NTNX>日記

個人的な趣味による Nutanix Community Edition 日記。Japanese のみですみません。

Nutanix Flow で vNIC 遮断自動化くん。(Nutanix CE 編)

この投稿は、[4枚目]Nutanix Advent Calendar 2019 の 4日目です。

Nutanix CE + Prism Central で、Nutanix Flow で vNIC の通信を遮断してみます。

Nutanix Flow のもつ「Quarantine」(隔離、もしくは検疫といった意味)という機能を利用します。これは、検疫目的などで VM をネットワークから遮断できる機能です。実際には、対象 VM の vNIC が接続されいてる Open vSwitch で遮断されます。

利用する Prism Central 環境は、下記のように構築しました。

ユーザ VM の vNIC 通信遮断

Prism Central の Main Dashboard で、Flow が有効化されていることを確認します。

f:id:gowatana:20191204022405p:plain

今回は、vm01(IP アドレスは 192.168.20.132)の通信を遮断します。

f:id:gowatana:20191204022718p:plain

対象 VM を選択して、「Actions」→「Quarantine VMs」を選択します。

f:id:gowatana:20191204023023p:plain

すべての通信を遮断するべく「Strict」を選択して、「Quarantine」をクリックします。ちなみに「Forensic」は、特定のアドレス(セキュリティにかかわる証跡調査をするマシンや、何かしらのセキュリティ アプライアンスなど)への通信のみ許可してフォレンジックをしたりする場合に利用できます。

f:id:gowatana:20191204023146p:plain

VM に隔離されたマークがつき、通信が遮断されるはずです。(マークがつかない場合は Web ブラウザを更新します)

f:id:gowatana:20191204023538p:plain

ユーザ VM の vNIC 遮断解除

対象の VM を選択し、「Actions」→「Unquarantine VMs」を選択します。

f:id:gowatana:20191204023707p:plain

確認画面で、「Unquarantine」をクリックします。

f:id:gowatana:20191204023800p:plain

VM に隔離されたマークが消えて、通信遮断が解除されるはずです。(マークが消えない場合は Web ブラウザを更新します)

f:id:gowatana:20191204023904p:plain

vNIC 遮断中の VM への通信の様子

「Quarantine」で隔離中の VM を確認してみます。

Ping を 隔離対象の VM 宛(192.168.20.132)に実行していると、下記のように隔離→隔離解除 の間は疎通が途切れていることがわかります。
※赤線の部分で隔離 → 隔離解除しており、icmp_seq の数値が飛んでいます。

f:id:gowatana:20191204024213p:plain

vNIC 遮断中の VM を Prism Central での様子

隔離中の VM は、Flow の「Security Policy」によるルールによって通信遮断されています。「Policies」→ 「Security Policy」で、Quarantine というポリシーに「1 VMs」と表示されているものが遮断されている VM です。

f:id:gowatana:20191204024520p:plain

Flow では、「カテゴリ」(Key:Value 形式のタグのようなもの)を用いてルール設定をします。隔離中の VM には「Quarantine」カテゴリが自動設定されます。 隔離中の VM を選択して、「Actions」→「Manage Categories」をクリックします。

f:id:gowatana:20191204025107p:plain

さきほどの Quarantine 設定をした VM には、「Quarantine:Default」カテゴリが自動付与されていることがわかります。これは Unquarantine すると自動解除されます。

f:id:gowatana:20191204025251p:plain

以上。

 

©2019 gowatana
クリエイティブ・コモンズ・ライセンスこの 作品 は クリエイティブ・コモンズ 表示 4.0 国際 ライセンスの下に提供されています。