서비스
서비스 규칙을 적용할 서비스 유형을 선택합니다. 서비스 유형 목록은 선택한 소스 및 대상에 따라 다릅니다.
작업 새 관리 게이트웨이 방화벽 규칙에 사용할 수 있는 유일한 작업은 허용입니다. 새 규칙은 기본적으로 사용되도록 설정됩니다. 토글을 왼쪽으로 밀어 사용하지 않도록 설정합니다.
예: 관리 게이트웨이 방화벽 규칙 생성
- SDDC에 vMotion을 사용하도록 설정할 온-프레미스 ESXi 호스트가 포함된 관리 인벤토리 그룹을 생성합니다.
- 소스 ESXi와 대상 온-프레미스 ESXi 호스트로 관리 게이트웨이 규칙을 생성합니다.
- 소스 온-프레미스 ESXi 호스트 그룹과 vMotion 서비스가 포함된 대상 ESXi로 또 다른 관리 게이트웨이 규칙을 생성합니다.
다음에 수행할 작업
[기본적으로 모두 거부] 이외의 규칙에 대해 규칙 적중 통계 및 흐름 통계를 볼 수 있습니다.
-
기어 아이콘
을 클릭하여 규칙 로깅 설정을 보거나 수정합니다. 로그 항목은 VMware VMware Aria Operations for Logs 서비스로 전송됩니다. "VMware Cloud on AWS 운영 가이드" 에서 VMware Aria Operations for Logs 사용 항목을 참조하십시오. -
그래프 아이콘
을 클릭하여 규칙에 대한 규칙 적중 및 흐름 통계를 확인합니다.
표 2. 규칙 적중 통계 인기도 인덱스 지난 24시간 동안 규칙이 트리거된 횟수 적중 수 규칙이 생성된 이후 트리거된 횟수
통계는 규칙을 사용하도록 설정하는 즉시 누적되기 시작합니다.표 3. 흐름 통계 패킷 수 이 규칙을 통과하는 총 패킷 흐름입니다. 바이트 수 이 규칙을 통과하는 총 바이트 흐름입니다.
