NSX Intelligence
作者:互联网
NSX Intelligence 是 NSX Data Center 内置的一个功能,它对整个 NSX 管理下的虚拟化网络环境进行智能分析,从而为管理员推荐安全隔离策略,并对整个网络中的数据流量提供可视化的图形展现。NSX Intelligence 最早是在 NSX-T 2.5 的版本中推出的,并在后续的版本中不断增强和完善。
NSX Intelligence 是 NSX Data Center 内置的一个功能,它对整个 NSX 管理下的虚拟化网络环境进行智能分析,从而为管理员推荐安全隔离策略,并对整个网络中的数据流量提供可视化的图形展现。NSX Intelligence 最早是在 NSX-T 2.5 的版本中推出的,并在后续的版本中不断增强和完善。
NSX Intelligence 的工作原理并不复杂,NSX 本身就是一个分布式的虚拟网络平台,每一台虚机都通过 NSX 虚拟网络来传递数据,NSX 当然可以轻而易举地收集数据包的流向和流量信息,加以分析处理,就可以提供对于网络流量的深入洞察。相比之下,在物理网络中要实现类似的功能就要费力许多,往往需要把数据包汇集到集中的分析节点,这会造成发卡流量并占用额外的网络带宽。
NSX Intelligence 主要有以下几种应用场景:
推荐网络隔离安全策略
通过对于网络数据流量的分析,NSX Intelligence 可以提取出网络数据的流量模式,例如:需要把同一个应用的几个节点划分在同一个安全组和网络微分段中,以保证它们之的正常通信。基于这个分析结果,NSX Intelligence 会自动整理出一组相应的防火墙规则,经管理员审核批准后就可以发布生效,从而形成网络微分段对节点之间的通信进行保护。检查和维护安全策略合规
因为 NSX Intelligence 有关于整个网络中所有节点之间的通信的完备记录,可以对节点之间的网络通信是否符合安全规定进行检查,并提示管理员做出相应的整改和修复动作。简化安全事件的排查工作
当网络通信发生故障或异常情况时,NSX Intelligence 提供的图示化展示可以让管理员更加方便地进行故障排查,管理员可以根据数据的流动方向而在节点之间跳转,这对于快速定位故障原因是很有帮助的。
NSX Intelligence 功能一览
下图展现的就是 NSX Intelligence 所收集到的网络安全姿态 (Security Posture),可以看到大部分虚机都已经归在不同的安全组中,但是也有2个虚机还不属于任何一个安全组 (中间浅蓝色标注),这2个虚机值得管理员进一步分析,然后把它们归到对应的安全组中去。
并且可以进一步把所有未分类的虚机展示出来,我们可以看到下图中有些虚机之间是存在网络通信的,但是这些通信还没有受到 NSX 微分段的保护。
NSX Intelligence 也可以把某一个虚机和它所有关联的虚机展现出来,这个拓扑结构是 NSX 根据对于网络流量的观察而得出的,可以以此为依据来让 NSX Intelligence 推荐防火墙规则。
下面就是一个推荐的防火墙规则,根据 NSX Intelligence 所观察的结果,Group-1 和 Group-2 之间存在 SSH 数据包通信,所以推荐一条仅允许这两个组之间进行 SSH 通信的防火墙规则。
NSX Intelligence 和 vRealize Network Insight
熟悉 VMware 产品的小伙伴可能发现 NSX Intelligence 跟 vRealize Network Insight (vRNI) 的很多功能类似,的确是这样的,但是这两个模块的定位有所不同:
NSX Intelligence 主要定位于网络和应用安全团队,帮助他们自动发现、推荐虚机和应用隔离规则;
vRNI 主要定位于网络运维团队,帮助他们快速了解网络现状、快速解决问题,而且 vRNI 还支持 SD-WAN,这是 NSX Intelligence 所不具备的。
标签:Intelligence,网络,NSX,管理员,虚机,节点 来源: https://blog.51cto.com/u_15127585/2726680