Настроить Firewall

Последнее изменение: 12 ноября 2026Открыть в Markdown

Для фильтрации трафика можно использовать:

• Edge Gateway Firewall — можно настроить на Edge-роутере в любом кластере. Фильтрует трафик между сетями Edge-роутера и публичными сетями (North-South), а также трафик, который проходит через L3VPN. В кластерах на старом типе сетевой инфраструктуры (NSX-V) также фильтрует трафик East-West;
• Distributed Firewall (DFW) — можно настроить только в кластерах на новом типе сетевой инфраструктуры (NSX-T). Фильтрует трафик между сетями Edge-роутера и публичными сетями (North-South), а также трафик East-West.

Для любых правил Firewall можно создавать IP Sets — группы IP-адресов.

Edge Gateway Firewall

Правила Edge Gateway Firewall настраиваются на Edge-роутере. Всегда фильтруется трафик между сетями Edge-роутера и публичными сетями (North-South), а также трафик, который проходит через L3VPN. Настройку Edge Gateway Firewall требуется выполнять, если вы настраиваете доступ к интернету:

• через Edge-роутер и приватную подсеть;
• через Edge-роутер и публичную подсеть, если виртуальный дата-центр находится в кластере на новом типе сетевой инфраструктуры (NSX-T).

Фильтрация трафика между сетями, которые подключены к Edge-роутеру (трафик East-West), зависит от типа сетевой инфраструктуры кластера, в котором находится виртуальный дата-центр:

• старый тип (NSX-V) — трафик East-West фильтруется;
• новый тип (NSX-T) — трафик East-West не фильтруется. Чтобы фильтровать такой трафик, настройте Distributed Firewall.

В кластерах на новом типе сетевой инфраструктуры (NSX-T) Edge Gateway Firewall всегда включен. Стандартное правило default_rule блокирует весь трафик, пока вы не настроите Edge Gateway Firewall с другими правилами.

В кластерах на NSX-V аналогичное правило default rule for ingress traffic блокирует весь трафик, если Edge Gateway Firewall включен и не настроены другие правила. В таких кластерах Edge Gateway Firewall можно отключить.

Настроить Edge Gateway Firewall

1. Создайте IP Set.
2. Добавьте правило Edge Gateway Firewall.

Добавить правило Edge Gateway Firewall

Вы можете использовать примеры правил для доступа в интернет и из интернета.

Способ создания правила Firewall зависит от типа сетевой инфраструктуры кластера, в котором находится виртуальный дата-центр — старая (NSX-V) или новая (NSX-T).

NSX-V

1. Из панели управления откройте панель Cloud Director: в верхнем меню нажмите Продукты → Облако на базе VMware → раздел Cloud Director.

2. Откройте страницу виртуального дата-центра.

3. Перейдите в раздел Networking → Edges.

4. Откройте страницу нужного Edge.

5. Нажмите Services.

6. Откройте вкладку Firewall.

7. Чтобы правило включилось сразу после создания, включите тумблер Enabled.

8. Нажмите .

9. В поле Name введите название правила.

10. В поле Source настройте адреса источников:

    10.1. Нажмите .

    10.2. Если вы хотите выбрать все доступные адреса источников, оставьте значение Any.

    10.3. Если вы хотите выбрать адреса источников из IP Set или объектов другого типа, нажмите , в поле Browse objects of type выберите тип объектов, выберите объекты и нажмите → KEEP. Доступные типы объектов:

    • Gateway interfaces — все внутренние сети (Internal), все внешние сети (External) или все внешние и внутренние сети (Any);
    • Virtual machines — виртуальные машины;
    • OrgVdcNetworks — сети уровня организации;
    • IP Sets — группы IP-адресов;
    • Security Groups — группы безопасности.

    10.4. Если вы хотите выбрать отдельные IP-адреса источников, нажмите IP, введите IP-адрес и нажмите KEEP.

11. В поле Service настройте подключение:

    11.1. Если вы хотите выбрать все доступные протоколы и порты, оставьте значение Any.

    11.2. Если вы хотите выбрать определенные протоколы и порты, нажмите , настройте протокол и порты и нажмите KEEP.

12. В поле Action выберите действие, которое будет выполняться в правиле:

    • Accept — трафик будет разрешен;
    • Deny — трафик будет запрещен.

13. В поле Destination настройте адреса назначения:

    13.1. Нажмите .

    13.2. Если вы хотите выбрать все доступные адреса назначения, оставьте значение Any.

    13.3. Если вы хотите выбрать адреса назначения из IP Set или объектов другого типа, нажмите , в поле Browse objects of type выберите тип объектов, выберите объекты и нажмите → KEEP. Доступные типы объектов:

    • Gateway interfaces — все внутренние сети (Internal), все внешние сети (External) или все внешние и внутренние сети (Any);
    • Virtual machines — виртуальные машины;
    • OrgVdcNetworks — сети уровня организации;
    • IP Sets — группы IP-адресов;
    • Security Groups — группы безопасности.

    13.4. Если вы хотите выбрать отдельные IP-адреса источников, нажмите IP, введите IP-адрес и нажмите KEEP.

14. Нажмите Save changes.

NSX-T

1. Из панели управления откройте панель Cloud Director: в верхнем меню нажмите Продукты → Облако на базе VMware → раздел Cloud Director.

2. Откройте страницу виртуального дата-центра.

3. Перейдите в раздел Networking → Edges.

4. Откройте страницу нужного Edge.

5. Перейдите в подраздел Services → Firewall.

6. Нажмите NEW.

7. В поле Name введите имя правила.

8. Чтобы правило включилось сразу после создания, включите тумблер State.

9. В поле Application настройте подключение:

   9.1. Нажмите .

   9.2. На вкладке Applications включите тумблер Choose a specific application.

   9.3. Отметьте строку с нужным протоколом и портом подключения.

   9.4. Нажмите SAVE.

10. В поле Source настройте адреса источников:

    10.1. Нажмите .

    10.2. Если вы хотите выбрать все доступные адреса источников, включите тумблер Any Source.

    10.3. Если вы хотите выбрать адреса источников из IP Set, на вкладке Firewall Groups отметьте IP Set, который вы создали на этапе 1.

    10.4. Если вы хотите выбрать отдельные IP-адреса источников, на вкладке Firewall IP Addresses нажмите ADD и введите IP-адреса.

    10.5. Нажмите KEEP.

11. В поле Destination настройте адреса назначения:

    11.1. Нажмите .

    11.2. Если вы хотите выбрать все доступные адреса назначения, включите тумблер Any Destination.

    11.3. Если вы хотите выбрать адреса назначения из IP Set, на вкладке Firewall Groups отметьте IP Set, который вы создали на этапе 1.

    11.4. Если вы хотите выбрать отдельные IP-адреса назначения, на вкладке Firewall IP Addresses нажмите ADD и введите IP-адреса.

    11.5. Нажмите KEEP.

12. В поле Action выберите действие, которое будет выполняться в правиле:

    • Allow — трафик будет разрешен;
    • Drop — трафик будет запрещен, клиентам не будут отправляться уведомления о блокировке;
    • Reject — трафик будет запрещен, клиентам будут отправляться уведомления о блокировке.

13. В поле IP Protocol выберите тип IP-адресов, к которым будет применяться правило.

14. Нажмите SAVE.

Отключить Edge Gateway Firewall

к сведению

Отключить Edge Gateway Firewall можно только в кластерах на старом типе сетевой инфраструктуры (NSX-V).

1. Из панели управления откройте панель Cloud Director: в верхнем меню нажмите Продукты → Облако на базе VMware → раздел Cloud Director.
2. Откройте страницу виртуального дата-центра.
3. Перейдите в раздел Networking → Edges.
4. Откройте страницу нужного Edge.
5. Нажмите Services.
6. Откройте вкладку Firewall.
7. Выключите тумблер Enabled.

Пример правила для доступа в интернет

Доступ в интернет будет разрешен по любым протоколам серверу с IP-адресом, указанным в правиле.

Способ создания правила Firewall зависит от типа сетевой инфраструктуры кластера, в котором находится виртуальный дата-центр — старая (NSX-V) или новая (NSX-T).

NSX-V

1. Из панели управления откройте панель Cloud Director: в верхнем меню нажмите Продукты → Облако на базе VMware → раздел Cloud Director.

2. Откройте страницу виртуального дата-центра.

3. Перейдите в раздел Networking → Edges.

4. Откройте страницу нужного Edge.

5. Нажмите Services.

6. Откройте вкладку Firewall.

7. Чтобы правило включилось сразу после создания, включите тумблер Enabled.

8. Нажмите .

9. В поле Name введите название правила.

10. В поле Source настройте адрес источника:

    10.1. Нажмите IP.

    10.2. Введите IP-адрес сервера, которому будет разрешен доступ в интернет.

    10.3. Нажмите KEEP.

11. В поле Destination оставьте значение Any.

12. В поле Service оставьте значение Any.

13. В поле Action выберите Accept.

14. Нажмите Save changes.

NSX-T

1. Из панели управления откройте панель Cloud Director: в верхнем меню нажмите Продукты → Облако на базе VMware → раздел Cloud Director.

2. Откройте страницу виртуального дата-центра.

3. Перейдите в раздел Networking → Edges.

4. Откройте страницу нужного Edge.

5. Перейдите в подраздел *Services → Firewall.

6. Нажмите NEW.

7. В поле Name введите имя правила.

8. Чтобы правило включилось сразу после создания, включите тумблер State.

9. Поле Application оставьте пустым.

10. В поле Source настройте адрес источника:

    10.1. Нажмите .

    10.2. Откройте вкладку Firewall IP Addresses.

    10.3. Нажмите ADD.

    10.4. Введите IP-адрес сервера, которому будет разрешен доступ в интернет.

    10.5. Нажмите KEEP.

11. Поле Destination оставьте пустым.

12. В поле Action выберите Allow.

13. В поле IP Protocol выберите тип IP-адреса сервера.

14. Нажмите SAVE.

Пример правила для доступа из интернета

Доступ из интернета будет разрешен по ТСР-протоколу и порту 80 через внешний IP-адрес.

NSX-V

1. Из панели управления откройте панель Cloud Director: в верхнем меню нажмите Продукты → Облако на базе VMware → раздел Cloud Director.

2. Откройте страницу виртуального дата-центра.

3. Перейдите в раздел Networking → Edges.

4. Откройте страницу нужного Edge.

5. Нажмите Services.

6. Откройте вкладку Firewall.

7. Чтобы правило включилось сразу после создания, включите тумблер Enabled.

8. Нажмите .

9. В поле Name введите название правила.

10. В поле Source оставьте значение Any.

11. В поле Destination настройте адрес назначения:

    11.1. Нажмите IP.

    11.2. Введите внешний IP-адрес, через который будет разрешен доступ из интернета.

    11.3. Нажмите KEEP.

12. В поле Service настройте протокол и порт:

    12.1. Нажмите .

    12.2. В поле Protocol выберите TCP.

    12.3. В поле Source Port введите 80.

    12.4. В поле Destination Port оставьте значение any.

    12.5. Нажмите KEEP.

13. В поле Action выберите Accept.

14. Нажмите Save changes.

NSX-T

1. Из панели управления откройте панель Cloud Director: в верхнем меню нажмите Продукты → Облако на базе VMware → раздел Cloud Director.

2. Откройте страницу виртуального дата-центра.

3. Перейдите в раздел Networking → Edges.

4. Откройте страницу нужного Edge.

5. Перейдите в подраздел Services → Firewall.

6. Нажмите NEW.

7. В поле Name введите имя правила.

8. Чтобы правило включилось сразу после создания, включите тумблер State.

9. Поле Application настройте протокол и порт:

   9.1. Нажмите .

   9.2. Откройте вкладку Raw Port-Protocols.

   9.3. Нажмите ADD.

   9.4. В поле Type выберите TCP.

   9.5. В поле Source Ports введите 80.

   9.6. Поле Destination Ports оставьте пустым.

   9.7. Нажмите SAVE.

10. Поле Source оставьте пустым.

11. В поле Destination настройте адрес назначения:

    11.1. Нажмите .

    11.2. Откройте вкладку Firewall IP Addresses.

    11.3. Нажмите ADD.

    11.4. Введите внешний IP-адрес, через который будет разрешен доступ из интернета.

    11.5. Нажмите KEEP.

12. В поле Action выберите Allow.

13. В поле IP Protocol выберите тип IP-адреса сервера.

14. Нажмите SAVE.

Distributed Firewall

к сведению

Distributed Firewall можно настроить только в кластерах на новом типе сетевой инфраструктуры (NSX-T).

Distributed Firewall (DFW) — распределенный межсетевой экран, который настраивается для группы виртуальных дата-центров. Фильтрует трафик между сетями Edge-роутера и публичными сетями (North-South), а также East-West трафик между виртуальными машинами без использования Edge-роутера.

Для начала работы настройте Distributed Firewall. После настройки вы можете добавлять дополнительные правила, отключать правила или отключать Distributed Firewall полностью.

Настроить Distributed Firewall

1. Создайте группу виртуальных дата-центров.
2. Включите Distributed Firewall.
3. Создайте IP Sets.
4. Добавьте правила Distributed Firewall.

Включить Distributed Firewall

При включении Distributed Firewall автоматически создается правило по умолчанию, которое разрешает внутренний трафик между виртуальными дата-центрами.

1. Убедитесь, что у вас создана группа виртуальных дата-центров.
2. Из панели управления откройте панель Cloud Director: в верхнем меню нажмите Продукты → Облако на базе VMware → раздел Cloud Director.
3. Откройте вкладку Networking → Data Center Groups.
4. Откройте страницу группы виртуальных дата-центров → раздел General.
5. В блоке Distributed Firewall нажмите ACTIVATE DISTRIBUTED FIREWALL.
6. Нажмите ACTIVATE DISTRIBUTED FIREWALL.

Добавить правило Distributed Firewall

1. Из панели управления откройте панель Cloud Director: в верхнем меню нажмите Продукты → Облако на базе VMware → раздел Cloud Director.

2. Откройте вкладку Networking → Data Center Groups.

3. Откройте страницу группы виртуальных дата-центров → раздел DISTRIBUTED FIREWALL.

4. Нажмите NEW.

5. В поле Name введите имя правила.

6. Чтобы правило включилось сразу после создания, включите тумблер State.

7. Опционально: в поле Applications настройте порт назначения виртуальной машины:

   7.1. Нажмите .

   7.2. Включите тумблер Choose a specific application.

   7.3. Отметьте нужный порт.

   7.4. Нажмите SAVE.

8. Опционально: в поле Context выберите контекстный профиль:

   8.1. Нажмите .

   8.2. Включите тумблер Choose a specific profile.

   8.3. Отметьте нужный профиль.

   8.4. Нажмите SAVE.

9. В поле Source настройте адреса источников:

   9.1. Нажмите .

   9.2. Если вы хотите выбрать все доступные адреса источников, включите тумблер Any Source.

   9.3. Если вы хотите выбрать адреса источников из IP Set, на вкладке Firewall Groups отметьте IP Set, который вы создали на этапе 1.

   9.4. Если вы хотите выбрать отдельные IP-адреса источников, на вкладке Firewall IP Addresses нажмите ADD и введите IP-адреса.

   9.5. Нажмите KEEP.

10. В поле Destination настройте адреса назначения:

    10.1. Нажмите .

    10.2. Если вы хотите выбрать все доступные адреса назначения, включите тумблер Any Destination.

    10.3. Если вы хотите выбрать адреса назначения из IP Set, на вкладке Firewall Groups отметьте IP Set, который вы создали на этапе 1.

    10.4. Если вы хотите выбрать отдельные IP-адреса назначения, на вкладке Firewall IP Addresses нажмите ADD и введите IP-адреса.

    10.5. Нажмите KEEP.

11. В поле Action выберите действие, которое будет выполняться в правиле:

    • Allow — трафик будет разрешен;
    • Drop — трафик будет запрещен, клиентам не будут отправляться уведомления о блокировке;
    • Reject — трафик будет запрещен, клиентам будут отправляться уведомления о блокировке.

12. В поле IP Protocol выберите тип IP-адресов, к которым будет применяться правило.

13. Опционально: чтобы записывать логи фильтрации, включите тумблер Enable logging.

14. Нажмите SAVE.

Отключить правила Distributed Firewall

Отключенные правила удалены не будут, их можно включить позже.

Отключить все правила

При отключении всех правил Distributed Firewall трафик перестанет фильтроваться.

1. Из панели управления откройте панель Cloud Director: в верхнем меню нажмите Продукты → Облако на базе VMware → раздел Cloud Director.
2. Откройте вкладку Networking → Data Center Groups.
3. Откройте страницу группы виртуальных дата-центров → раздел DISTRIBUTED FIREWALL.
4. В поле Default Policy Status нажмите DISABLE.

Отключить одно правило

Нельзя отдельно отключить правило, которое создано по умолчанию при включении Distributed Firewall. Оно отключается только при отключении всех правил.

1. Из панели управления откройте панель Cloud Director: в верхнем меню нажмите Продукты → Облако на базе VMware → раздел Cloud Director.
2. Откройте вкладку Networking → Data Center Groups.
3. Откройте страницу группы виртуальных дата-центров → раздел DISTRIBUTED FIREWALL.
4. Нажмите EDIT RULES.
5. В строке правила нажмите .
6. В столбце State выключите тумблер.

Отключить Distributed Firewall

При отключении Distributed Firewall трафик перестанет фильтроваться и созданные правила будут безвозвратно удалены.

1. Отключите все правила Distributed Firewall.
2. Из панели управления откройте панель Cloud Director: в верхнем меню нажмите Продукты → Облако на базе VMware → раздел Cloud Director.
3. Откройте вкладку Networking → Data Center Groups.
4. Откройте страницу группы виртуальных дата-центров → раздел General.
5. В блоке Distributed Firewall нажмите ACTIVATE DISTRIBUTED FIREWALL.
6. Нажмите DEACTIVATE DISTRIBUTED FIREWALL.

Создать IP Set

IP Set — это группа IP-адресов, к которым применяются правила Firewall. Объединение IP-адресов в IP Set позволяет не создавать отдельное правило для каждого IP-адреса. Вы можете создать несколько IP Sets и использовать их в разных правилах Firewall или в одном правиле для источников и адресов назначений.

Способ создания IP Set зависит от типа сетевой инфраструктуры кластера, в котором находится виртуальный дата-центр — старая (NSX-V) или новая (NSX-T).

NSX-V

1. Из панели управления откройте панель Cloud Director: в верхнем меню нажмите Продукты → Облако на базе VMware → раздел Cloud Director.

2. Откройте страницу виртуального дата-центра.

3. Перейдите в раздел Networking → Edges.

4. Откройте страницу нужного Edge.

5. Нажмите Services.

6. Откройте вкладку Grouping object → IP Sets.

7. Нажмите .

8. Настройте IP Set:

   8.1. В поле Name введите название группы.

   8.2. В поле IP Addresses введите IP-адреса или их диапазоны.

   8.3. Нажмите Keep.

NSX-T

1. Из панели управления откройте панель Cloud Director: в верхнем меню нажмите Продукты → Облако на базе VMware → раздел Cloud Director.

2. Откройте страницу виртуального дата-центра.

3. Перейдите в раздел Networking → Edges.

4. Откройте страницу нужного Edge.

5. Перейдите в подраздел Security → IP Sets.

6. Нажмите NEW.

7. Настройте IP Set:

   7.1. В поле Name введите название группы.

   7.2. В поле IP Addresses введите IP-адрес или диапазон IP-адресов.

   7.3. Нажмите ADD.

   7.4. Опционально: чтобы добавить еще один IP-адрес или диапазон, повторите шаги 7.2-7.3.

   7.5. Нажмите SAVE.