維護 SDDC 管理基礎結構的安全性至關重要。依預設，管理閘道會封鎖從所有來源到所有管理網路目的地的流量。
設定對 SDDC 管理基礎結構的存取時，請務必建立僅允許對 SDDC 管理網路進行必要存取的管理閘道防火牆規則。若要存取管理閘道，可以在 SDDC 和內部部署資料中心之間設定 AWS Direct Connect、設定 SDDC 和內部部署資料中心之間的 VPN 連線或同時執行這兩項動作。Direct Connect (在企業和 SDDC 之間提供私人連線) 可以單獨使用，也可與 IPsec VPN 結合使用以對流量進行加密。
如果無法使用 Direct Connect、VMware Managed Transit Gateway、或 VPN，則可以使用公用 DNS 和 vCenter Server 公用 IP 直接透過網際網路存取 SDDC vCenter Server。如果執行此動作，則必須建立管理閘道防火牆規則，以防止不受信任的來源存取管理網路。VPN 透過加密和驗證通訊協定提供了額外的安全性。
- 預先定義的防火牆規則由 VMware Cloud on AWS 建立和管理。您無法修改或重新排序這些規則。有一個預先定義的管理閘道防火牆規則：
由於此規則在預設拒絕模式下運作，因此僅允許客戶定義的規則明確允許的流量。表 1. 預先定義的管理閘道防火牆規則 名稱 來源 目的地 服務 動作 預設全部拒絕 任何 任何 任何 捨棄 - 客戶定義的防火牆規則按照您指定的順序進行處理，並且始終在預先定義的規則之前進行處理。這些規則要求來源或目的地是系統定義的群組，並且可用連接埠和服務清單是由 VMware 管理的有限清單。當來源是系統定義的群組時，服務必須為任何。由於這些規則必須具有允許動作，因此規則順序通常不重要。
程序
- 輸入新規則的參數。
參數會初始化為其預設值 (例如， 來源和 目的地為 任何)。若要編輯參數，請將滑鼠游標移到參數值上，然後按一下鉛筆圖示 (
) 以開啟參數特定的編輯器。
選項 說明 來源 輸入來源位址的任意組合 (CIDR 區塊或管理群組名稱)。重要：雖然可以在防火牆規則中選取任何作為來源位址，但在目的地為 vCenter 時，不能使用任何或萬用字元 0.0.0.0/0 作為來源位址。如果這樣做，可能會使 vCenter Server 遭受攻擊，並可能導致 SDDC 遭到破壞。
選取系統定義的群組，然後選取下列其中一個來源選項：
- ESXi，允許 SDDC 的 ESXi 主機的輸出流量。
- NSX Manager，允許 SDDC 的 NSX 應用裝置的輸出流量。
- vCenter，允許 SDDC 的 vCenter Server 的輸出流量。
- 在 SDDC 中啟用的其他整合式服務。
選取使用者定義的群組，以使用您已定義的管理群組。請參閱使用詳細目錄群組。
目的地 選取任何以允許任何目的地位址或位址範圍的輸入流量。
選取 系統定義的群組，然後選取下列其中一個目的地選項：- ESXi，允許 SDDC 的 ESXi 管理的輸入流量。
- NSX Manager，允許 SDDC 的 NSX 應用裝置的輸入流量
- vCenter，允許 SDDC 的 vCenter Server 的輸入流量。
- 在 SDDC 中啟用的其他整合式服務。
服務 選取規則套用至的服務類型。服務類型的清單取決於您選擇的是來源還是目的地。
動作 新管理閘道防火牆規則的唯一可用動作為允許。 新規則預設為啟用。將切換開關向左滑可將其停用。
範例： 建立管理閘道防火牆規則
- 建立管理詳細目錄群組，其中包含要為運用 vMotion 移轉到 SDDC 啟用的內部部署 ESXi 主機。
- 針對來源 ESXi 和目的地內部部署 ESXi 主機建立管理閘道規則。
- 透過 vMotion 服務，針對來源內部部署 ESXi 主機群組和目的地 ESXi 建立另一個管理閘道規則。
下一步
可以檢視除「預設全部拒絕」規則之外的任何其他規則的規則命中數統計資料和流量統計資料。
-
按一下齒輪圖示 (
)，以檢視或修改規則記錄設定。記錄項目會傳送至 VMware VMware Aria Operations for Logs 服務。請參閱VMware Cloud on AWS 作業指南中的使用 VMware Aria Operations for Logs。 -
按一下圖形圖示
，以檢視規則的生效規則數和流量統計資料。
表 2. 生效規則統計資料 熱門度索引 在過去 24 小時內觸發規則的次數。 叫用次數 自規則建立以來觸發規則的次數。
啟用此規則後，統計資料即會開始累積。表 3. 流量統計資料 封包計數 流經此規則的封包總計。 位元組計數 流經此規則的位元組總計。
