1 of 17

1. Làm việc với mạng (Network)

Tổng quan

HI GIO sử dụng kiến trúc mạng phân lớp với bốn loại mạng để cung cấp hạ tầng mạng linh hoạt và an toàn trong môi trường đám mây đa mục đích. Các loại mạng này bao gồm external networks, organization virtual data center (VDC) networks, data center group networks, và vApp networks. Hầu hết các loại mạng yêu cầu các đối tượng hạ tầng bổ sung, chẳng hạn như edge gateways và network pools.

Quản lý Organization VDC Networks

Tổng quan

Mạng organization virtual data center (VDC) cho phép các vApps\VM giao tiếp với nhau hoặc với các mạng bên ngoài tổ chức.

Dựa vào cách kết nối của mạng organization VDC, có một số loại mạng khác nhau:

Mạng isolated (kết nối nội bộ) là mạng mà chỉ các VM trong mạng VDC có thể kết nối với nhau.
Mạng routed (kết nối bên ngoài) cung cấp quyền truy cập vào các máy và mạng bên ngoài VDC thông qua edge gateway.

Quy trình

Bước 1: Tạo mạng Isolated VCD

Trong thanh điều hướng trên cùng, nhấp vào Networking.
Trong tab Networks, nhấp vào New để mở cửa sổ New Organization VDC Network.

Tạo NAT Rules trên Edge Gateway

Tổng quan

Network Address Translation (NAT) cho phép thay đổi địa chỉ IP nguồn hoặc đích để lưu lượng có thể đi qua gateway hoặc router.

HI GIO hỗ trợ một số loại NAT:

SNAT: Quy tắc này dịch địa chỉ IP nguồn của các gói tin được gửi từ mạng VDC của tổ chức ra mạng ngoài hoặc mạng VDC của tổ chức khác.
NO SNAT: Quy tắc này ngăn việc dịch địa chỉ IP nội bộ của các gói tin được gửi từ mạng VDC tổ chức ra mạng ngoài hoặc mạng VDC tổ chức khác.
DNAT: Quy tắc này dịch địa chỉ IP và tùy chọn cổng của các gói tin nhận được bởi mạng VDC tổ chức từ mạng ngoài hoặc mạng VDC tổ chức khác.
NO DNAT: Quy tắc này ngăn việc dịch địa chỉ IP ngoài của các gói tin nhận được bởi mạng VDC tổ chức từ mạng ngoài hoặc mạng VDC tổ chức khác.

Bước 1: Trong thanh điều hướng trên cùng, nhấp vào Networking và Edge Gateways.

Bước 2: Chọn edge gateway mà bạn muốn chỉnh sửa.

Bước 3: Trong mục Security, nhấp vào NAT.

Bước 4: Nhấp vào New.

Bước 5: Cấu hình quy tắc DNAT:

IPSec parameters

Tên Object

Thiết bị của Khách hàng

HI GIO

HI GIO support

Mô tả

VPN Tunnel Name

IKE Profile (Phase 1)

Tên Object

Thiết bị của KH

HI GIO

HI GIO support

Mô tả

Cấu hình Tunnel (Phase2)

Object Name

Customer's Device

HI GIO

HI GIO support

Description

Cấu hình DPD

IPSec VPN

Tổng quan

IPsec VPN cung cấp kết nối site-to-site giữa HI GIO và các site từ xa với các bộ định tuyến phần cứng bên thứ ba hoặc các VPN Gateway hỗ trợ IPsec.

Trên HI GIO, bạn có thể tạo các tunnel VPN giữa:

Organization virtual data center networks trong cùng một organization
Organization virtual data center networks trong các organization khác nhau.
Giữa organization's virtual data center network và external network

Hoàn tất các tham số .

Bước 1: Trên thanh điều hướng trên cùng, nhấp vào Networking và chọn tab Edge Gateways.

Bước 2: Nhấp vào edge gateway.

Bước 3: Trong mục Services, nhấp vào IPSec VPN.

Bước 4: Để cấu hình một tunnel IPSec VPN, nhấp vào New.

Hướng dẫn cấu hình IPSec Remote Access VPN Clients trên Windows

Tổng quan

Hướng dẫn cấu hình này mô tả cách cấu hình IPsec IKEv2 Remote Access VPN bằng Windows Client trên hệ điều hành Windows để thiết lập kết nối VPN. Sau khi thiết lập, người dùng có thể truy cập vào các máy ảo và ứng dụng nằm trên HGIO Cloud với tính bảo mật và độ tin cậy cao hơn.

Procedure

Cấu hình IPSec IKEv2 Remote Access VPN Cấu hình VPN Windows Client

Bước 1: Cấu hình VPN Profile cho Windows client.

Mở PowerShell với quyền Administrator.

Sao chép và dán thông tin dưới đây vào PowerShell (thay thế từ màu đỏ "xxxx" bằng tên miền của bạn):

Add-VpnConnection -Name "HI-GIO-IKEv2-VPN" -ServerAddress " remote-xxxxx.xxxx01.vpn.higio.net " -TunnelType "Ikev2"
Set-VpnConnectionIPsecConfiguration -ConnectionName "HI-GIO-IKEv2-VPN" -AuthenticationTransformConstants GCMAES128 -CipherTransformConstants GCMAES128 -EncryptionMethod GCMAES128 -IntegrityCheckMethod SHA256 -PfsGroup "PFS2048" -DHGroup "Group14" -PassThru -Force

Step 2: Enable VPN split tunneling in the Windows client.

Bước 2: Bật split tunneling cho VPN trên Windows client. Split tunneling cho phép một số lưu lượng ứng dụng hoặc thiết bị được định tuyến qua VPN mã hóa, trong khi các ứng dụng hoặc thiết bị khác có thể truy cập trực tiếp vào internet.

Sao chép và dán thông tin dưới đây vào PowerShell:

Set-VPNconnection -name "HI-GIO-IKEv2-VPN" -SplitTunneling $true

Bước 3: Thêm một route vào kết nối VPN.

Thêm route VPN cho subnet (ví dụ: 10.16.1.0/24). Nếu cần thêm subnet khác, thực hiện tương tự và thay thế với subnet mới.
Sao chép và dán thông tin dưới đây vào PowerShell:

3. Load Balancer

Tổng quan

HI GIO CLOUD hỗ trợ cả Load Balancer Layer-4 và Layer-7.

Để cấu hình load balancing cho một ứng dụng trên HI GIO CLOUD, các bước cấu hình chính cần được thực hiện như sau:

Các mục

Mô tả

Service Engine Group (bắt buộc)

Vui lòng tham khảo hướng dẫn sử dụng Load Balancer trong danh sách dưới đây:

Import SSL Certificate

Private key phải ở định dạng mã hóa PKCS8.

Bạn không thể nhập chứng chỉ đã tồn tại trên portal.

Bước 1: Đăng nhập vào HI GIO Portal với quyền Quản trị viên Tổ chức và điều hướng đến

Administration > Certificate Management > Certificates Library.

Tạo Pool trong Load Balancing

Quy trình

Bước 1: Đăng nhập vào HI GIO PORTAL với quyền Organization Administrator và điều hướng đến

Networking > Edge Gateway > Load Balancer > Pool.

Bước 2: Nhấn ADD để tạo và cấu hình một load balancer pool.

General Settings Tab:

Name: nhập tên pool (ví dụ IIS-Web-Pool)
Default Server Port: Cổng máy chủ đích được sử dụng bởi lưu lượng gửi đến các thành viên (ví dụ 80)

NSX ALB hỗ trợ các phương pháp cân bằng tải khác nhau:

Consistent Hash

Core Affinity

Fastest Response

Fewest Servers

Least Connections

Least Load

Round Robin

Persistence: Profile persistence sẽ đảm bảo rằng người dùng giữ kết nối với cùng một máy chủ trong một khoảng thời gian mong muốn (ví dụ: Client IP)

NSX ALB hỗ trợ các loại Persistence khác nhau:

System-Persistence-App-Cookie

System-Persistence-Client-IP

System-Persistence-Custom-HTTP-Header

System-Persistence-HTTP-Cookie

System-Persistence-TLS

Active Health Monitor: (ví dụ HTTP - Điều này sẽ gửi các yêu cầu HEAD HTTP định kỳ tới mỗi máy chủ trong Pool để kiểm tra tính khả dụng)
Thêm hai hoặc nhiều mục trong tab Members và nhập Địa chỉ IP và Port từ các VM chạy các máy chủ ứng dụng.

Nhấn SAVE để tạo một pool không mã hóa (non-encrypted)

General Settings Tab:

Name: nhập tên pool (ví dụ IIS-Web-Pool)
Default Server Port: Cổng máy chủ đích được sử dụng bởi lưu lượng gửi đến các thành viên (ví dụ 443)

HTTP/HTTPS:
- Send Interval: 10s
- Receive Timeout: 4s

Tạo Pool trong Load Balancing

Quy trình

Bước 1: Đăng nhập vào HI GIO PORTAL với quyền Organization Administrator và điều hướng đến

Networking > Edge Gateway > Load Balancer > Pool.

Bước 2: Nhấn ADD để tạo và cấu hình một load balancer pool.

General Settings Tab:

Name: nhập tên pool (ví dụ IIS-Web-Pool)
Default Server Port: Cổng máy chủ đích được sử dụng bởi lưu lượng gửi đến các thành viên (ví dụ 80)

NSX ALB hỗ trợ các phương pháp cân bằng tải khác nhau:

Consistent Hash

Core Affinity

Fastest Response

Fewest Servers

Least Connections

Least Load

Round Robin

Persistence: Profile persistence sẽ đảm bảo rằng người dùng giữ kết nối với cùng một máy chủ trong một khoảng thời gian mong muốn (ví dụ: Client IP)

NSX ALB hỗ trợ các loại Persistence khác nhau:

System-Persistence-App-Cookie

System-Persistence-Client-IP

System-Persistence-Custom-HTTP-Header

System-Persistence-HTTP-Cookie

System-Persistence-TLS

Active Health Monitor: (ví dụ HTTP - Điều này sẽ gửi các yêu cầu HEAD HTTP định kỳ tới mỗi máy chủ trong Pool để kiểm tra tính khả dụng)
Thêm hai hoặc nhiều mục trong tab Members và nhập Địa chỉ IP và Port từ các VM chạy các máy chủ ứng dụng.

Nhấn SAVE để tạo một pool không mã hóa (non-encrypted)

General Settings Tab:

Name: nhập tên pool (ví dụ IIS-Web-Pool)
Default Server Port: Cổng máy chủ đích được sử dụng bởi lưu lượng gửi đến các thành viên (ví dụ 443)

HTTP/HTTPS:
- Send Interval: 10s
- Receive Timeout: 4s

Bước 1: Trong thanh điều hướng trên cùng, nhấp vào Networking và Edge Gateways.

Bước 2: Chọn edge gateway mà bạn muốn chỉnh sử

Bước 3: Trong mục Security, nhấp vào NAT.

Bước 4: Nhấp vào New.

Bước 5: Cấu hình quy tắc SNAT:

Name: [Tên của quy tắc].

Description: [Tùy chọn, mô tả quy tắc].

Interface type: Chọn SNAT hoặc No SNAT.

External IP: Nhập địa chỉ IP Public của edge gateway.

Internal IP: Nhập địa chỉ IP hoặc dải địa chỉ IP nhận lưu lượng từ mạng ngoài.

Destination IP: [Tùy chọn].

Advanced Settings: [Tùy chọn]

- State: Bật hoặc tắt quy tắt NAT

- Logging: Bật/tắt công tắc Logging để cho phép logging

- Priority: Giá trị thấp hơn có nghĩa là ưu tiên cao hơn. Mặc định là 0. Quy tắt No SNAT hoặc No DNAT nên có mức độ ưu tiên cao hơn các quy tắc khác.

- Firewall Match: Các cài đặt có sẵn là

Match External Address - Tường lửa sẽ được áp dụng cho địa chỉ bên ngoài (external address) của quy tắc NAT.

Đối với SNAT, địa chỉ ngoài (external address) là địa chỉ đã được dịch sau khi NAT được thực hiện.

Đối với DNAT, địa chỉ ngoài (external address) là địa chỉ gốc trước khi NAT được thực hiện.

Match Internal Address - Tường lửa sẽ được áp dụng cho địa chỉ trong (internal address) của một quy tắc NAT.

Đối với SNAT, địa chỉ trong (internal address) là địa chỉ gốc trước khi NAT được thực hiện.

Đối với DNAT, địa chỉ trong (internal address) là địa chỉ đích đã được dịch sau khi NAT được thực hiện.

Bypass - Gói tin sẽ bỏ qua các quy tắc tường lửa.

Bước 6: Nhấp vào Save.

Lưu ý: Vui lòng không xóa các quy tắc SNAT/DNAT có tên bắt đầu bằng HIGIO- (nếu có).

Bước 7: Thêm quy tắc Edge Firewall cho SNAT/DNAT sau khi hoàn thành quy tắc NAT.

Sử dụng Distributed Firewall trong Data Center Group

Tổng quan

HI GIO hỗ trợ dịch vụ distributed firewall cho data center group. Bạn tạo một chính sách bảo mật mặc định áp dụng cho data center group.

Chính sách này có thể kiểm tra mọi gói tin và khung tin đến và đi từ VM, bất kể cấu trúc mạng. Việc kiểm tra gói tin được thực hiện ở mức vNIC (network interface ảo) của VM, cho phép áp dụng các danh sách kiểm soát truy cập (ACL) gần nhất với nguồn.

Quy trình

TĐể tạo các quy tắc distributed firewall và thêm chúng vào data center group, bạn cần định nghĩa một số đối tượng sau:

Name: Tên của quy tắc.

Source: IP Sets\Dynamic Groups\Static Group (1.1, 1.2, 1.3, 1.4)

Destination: IP Sets\Dynamic Groups\Static Group (1.1, 1.2, 1.3, 1.4)

Application: Chọn ứng dụng với cổng để áp dụng quy tắc (1.5)

Action: Allow\Reject\Drop

IP Protocol: IPv4/IPv6 hoặc cả hai

Thêm một IP Set vào Data Center Group

Thêm một IP Set vào Data Center Group: IP Sets là các nhóm địa chỉ IP và mạng mà các quy tắc distributed firewall áp dụng (cho Source và Destination). Việc kết hợp nhiều đối tượng vào IP Sets giúp giảm số lượng quy tắc distributed firewall cần tạo ra.

Bước 1: Trong thanh điều hướng trên cùng, nhấp vào Networking và sau đó nhấp vào Data Center Groups

Bước 2: Nhấp vào tên data center group

Bước 3: Under SecurityDưới Security, nhấp vào IP Sets.

Bước 4: Click Nhấp vào New.

Bước 5: Nhập một Name có ý nghĩa và Description cho IP Sets.

Bước 6: Nhập một địa chỉ IPv4, địa chỉ IPv6 hoặc dải địa chỉ theo định dạng CIDR và nhấp vào Add.

Bước 7: Để sửa đổi một địa chỉ IP hoặc dải địa chỉ hiện tại, nhấp vào Modify và chỉnh sửa giá trị.

Bước 8: Nhấp vào Save để xác nhận.

Tạo một Static Security Group

Static Security Groups là các mạng data center group mà các quy tắc distributed firewall áp dụng (cho Source và Destination). Việc nhóm các mạng lại giúp giảm số lượng quy tắc distributed firewall cần tạo ra.

Bước 1: Trong thanh điều hướng trên cùng, nhấp vào Networking và sau đó nhấp vào tab Data Center Groups.

Bước 2: Nhấp vào tên data center group.

Bước 3: Dưới Security, nhấp vào Static Groups.

Bước 4: Nhấp vào New.

Bước 5: Nhập Name và Description cho static group và nhấp vào Save.

Static security group sẽ xuất hiện trong danh sách.

Bước 6: Chọn static security group mới tạo và nhấp Manage Members.

Bước 7: Chọn các mạng data center group mà bạn muốn thêm vào static security group >> Save.

Gán Security Tags cho VM:

Các security tags bạn tạo và gán cho các máy ảo giúp bạn xác định các quy tắc edge gateway và distributed firewall.

Bước 1: Trong thanh điều hướng trên cùng, nhấp vào Networking.

Bước 2: Nhấp vào Security Tags.

Bước 3: Nhấp vào Add Tag.

Bước 4: Nhập tên tag.

Bước 5: Từ danh sách các máy ảo trong tổ chức, chọn những máy cần gán tag mới tạo.

Bước 6: Nhấp Save.

Tạo Dynamic Security Group:

Bạn có thể xác định dynamic security groups của các máy ảo dựa trên các tiêu chí cụ thể (VM Name hoặc Tag Name) để áp dụng các quy tắc distributed firewall.

Bước 1:Trong thanh điều hướng trên cùng, nhấp vào Networking và sau đó nhấp vào tab Data Center Groups.

Bước 2: Nhấp vào tên data center group.

Bước 3: Dưới Security, nhấp vào Dynamic Groups.

Bước 4: Nhấp New.

Bước 5: Nhập tên và mô tả cho dynamic security group.

Bước 6:Để tạo Criterion cho việc thêm vào nhóm, thêm tối đa bốn quy tắc áp dụng cho VM Name hoặc VM security tag.

VM Name: quy tắc áp dụng cho tên VM chứa hoặc bắt đầu với một từ mà bạn chỉ định.
VM tag: quy tắc áp dụng cho tag VM có giá trị bằng, chứa, bắt đầu hoặc kết thúc với từ mà bạn chỉ định.

Tôi đã tạo 02 quy tắc

VM Name: Bắt đầu với “demo”
VM Tag: Bằng “non-prd” (mà bạn đã tạo trong 1.3)

Bước 7: Nhấp Save.

Thêm Custom Application Port Profile:

Bạn có thể sử dụng các application port profiles đã cấu hình sẵn hoặc tùy chỉnh để tạo các quy tắc distributed firewall.

Các application port profiles bao gồm một sự kết hợp của giao thức và cổng hoặc một nhóm cổng được sử dụng cho dịch vụ firewall.

Bước 1: Trong thanh điều hướng trên cùng, nhấp vào Networking và sau đó nhấp vào tab Data Center Groups.

Bước 2: Nhấp vào tên data center group.

Bước 3: Dưới Security, nhấp vào Application Port Profiles.

Bước 4: Trong phần Custom Applications, nhấp vào New.

Bước 5: Nhập tên và mô tả cho application port profile.

Bước 6: Từ menu thả xuống Protocol, chọn giao thức: TCP, UDP, ICMPv4, ICMPv6.

Bước 7: Nhập một cổng, hoặc một dãy các cổng, cách nhau bằng dấu phẩy, và nhấp Save.

Chúng ta đã có các đối tượng được định nghĩa sẵn trong phần trước. Sau đây là cách tạo các quy tắc distributed firewall:

Trong thanh điều hướng trên cùng, nhấp vào Networking và sau đó nhấp vào tab Data Center Groups.

2. Nhấp vào tên data center group.

3. Nhấp vào tab Distributed Firewall bên trái.

4. Nhấp Edit Rules.

Sử dụng Edge Gateway Firewall

Tổng quan

Firewall của edge gateway giám sát lưu lượng North-South để cung cấp các chức năng bảo mật chu vi, bao gồm Firewall, Network Address Translation (NAT) và site-to-site IPSec và SSL VPN.

Các quy tắc firewall này được áp dụng trên edge gateway firewall để bảo vệ các máy ảo trong trung tâm dữ liệu ảo (VDC) của tổ chức khỏi lưu lượng mạng bên ngoài.

Quy trình

Để tạo các quy tắc firewall và thêm chúng vào edge gateway, cần định nghĩa các yếu tố sau:

Name: Tên của quy tắc.

Source: IP Sets\Dynamic Groups\Static Group (1.1, 1.2, 1.3, 1.4).

Destination: IP Sets\Dynamic Groups\Static Group (1.1, 1.2, 1.3, 1.4).

Application: Chọn ứng dụng với cổng được áp dụng (1.5).

Action: Allow\Reject\Drop.

IP Protocol: IPv4/IPv6 hoặc cả hai.

Thêm một IP Set:

Bước 1: IP Sets là các nhóm địa chỉ IP và mạng được áp dụng cho các quy tắc firewall (làm Source hoặc Destination)

Bước 2: Trong thanh điều hướng trên cùng, nhấp vào Networking và chọn Edge Gateways.

Bước 3: Chọn edge gateway mà bạn muốn chỉnh sửa.

Bước 4: Trong mục Security, nhấp vào IP Sets.

Bước 5: Nhấp vào New.

Bước 6: Nhập Tên, Mô tả cho IP Set.

Bước 7: Nhập địa chỉ IPv4, IPv6 hoặc dải địa chỉ theo định dạng CIDR và nhấp vào Add.

Bước 8: Chỉnh sửa địa chỉ hiện tại (nếu cần) bằng cách nhấp vào Modify.

Bước 9: Nhấp Save để xác nhận.

Tạo một Static Security Group:

Static Security Groups là các nhóm mạng giúp giảm số lượng quy tắc firewall phân tán cần tạo.

Bước 1: Nhấp vào Networking > Edge Gateways.

Bước 2: Chọn edge gateway bạn muốn chỉnh sửa.

Bước 3: Trong Security, nhấp vào Static Groups.

Bước 4: Nhấp New.

Bước 5: Nhập Tên, Mô tả cho Static Group và nhấp Save.

Static security group sẽ xuất hiện trong danh sách.

Bước 6: Chọn nhóm vừa tạo, nhấp Manage Members.

Bước 7: Chọn data center group networks mà bạn muốn thêm static security group vào >> Save

Gán Security Tags cho VM

Các security tags được gán cho máy ảo để áp dụng các quy tắc firewall edge gateway và distributed firewall rules.

Bước 1: Trong thanh điều hướng trên cùng, nhấp vào Networking.

Bước 2: Bấm vào Security Tags.

Bước 3: Nhấp vào Add Tag.

Bước 4: Nhập tag name.

Bước 5: Chọn các máy ảo trong tổ chức cần gán tag.

Bước 6: Nhấp vàoSave.

Tạo một Dynamic Security Group

Bạn có thể xác định các nhóm bảo mật động của các máy ảo dựa trên các tiêu chí cụ thể (VM Name hoặcTag Name) mà các quy tắc tường lửa sẽ được áp dụng.

Bước 1: Ở thanh điều hướng phía trên, nhấp vào Networking và Edge Gateways.

Bước 2: Chọn edge gateway mà bạn muốn chỉnh sửa.

Bước 3: Dưới mục Security, nhấp vào Dynamic Groups.

Bước 4: Nhấp vào New..

Bước 5: Nhập Tên và Mô tả cho dynamic security group.

Step 6: To create a for inclusion in the group, add up to four rules that apply to a VM Name or a VM security tag.

Bước 6: Để tạo một Criterion để đưa vào nhóm, thêm tối đa bốn quy tắc áp dụng cho VM Name hoặc VM security tag.

VM Name: một quy tắc áp dụng cho các tên VM chứa hoặc bắt đầu với một từ bạn chỉ định.
VM tag: một quy tắc áp dụng cho các thẻ VM có giá trị bằng, chứa, bắt đầu với, hoặc kết thúc với một từ bạn chỉ định.

Tôi đã tạo 02 quy tắc