예: Antrea 컨테이너 클러스터에 대한 분산 방화벽 정책 추가

이 예의 목표는 단일 Antrea 컨테이너 클러스터에서 실행되는 Enterprise Human Resource 애플리케이션에서 포드-포드 트래픽을 보호하기 위해 NSX에서 분산 방화벽 정책을 생성하는 것입니다.

Antrea 컨테이너 클러스터의 포드 워크로드에서 Enterprise Human Resource 애플리케이션의 웹, 애플리케이션 및 데이터베이스 마이크로 서비스를 실행하고 있다고 가정합니다. 다음 표에 나와 있는 것처럼 포드 기반 멤버 자격 조건을 사용하여 NSX 환경에 Antrea 그룹을 추가했습니다.

Antrea 그룹 이름	멤버 자격 조건
HR-Web	Pod Tag Equals Web Scope Equals HR
HR-App	Pod Tag Equals App Scope Equals HR
HR-DB	Pod Tag Equals DB Scope Equals HR

목표는 다음과 같이 세 가지 방화벽 규칙을 사용하여 애플리케이션 범주에 보안 정책을 생성하는 것입니다.

• HR-Web 그룹에서 HR-App 그룹으로의 모든 트래픽을 허용합니다.
• HR-App 그룹에서 HR-DB 그룹으로의 모든 트래픽을 허용합니다.
• HR-Web에서 HR-DB 그룹으로의 모든 트래픽을 거부합니다.

사전 요구 사항

Antrea 컨테이너 클러스터가 NSX에 등록되었습니다.

프로시저

1. 브라우저의 https://nsx-manager-ip-address에서 NSX Manager에 로그인합니다.
2. 보안 탭을 클릭한 다음, 정책 관리에서 분산 방화벽을 클릭합니다.
   범주별 규칙 페이지가 표시됩니다.
3. 애플리케이션 범주에 있는지 확인합니다.
4. 정책 추가를 클릭하고 정책 이름을 입력합니다.
   예를 들어 EnterpriseHRPolicy를 입력합니다.
5. 정책의 적용 대상에서 Enterprise Human Resource 애플리케이션의 포드 워크로드가 실행 중인 Antrea 컨테이너 클러스터를 선택합니다.
6. 정책을 게시합니다.
7. 정책 이름을 선택하고 규칙 추가를 클릭합니다.
   다음 표에 나와 있는 것처럼 3개의 방화벽 규칙을 구성합니다.

   규칙 이름	규칙 ID	소스	대상	서비스	적용 대상	작업
   Web-App	1022	HR-Web	해당 없음	임의	HR-App	허용
   App-DB	1023	HR-App	해당 없음	임의	HR-DB	허용
   Web-DB	1024	HR-Web	해당 없음	임의	HR-DB	거절

   표의 규칙 ID는 이 예의 샘플 값일 뿐입니다. 규칙 ID는 NSX 환경에서 다를 수 있습니다.

8. 규칙을 게시합니다.

결과

정책이 성공적으로 구현되면 Antrea 컨테이너 클러스터에서 다음과 같은 결과가 발생합니다.

• 클러스터 네트워크 정책이 생성됩니다.
• 규칙 1022, 1023 및 1024는 이 순서대로 컨테이너 클러스터에 적용됩니다.
• 각 방화벽 규칙에 대해 해당 수신 규칙이 클러스터 네트워크 정책에 생성됩니다.