HI GIO sử dụng kiến trúc mạng phân lớp với bốn loại mạng để cung cấp hạ tầng mạng linh hoạt và an toàn trong môi trường đám mây đa mục đích. Các loại mạng này bao gồm external networks, organization virtual data center (VDC) networks, data center group networks, và vApp networks. Hầu hết các loại mạng yêu cầu các đối tượng hạ tầng bổ sung, chẳng hạn như edge gateways và network pools.
Network Address Translation (NAT) cho phép thay đổi địa chỉ IP nguồn hoặc đích để lưu lượng có thể đi qua gateway hoặc router.
HI GIO hỗ trợ một số loại NAT:
SNAT: Quy tắc này dịch địa chỉ IP nguồn của các gói tin được gửi từ mạng VDC của tổ chức ra mạng ngoài hoặc mạng VDC của tổ chức khác.
NO SNAT: Quy tắc này ngăn việc dịch địa chỉ IP nội bộ của các gói tin được gửi từ mạng VDC tổ chức ra mạng ngoài hoặc mạng VDC tổ chức khác.
DNAT: Quy tắc này dịch địa chỉ IP và tùy chọn cổng của các gói tin nhận được bởi mạng VDC tổ chức từ mạng ngoài hoặc mạng VDC tổ chức khác.
NO DNAT: Quy tắc này ngăn việc dịch địa chỉ IP ngoài của các gói tin nhận được bởi mạng VDC tổ chức từ mạng ngoài hoặc mạng VDC tổ chức khác.
Bước 1: Trong thanh điều hướng trên cùng, nhấp vào Networking và Edge Gateways.
Bước 2: Chọn edge gateway mà bạn muốn chỉnh sửa.
Bước 3: Trong mục Security, nhấp vào NAT.
Bước 4: Nhấp vào New.
Bước 5: Cấu hình quy tắc DNAT:
Description: [Tùy chọn, mô tả quy tắc].
Interface type: Chọn DNAT hoặc No DNAT.
External IP: Nhập địa chỉ IP Public của edge gateway.
External Port: [Tùy chọn - Nhập cổng mà quy tắc DNAT sẽ dịch].
Internal IP: Nhập địa chỉ IP hoặc dải địa chỉ IP nhận lưu lượng từ mạng ngoài.
Application: [Tùy chọn - chọn ứng dụng tương ứng với port].
Advanced Settings: [Tùy chọn] - State: Bật hoặc tắt NAT rule
- Logging: Bật/tắt để cho phép logging
- Priority: Giá trị thấp hơn có nghĩa là ưu tiên cao hơn. Mặc định là 0. Quy tắt No SNAT hoặc No DNAT nên có mức độ ưu tiên cao hơn các quy tắc khác.
- Firewall Match: Các cài đặt có sẵn là:
Match External Address - Firewall sẽ được áp dụng cho địa chỉ bên ngoài (external address) của quy tắc NAT.
Đối với SNAT, địa chỉ ngoài (external address) là địa chỉ đã được dịch sau khi NAT được thực hiện.
Đối với DNAT, địa chỉ ngoài (external address) là địa chỉ gốc trước khi NAT được thực hiện.
Match Internal Address - Firewall sẽ được áp dụng cho địa chỉ trong (internal address) của một quy tắc NAT.
Đối với SNAT, địa chỉ trong (internal address) là địa chỉ gốc trước khi NAT được thực hiện.
Đối với DNAT, địa chỉ trong (internal address) là địa chỉ đích đã được dịch sau khi NAT được thực hiện.
Bypass - Gói tin sẽ bỏ qua firewall rule.
Bước 6: Nhấp vào Save.
Bước 1: Trong thanh điều hướng trên cùng, nhấp vào Networking và Edge Gateways.
Bước 2: Chọn edge gateway mà bạn muốn chỉnh sử
Bước 3: Trong mục Security, nhấp vào NAT.
Bước 4: Nhấp vào New.
Bước 5: Cấu hình quy tắc SNAT:
Name: [Tên của quy tắc].
Description: [Tùy chọn, mô tả quy tắc].
Interface type: Chọn SNAT hoặc No SNAT.
External IP: Nhập địa chỉ IP Public của edge gateway.
Internal IP: Nhập địa chỉ IP hoặc dải địa chỉ IP nhận lưu lượng từ mạng ngoài.
Destination IP: [Tùy chọn].
Advanced Settings: [Tùy chọn]
- State: Bật hoặc tắt quy tắt NAT
- Logging: Bật/tắt công tắc Logging để cho phép logging
- Priority: Giá trị thấp hơn có nghĩa là ưu tiên cao hơn. Mặc định là 0. Quy tắt No SNAT hoặc No DNAT nên có mức độ ưu tiên cao hơn các quy tắc khác.
- Firewall Match: Các cài đặt có sẵn là
Match External Address - Tường lửa sẽ được áp dụng cho địa chỉ bên ngoài (external address) của quy tắc NAT.
Đối với SNAT, địa chỉ ngoài (external address) là địa chỉ đã được dịch sau khi NAT được thực hiện.
Đối với DNAT, địa chỉ ngoài (external address) là địa chỉ gốc trước khi NAT được thực hiện.
Match Internal Address - Tường lửa sẽ được áp dụng cho địa chỉ trong (internal address) của một quy tắc NAT.
Đối với SNAT, địa chỉ trong (internal address) là địa chỉ gốc trước khi NAT được thực hiện.
Đối với DNAT, địa chỉ trong (internal address) là địa chỉ đích đã được dịch sau khi NAT được thực hiện.
Bypass - Gói tin sẽ bỏ qua các quy tắc tường lửa.
Bước 6: Nhấp vào Save.
Lưu ý: Vui lòng không xóa các quy tắc SNAT/DNAT có tên bắt đầu bằng HIGIO- (nếu có).
Bước 7: Thêm quy tắc Edge Firewall cho SNAT/DNAT sau khi hoàn thành quy tắc NAT.
Lưu ý: Các địa chỉ IP public phải được thêm vào giao diện edge gateway nơi bạn muốn thêm quy tắc NAT.
Firewall rule được áp dụng cho địa chỉ IP local theo cấu hình mặc định. Nếu bạn muốn chỉ định firewall rule cho địa chỉ IP public, vui lòng thay đổi cấu hình "Firewall Match" thành "Match External Address" ở phần tùy chọn Advanced.
Mạng organization virtual data center (VDC) cho phép các vApps\VM giao tiếp với nhau hoặc với các mạng bên ngoài tổ chức.
Dựa vào cách kết nối của mạng organization VDC, có một số loại mạng khác nhau:
Mạng isolated (kết nối nội bộ) là mạng mà chỉ các VM trong mạng VDC có thể kết nối với nhau.
Mạng routed (kết nối bên ngoài) cung cấp quyền truy cập vào các máy và mạng bên ngoài VDC thông qua edge gateway.
Bước 1: Tạo mạng Isolated VCD
Trong thanh điều hướng trên cùng, nhấp vào Networking.
Trong tab Networks, nhấp vào New để mở cửa sổ New Organization VDC Network.
Trong trang Scope, chọn Organization Virtual Data Center hoặc Data Center Group để tạo mạng, sau đó nhấp Next.
Trong trang Select Network Type, chọn Isolated >> Next.
Nhập Name và mô tả (nếu cần) cho mạng
Để kích hoạt chế độ mạng dual-stack (cho phép mạng sử dụng cả IPv4 và IPv6), bật nút Dual-Stack Mode.
Nhập cài đặt Classless Inter-Domain Routing (CIDR) cho mạng >> Next
Định dạng: network_gateway_IP_address/subnet_prefix_length, ví dụ: 192.168.100.254/24.
Trong phần Static IP Pools, nhập các dải địa chỉ IP bạn muốn sử dụng, nhấp Add >> Next.
Cấu hình cài đặt DNS (tuỳ chọn).
Bạn có thể nhập Primary DNS, Secondary DNS, và DNS suffix >> Next.
Xem lại cài đặt và nhấp vào Finish.
Bước 2: Tạo mạng Routed VCD
Trong thanh điều hướng trên cùng, nhấp vào Networking.
Trong tab Networks, nhấp vào New để mở cửa sổ New Organization VDC Network.
Trong trang Scope, chọn Organization Virtual Data Center hoặc Data Center Group để tạo mạng, sau đó nhấp Next.xt
Trong trang Select Network Type, chọn Routed >> Next.
Nhập Name và mô tả (nếu cần) cho mạng
Để kích hoạt chế độ mạng dual-stack (cho phép mạng sử dụng cả IPv4 và IPv6), bật nút Dual-Stack Mode.
Nhập cài đặt Classless Inter-Domain Routing (CIDR) cho mạng >> Next.
Định dạng: network_gateway_IP_address/subnet_prefix_length, ví dụ: 192.168.100.254/24.
Trong phần Static IP Pools, nhập các dải địa chỉ IP bạn muốn sử dụng, nhấp Add >> Next.
Cấu hình cài đặt DNS (tuỳ chọn)
Bạn có thể nhập Primary DNS, Secondary DNS, và DNS suffix >> Next.
Xem lại cài đặt và nhấp vào Finish.
Bước 3: Xem danh sách mạng Organization VDC khả dụngs
Trong thanh điều hướng trên cùng, nhấp vào Networking.
Trong tab Networks, bạn sẽ thấy danh sách các mạng khả dụng, nơi bạn có thể chỉnh sửa, mở rộng phạm vi, hoặc xóa mạng Organization VDC.
Edge Gateway đã được tạo bởi đội ngũ HI GIO.
HI GIO hỗ trợ dịch vụ distributed firewall cho data center group. Bạn tạo một chính sách bảo mật mặc định áp dụng cho data center group.
Chính sách này có thể kiểm tra mọi gói tin và khung tin đến và đi từ VM, bất kể cấu trúc mạng. Việc kiểm tra gói tin được thực hiện ở mức vNIC (network interface ảo) của VM, cho phép áp dụng các danh sách kiểm soát truy cập (ACL) gần nhất với nguồn.
TĐể tạo các quy tắc distributed firewall và thêm chúng vào data center group, bạn cần định nghĩa một số đối tượng sau:
Name: Tên của quy tắc.
Source: IP Sets\Dynamic Groups\Static Group (1.1, 1.2, 1.3, 1.4)
Destination: IP Sets\Dynamic Groups\Static Group (1.1, 1.2, 1.3, 1.4)
Application: Chọn ứng dụng với cổng để áp dụng quy tắc (1.5)
Action: Allow\Reject\Drop
IP Protocol: IPv4/IPv6 hoặc cả hai
Thêm một IP Set vào Data Center Group
Thêm một IP Set vào Data Center Group: IP Sets là các nhóm địa chỉ IP và mạng mà các quy tắc distributed firewall áp dụng (cho Source và Destination). Việc kết hợp nhiều đối tượng vào IP Sets giúp giảm số lượng quy tắc distributed firewall cần tạo ra.
Bước 1: Trong thanh điều hướng trên cùng, nhấp vào Networking và sau đó nhấp vào Data Center Groups
Bước 2: Nhấp vào tên data center group
Bước 3: Under SecurityDưới Security, nhấp vào IP Sets.
Bước 4: Click Nhấp vào New.
Bước 5: Nhập một Name có ý nghĩa và Description cho IP Sets.
Bước 6: Nhập một địa chỉ IPv4, địa chỉ IPv6 hoặc dải địa chỉ theo định dạng CIDR và nhấp vào Add.
Bước 7: Để sửa đổi một địa chỉ IP hoặc dải địa chỉ hiện tại, nhấp vào Modify và chỉnh sửa giá trị.
Bước 8: Nhấp vào Save để xác nhận.
Tạo một Static Security Group
Static Security Groups là các mạng data center group mà các quy tắc distributed firewall áp dụng (cho Source và Destination). Việc nhóm các mạng lại giúp giảm số lượng quy tắc distributed firewall cần tạo ra.
Bước 1: Trong thanh điều hướng trên cùng, nhấp vào Networking và sau đó nhấp vào tab Data Center Groups.
Bước 2: Nhấp vào tên data center group.
Bước 3: Dưới Security, nhấp vào Static Groups.
Bước 4: Nhấp vào New.
Bước 5: Nhập Name và Description cho static group và nhấp vào Save.
Static security group sẽ xuất hiện trong danh sách.
Bước 6: Chọn static security group mới tạo và nhấp Manage Members.
Bước 7: Chọn các mạng data center group mà bạn muốn thêm vào static security group >> Save.
Gán Security Tags cho VM:
Các security tags bạn tạo và gán cho các máy ảo giúp bạn xác định các quy tắc edge gateway và distributed firewall.
Bước 1: Trong thanh điều hướng trên cùng, nhấp vào Networking.
Bước 2: Nhấp vào Security Tags.
Bước 3: Nhấp vào Add Tag.
Bước 4: Nhập tên tag.
Bước 5: Từ danh sách các máy ảo trong tổ chức, chọn những máy cần gán tag mới tạo.
Bước 6: Nhấp Save.
Tạo Dynamic Security Group:
Bạn có thể xác định dynamic security groups của các máy ảo dựa trên các tiêu chí cụ thể (VM Name hoặc Tag Name) để áp dụng các quy tắc distributed firewall.
Bước 1:Trong thanh điều hướng trên cùng, nhấp vào Networking và sau đó nhấp vào tab Data Center Groups.
Bước 2: Nhấp vào tên data center group.
Bước 3: Dưới Security, nhấp vào Dynamic Groups.
Bước 4: Nhấp New.
Bước 5: Nhập tên và mô tả cho dynamic security group.
Bước 6:Để tạo Criterion cho việc thêm vào nhóm, thêm tối đa bốn quy tắc áp dụng cho VM Name hoặc VM security tag.
VM Name: quy tắc áp dụng cho tên VM chứa hoặc bắt đầu với một từ mà bạn chỉ định.
VM tag: quy tắc áp dụng cho tag VM có giá trị bằng, chứa, bắt đầu hoặc kết thúc với từ mà bạn chỉ định.
Tôi đã tạo 02 quy tắc
VM Name: Bắt đầu với “demo”
VM Tag: Bằng “non-prd” (mà bạn đã tạo trong 1.3)
Bước 7: Nhấp Save.
Thêm Custom Application Port Profile:
Bạn có thể sử dụng các application port profiles đã cấu hình sẵn hoặc tùy chỉnh để tạo các quy tắc distributed firewall.
Các application port profiles bao gồm một sự kết hợp của giao thức và cổng hoặc một nhóm cổng được sử dụng cho dịch vụ firewall.
Bước 1: Trong thanh điều hướng trên cùng, nhấp vào Networking và sau đó nhấp vào tab Data Center Groups.
Bước 2: Nhấp vào tên data center group.
Bước 3: Dưới Security, nhấp vào Application Port Profiles.
Bước 4: Trong phần Custom Applications, nhấp vào New.
Bước 5: Nhập tên và mô tả cho application port profile.
Bước 6: Từ menu thả xuống Protocol, chọn giao thức: TCP, UDP, ICMPv4, ICMPv6.
Bước 7: Nhập một cổng, hoặc một dãy các cổng, cách nhau bằng dấu phẩy, và nhấp Save.
Chúng ta đã có các đối tượng được định nghĩa sẵn trong phần trước. Sau đây là cách tạo các quy tắc distributed firewall:
Trong thanh điều hướng trên cùng, nhấp vào Networking và sau đó nhấp vào tab Data Center Groups.
2. Nhấp vào tên data center group.
3. Nhấp vào tab Distributed Firewall bên trái.
4. Nhấp Edit Rules.
Firewall của edge gateway giám sát lưu lượng North-South để cung cấp các chức năng bảo mật chu vi, bao gồm Firewall, Network Address Translation (NAT) và site-to-site IPSec và SSL VPN.
Các quy tắc firewall này được áp dụng trên edge gateway firewall để bảo vệ các máy ảo trong trung tâm dữ liệu ảo (VDC) của tổ chức khỏi lưu lượng mạng bên ngoài.
Để tạo các quy tắc firewall và thêm chúng vào edge gateway, cần định nghĩa các yếu tố sau:
Name: Tên của quy tắc.
Source: IP Sets\Dynamic Groups\Static Group (1.1, 1.2, 1.3, 1.4).
Destination: IP Sets\Dynamic Groups\Static Group (1.1, 1.2, 1.3, 1.4).
Application: Chọn ứng dụng với cổng được áp dụng (1.5).
Action: Allow\Reject\Drop.
IP Protocol: IPv4/IPv6 hoặc cả hai.
Thêm một IP Set:
Bước 1: IP Sets là các nhóm địa chỉ IP và mạng được áp dụng cho các quy tắc firewall (làm Source hoặc Destination)
Bước 2: Trong thanh điều hướng trên cùng, nhấp vào Networking và chọn Edge Gateways.
Bước 3: Chọn edge gateway mà bạn muốn chỉnh sửa.
Bước 4: Trong mục Security, nhấp vào IP Sets.
Bước 5: Nhấp vào New.
Bước 6: Nhập Tên, Mô tả cho IP Set.
Bước 7: Nhập địa chỉ IPv4, IPv6 hoặc dải địa chỉ theo định dạng CIDR và nhấp vào Add.
Bước 8: Chỉnh sửa địa chỉ hiện tại (nếu cần) bằng cách nhấp vào Modify.
Bước 9: Nhấp Save để xác nhận.
Tạo một Static Security Group:
Static Security Groups là các nhóm mạng giúp giảm số lượng quy tắc firewall phân tán cần tạo.
Bước 1: Nhấp vào Networking > Edge Gateways.
Bước 2: Chọn edge gateway bạn muốn chỉnh sửa.
Bước 3: Trong Security, nhấp vào Static Groups.
Bước 4: Nhấp New.
Bước 5: Nhập Tên, Mô tả cho Static Group và nhấp Save.
Static security group sẽ xuất hiện trong danh sách.
Bước 6: Chọn nhóm vừa tạo, nhấp Manage Members.
Bước 7: Chọn data center group networks mà bạn muốn thêm static security group vào >> Save
Gán Security Tags cho VM
Các security tags được gán cho máy ảo để áp dụng các quy tắc firewall edge gateway và distributed firewall rules.
Bước 1: Trong thanh điều hướng trên cùng, nhấp vào Networking.
Bước 2: Bấm vào Security Tags.
Bước 3: Nhấp vào Add Tag.
Bước 4: Nhập tag name.
Bước 5: Chọn các máy ảo trong tổ chức cần gán tag.
Bước 6: Nhấp vàoSave.
Tạo một Dynamic Security Group
Bạn có thể xác định các nhóm bảo mật động của các máy ảo dựa trên các tiêu chí cụ thể (VM Name hoặcTag Name) mà các quy tắc tường lửa sẽ được áp dụng.
Bước 1: Ở thanh điều hướng phía trên, nhấp vào Networking và Edge Gateways.
Bước 2: Chọn edge gateway mà bạn muốn chỉnh sửa.
Bước 3: Dưới mục Security, nhấp vào Dynamic Groups.
Bước 4: Nhấp vào New..
Bước 5: Nhập Tên và Mô tả cho dynamic security group.
Step 6: To create a for inclusion in the group, add up to four rules that apply to a VM Name or a VM security tag.
Bước 6: Để tạo một Criterion để đưa vào nhóm, thêm tối đa bốn quy tắc áp dụng cho VM Name hoặc VM security tag.
VM Name: một quy tắc áp dụng cho các tên VM chứa hoặc bắt đầu với một từ bạn chỉ định.
VM tag: một quy tắc áp dụng cho các thẻ VM có giá trị bằng, chứa, bắt đầu với, hoặc kết thúc với một từ bạn chỉ định.
Tôi đã tạo 02 quy tắc
VM Name: Bắt đầu với “demo”
VM Tag: Bằng “non-prd” (Mà bạn đã tạo trong mục 1.3)
Bước 7: Nhấp vào Save.
Thêm Custom Application Port Profile:
Bạn có thể sử dụng cấu hình sẵn và tùy chỉnh application port profiles để tạo các quy tắc tường lửa.
Application port profiles bao gồm sự kết hợp của giao thức và một cổng hoặc một nhóm các cổng được sử dụng cho các dịch vụ tường lửa.
Bước 1: Trên thanh điều hướng trên cùng, nhấp vào Networking và chọn Edge Gateways.
Bước 2: Chọn edge gateway mà bạn muốn chỉnh sửa.
Bước 3: Dưới mục Security, nhấp vào Application Port Profiles.
Bước 4: Trong bảng Custom Applications, nhấp vào New.
Bước 5: Nhập Tên và Mô tả choapplication port profile.
Bước 6: Từ menu thả xuống Protocol, chọn giao thức TCP, UDP, ICMPv4, ICMPv6
Bước 7: Nhập một cổng hoặc dải cổng, cách nhau bằng dấu phẩy, và nhấp vào Save.
Chúng ta đã có các Objects được định nghĩa từ trước. Dưới đây là cách tạo quy tắc tường lửa cho edge gateway:
Bước 1: Trên thanh điều hướng phía trên, nhấp vào Networking và chọn Edge Gateways.
Bước 2: Chọn edge gateway.
Bước 3: Chọn Firewall dưới Services ở bên trái.
Bước 4: Nhấp vào Edit Rules.
Bước 5: Để thêm một quy tắc tường lửa, nhấp vào
LƯU Ý: Mỗi phiên lưu lượng mạng sẽ được kiểm tra theo quy tắc đầu tiên trong bảng firewall trước khi tiếp tục qua các quy tắc tiếp theo trong bảng. Quy tắc đầu tiên trong bảng mà khớp với các tham số lưu lượng sẽ được thực thi.
6. Cấu hình quy tắc:
Name: [Tên của quy tắc]
State: [Kích hoạt hoặc tắt quy tắc bằng công tắc]
Applications: Chọn các hồ sơ mặc định hoặc các hồ sơ tùy chỉnh đã tạo trong 1.5.
Context: (Tùy chọn) Chọn hồ sơ ngữ cảnh cho quy tắc.
Source: Chọn Any hoặc đối tượng đã tạo trong 1.1, 1.2, 1.3, 1.4.
Destination: Chọn Any hoặc đối tượng đã tạo trong 1.1, 1.2, 1.3, 1.4.
Action: Allow\Reject\Drop
IP Protocol: IPv4/IPv6 hoặc cả hai.
Logging: [Kích hoạt hoặc tắt bằng công tắc] Kích hoạt để có nhật ký các phép dịch địa chỉ được thực hiện bởi quy tắc này.
7. Nhấp Save.
Không xóa các quy tắc có tên bắt đầu bằng HIGIO (nếu có).
Bước 6: Cấu hình quy tắc
Name: [Tên của quy tắc]
State: [Bật hoặc tắt quy tắc bằng công tắc]
Applications: Chọn cấu hình mặc định hoặc custom profiles được tạo ra trong 1.5
Source: Chọn Any hoặc Object được tạo ra ở 1.1, 1.2, 1.3, 1.4
Destination: Chọn Any hoặc Object được tạo ra ở 1.1, 1.2, 1.3, 1.4
Action: Allow\Reject\Drop
IP Protocol: IPv4/IPv6 hoặc cả hai
Logging: [Bật hoặc tắt bằng công tắc] bật để có địa chỉ dịch được thực hiện bởi quy tắc này được ghi lại
Bước 7: Nhấp vào Save.
Sau khi tạo các quy tắc tường lửa, chúng sẽ xuất hiện trong Edge Gateway Firewall Rules list. Bạn có thể di chuyển lên, xuống, chỉnh sửa hoặc xóa các quy tắc nếu cần.
Lưu ý: Không được xóa các IP Sets có tên bắt đầu bằng HIGIO- (nếu có).
Mỗi trafic sẽ được kiểm tra với quy tắc đầu tiên trong bảng tường lửa trước khi tiếp tục với các quy tắc sau trong bảng. Quy tắc đầu tiên trong bảng phù hợp với tham số traffic sẽ được thi hành.
Vui lòng không xóa tên quy tắc bắt đầu bằng HIGIO- (nếu có)
