Tag: NSX

NSX-T 3.0 już jest!

Posted on 9 kwietnia, 2020 in NSX

Trzy dni temu na świat wyszła nowa wersja NSX-t 3.0 w niej jest sporo nowości, tym wpisem rozpocznę je opisywać. Ale teraz ogólna zajawka co znajdziemy w nowej wersji. Już jest u mnie w labie i powoli poznaję nowe funkcje.

NSX Federacja

Dzięki temu rozwiązaniu będziemy mogli zarządzań rozproszonym środowisku np. wile Data Center czy chmurą. Rozwiązanie to wprowadza kolejną instancję NSX Managera tzw Global Managera(GM). Rysunek poglądowy poniżej:

Rozwiązanie to prowadza łatwiejsze rozciąganie warstwy 2 oraz wprowadza routing dla tych sieci. Wracamy trochę do technologi uniwersalnych routerów takie jak było w V-ce ale jest duża różnica. Niebawem szczegóły.
IDS/IPS

VMware zaczyna wprowadzać więcej rozwiązań bezpieczeństwa na pierwszy ogień jest to IDS w wersji dystrybucyjnej. Na każdym hoście jest uruchamiany silnik IDS który wykrywa podatności. W 3.0 mamy IDS ale VMware mówi że już nie długo będzie to IPS wszystko małymi kroczkami.
Url Filtering

Tutaj mamy wsparcie do ULR Fiteringu w dostępie do Internetu. Niebawem więcej
VRF Lilte

Wraz z nową wersją tak jak tematy bezpieczeństwa pojawiają się tematy które do tej pory bardziej były znane i wymagane dla ISP VRF’y czy eVPN w tej chwili VMware zaczyna wprowadzać je do swoich rozwiązań. Niebawem sprawdzę czy faktycznie wszystko działa tak jak wygląda na prezentacjach.
NVDS wraca do DVS

Tutaj jest większa zależność od vSphere 7.0 który wprowadza nową wersję DVS 7.0 który natywnie integruje się z NSX’em już nie będziemy musieli dedykować portów do NVDS’a. Jest to pierwsza opcja którą sprawdziłem w labie i faktycznie działa. Przy wykorzystaniu DVS’a musimy mieć vCenter.
Service chaining

Możliwość budowania chainingu dla ruchu północ-południe z wykorzystaniem 3party PaloAlto, Fortinet
Windows 2016

W 3.0 jest zapowiedź, NSX zaczyna wspierać MS Windows 2016 dla Firewalla dystrybucyjnego zobaczmy jak to jest faktycznie.
Więcej na Infografice

Linki

Tags: NSX, NSX-T, NSX-T 3.0, vmware

NSX-t IPSec Route base

Posted on 26 marca, 2020 in NSX, Vmware, Vyos

W dzisiejszym wpisie przedstawię konfigurację NSX-t IPSec Route base, jest to opis krok po kroku jak skonfigurować IPseca po stronie NSX’a oraz Vyos który będzie uczestnikiem IPseca.

Założenia

Poniżej rysunek poglądowy jak wygląda topologia połączeń.
Pomiędzy routerem T0 i chmurką już istnieje połączenie oraz jest zestawione sąsiedztwo BGP w celu dostępu do sieci “Internet” na powyższym rysunku chmurki
Parametry połączenia:

IKE
IKE wersja	v2
Encryption Algorithm	AES 256
Digest Algorithm	SHA2 256
Diffie-Hellman	Grupa 5
SA Lifetime (sec)	86400

IPSec
Encryption Algorithm	AES 256
Digest Algorithm	SHA2 256
PFS Group	yes
Diffie-Hellman	Grupa 5
SA Lifetime (sec)	3600

Konfiguracja NSX-t

Konfiguracja połączenie IPSEC

Logujemy się do NSX Managera
Przechodzimy do Networking następnie VPN
Skonfigurujemy profile dla IKE,IPSec przechodząc do Profiles
wybieramy IKE-Profiles następnie IKE ADD Profile, w nowym oknie podajemy parametry konfiguracyjne które zostały zebrane powyżej w tabelce oraz podajemy nazwę dla profilu. Po zakończeniu wprowadzaniu zapisujemy profil.
Kolejnym krokiem jest dodanie profilu dla IPSeca, Wybieramy IPSEC Profiles i następnie ADD IPSEC Profile w nowym oknie podajemy nazwę dla niego oraz parametry z tabelki powyżej.
Ostatnim profilem do utworzenie jest profil DPD, wybieramy DPD Profiles i ADD DPD Profile, w nowym oknie podajemy nazwę oraz zostawiamy 60 secund.
Po skonfigurowaniu profilu dla IKE i IPSec oraz DPD przechodzimy do konfiguracji VPN Service robimy to przechodząc do VPN Services gdzie klikamy na ADD Service i wybieramy IPSEC. W nowym oknie podajemy nazwę oraz wybieramy na który gateway ma zostać uruchomiony serwis odpowiedzialny za IPSeca w naszym przypadku będzie to T0.
W tym kroku przechodzimy do konfiguracji LOCAL EDNPOINTS klikamy ADD LOCAL ENDPOINT w tym miejscu skonfigurujemy adres z którego oraz do którego będziemy nawiązywać sesję IPSec.
Przyszedł na ostatni krok konfiguracji IPSec przechodzimy do IPSEC SESION wybieramy Route Based.
W nowym okniekonfigurujemy naszą sesję IPSec podajemy dane:
Nazwa – dowolna nazwa dla sesji.
VPN Service – wybieramy wcześniej zdefiniowany profil.
Local Endpoint – podobnie wybieramy profil który wcześniej skonfigurowaliśmy.
Remote IP – podajemy adres IP partnera z którym będziemy nawiązywać sesję IPSec.
Authentication Mode – w naszym przypadku wybieramy PSK może kiedyś zrobię opis na certach :-).
Pre-shared Key – podajemy nasz klucz PSK
Tunnel Interface – podajemy ip dla naszego interfejsu tunel w naszym przypadku jest to 100.100.10.1/30 musi być podana maska min 31.
Remote ID – podajemy zakończenie tunelu po drugiej stronie, zgodnie z założeniami jest to 2.2.2.2
Do kolejnych ustawień przechodzimy klikając Advanced Properties gdzie dalej podajemy parametry naszego połączenia:
IKE Profiles – wybieramy utworzony przez nas profil IKE.
IPSec Profiles – wybieramy utworzony przez nas profil dla IPSec.
DPD Profiles – wybieramy utworzony profil dla DPD.
Connection Initiation – określmy rolę w naszym przypadku zostawiamy bez zmiany.
Parametry nie wymienione zostawiamy bez zmian.
Po wyższych krokach mam skonfigurowane parametry dla IPSeca Rouet Base.

Konfiguracja Routingu w NSX

W tej sekcji dowiesz się jak skonfigurować redystrybucję adres Local Endpoint oraz jak zestawić BGP.

Konfiguracja redystrybucji

Aby poprawnie zestawić połączenie IPSec przydało by się do naszej chmurki która jest pokazana na rysunku na początku wpisu rozgłosić adres Local Endpoint a robimy to tak:

Przechodzimy do Networking następnie do Tier0 wybieramy nasz router T0 i przechodzimy do jego edycji.
Przechodzimy do ROUTE RE-DISTRIBUTION klikamy na cyfrę w przy Route Re-Distribution.
W nowym oknie zaznaczamy IPSec Local IP i klikamy Apply.
Na koniec zapisujemy oraz klikamy close editing i temat ten mamy za sobą.

Konfiguracja BGP pomiędzy NSX a Vyos

W IPSec route base protokół routingu jest odpowiedzialny za ustalenie pomiędzy jakimi sieciami ma nastąpić szyfrowanie w kanale IPSec. W NSX-t mamy do dyspozycji dwa protokoły routingu jest to statk oraz BGP w tym punkcie skupię się właśnie nad poczciwym BGP’em.

Aby skonfigurować sesję BGP przechodzimy do Networking następnie do Tier0 wybieramy nasz router T0 i przechodzimy do jego edycji
Tam przechodzimy do sesji BGP, gdzie jest to pierwsza sesja BGP konfigurujemy:
Local AS – w labie oraz DC wybieramy coś z puli privet AS
resztę parametrów zostawiamy bez zmian w labie, w DC można podkręcić czasy sesji BGP
Tutaj już mamy to skonfigurowane bo mamy sesję do mojej chmurki
W kolejnym ważnym krokiem jest skonfigurowanie sąsiedztwa BGP aby to zrobić przechodzimy do BGP Neighbors. W tym przypadku dodajemy kolejne sąsiedztwo.
W nowym oknie dodajemy nowego sąsiada gdzie podajemy parametry do skonfigurowania
IP Address – podajemy adres ip sąsiada w naszym przypadku jest to 100.100.10.2
Remote AS – Podajemy numer AS sąsiada w naszym przypadku jest to 65555
Source Addresses – podajemy nasz adres 100.100.10.1
IP Address Family – wybieramy IPv4
Klikamy Save i mamy skonfigurowane po stronie NSX’a BGP

Aby wszystko zadziałało musimy skonfigurować naszego sąsiad czyli przechodzimy do konfiguracji Vyos,

Konfiguracja Vyos

Jak to było w piosence “do tanga trzeba dwojga” w tym przypadku partnerem dla NSX będzie Vyos na którym poniżej przedstawię jak skonfigurować IPSec route Based oraz BGP. Nie będę pokazywał podstawowej konfiguracji tylko skupię się na omawianych zagadnieniach. Cała konfiguracja jest wykonywana z poziomy SSH. W tym labie wykorzystuję wersję trochę starą bo jest to 1.3

Konfiguracja połączenie IPSEC w Vyos

Logujemy się do naszego Vyos po ssh

Przechodzimy do konfiguracji i konfigurujemy nasz profil dla fazy 1 zgodnie z założeniami


vyos@vyos01:~$ configure 
[edit]
vyos@vyos01# set vpn ipsec esp-group NSX-T lifetime '3600'
[edit]
vyos@vyos01# set vpn ipsec esp-group NSX-T mode 'tunnel'
[edit]
vyos@vyos01# set vpn ipsec esp-group NSX-T pfs 'dh-group5'
[edit]
vyos@vyos01# set vpn ipsec esp-group NSX-T proposal 1 encryption 'aes256'  
[edit]
vyos@vyos01# set vpn ipsec esp-group NSX-T proposal 1 hash 'sha256'
[edit]
vyos@vyos01#

vyos@vyos01:~$ configure

[edit]

vyos@vyos01# set vpn ipsec esp-group NSX-T lifetime '3600'

[edit]

vyos@vyos01# set vpn ipsec esp-group NSX-T mode 'tunnel'

[edit]

vyos@vyos01# set vpn ipsec esp-group NSX-T pfs 'dh-group5'

[edit]

vyos@vyos01# set vpn ipsec esp-group NSX-T proposal 1 encryption 'aes256'

[edit]

vyos@vyos01# set vpn ipsec esp-group NSX-T proposal 1 hash 'sha256'

[edit]

vyos@vyos01#

czysta konfiguracja same komendy


set vpn ipsec esp-group NSX-T lifetime '3600'
set vpn ipsec esp-group NSX-T mode 'tunnel'
set vpn ipsec esp-group NSX-T pfs 'dh-group5'
set vpn ipsec esp-group NSX-T proposal 1 encryption 'aes256'
set vpn ipsec esp-group NSX-T proposal 1 hash 'sha256'

set vpn ipsec esp-group NSX-T lifetime '3600'

set vpn ipsec esp-group NSX-T mode 'tunnel'

set vpn ipsec esp-group NSX-T pfs 'dh-group5'

set vpn ipsec esp-group NSX-T proposal 1 encryption 'aes256'

set vpn ipsec esp-group NSX-T proposal 1 hash 'sha256'

Następnie profil dla fazy 2


[edit]
vyos@vyos01# set vpn ipsec ike-group NSX-T ikev2-reauth 'yes'
[edit]
vyos@vyos01# set vpn ipsec ike-group NSX-T key-exchange 'ikev2'
[edit]
vyos@vyos01# set vpn ipsec ike-group NSX-T lifetime '86400'
[edit]
vyos@vyos01# set vpn ipsec ike-group NSX-T proposal 1 dh-group '5'
[edit]
vyos@vyos01# set vpn ipsec ike-group NSX-T proposal 1 encryption 'aes256'
[edit]
vyos@vyos01# set vpn ipsec ike-group NSX-T proposal 1 hash 'sha256'
[edit]
vyos@vyos01#

[edit]

vyos@vyos01# set vpn ipsec ike-group NSX-T ikev2-reauth 'yes'

[edit]

vyos@vyos01# set vpn ipsec ike-group NSX-T key-exchange 'ikev2'

[edit]

vyos@vyos01# set vpn ipsec ike-group NSX-T lifetime '86400'

[edit]

vyos@vyos01# set vpn ipsec ike-group NSX-T proposal 1 dh-group '5'

[edit]

vyos@vyos01# set vpn ipsec ike-group NSX-T proposal 1 encryption 'aes256'

[edit]

vyos@vyos01# set vpn ipsec ike-group NSX-T proposal 1 hash 'sha256'

[edit]

vyos@vyos01#

Profil dla DPD


[edit]
vyos@vyos01# set vpn ipsec ike-group NSX-T dead-peer-detection action 'restart'
[edit]
vyos@vyos01# set vpn ipsec ike-group NSX-T dead-peer-detection interval '15'
[edit]
vyos@vyos01# set vpn ipsec ike-group NSX-T dead-peer-detection timeout '60'

[edit]

vyos@vyos01# set vpn ipsec ike-group NSX-T dead-peer-detection action 'restart'

[edit]

vyos@vyos01# set vpn ipsec ike-group NSX-T dead-peer-detection interval '15'

[edit]

vyos@vyos01# set vpn ipsec ike-group NSX-T dead-peer-detection timeout '60'

same komendy


set vpn ipsec ike-group NSX-T dead-peer-detection action 'restart'
set vpn ipsec ike-group NSX-T dead-peer-detection interval '15'
set vpn ipsec ike-group NSX-T dead-peer-detection timeout '60'

set vpn ipsec ike-group NSX-T dead-peer-detection action 'restart'

set vpn ipsec ike-group NSX-T dead-peer-detection interval '15'

set vpn ipsec ike-group NSX-T dead-peer-detection timeout '60'

Tworzymy interfejs tunelowy oraz nadajemy jemu adres ip zgodnie z założeniami

Shell

[edit] vyos@vyos01# set interfaces vti vti1 address '100.100.10.2/30'

1
2
3
4

[edit]
vyos@vyos01# set interfaces vti vti1 address '100.100.10.2/30'

Konfiguracja IPSeca


[edit]
vyos@vyos01# set vpn ipsec site-to-site peer 1.1.1.1 authentication id '2.2.2.2'
[edit]
vyos@vyos01# set vpn ipsec site-to-site peer 1.1.1.1 authentication mode 'pre-shared-secret'
[edit]
vyos@vyos01# set vpn ipsec site-to-site peer 1.1.1.1 authentication pre-shared-secret 'de%b/B\7$*[rV*S%Pk(D'
[edit]
vyos@vyos01# set vpn ipsec site-to-site peer 1.1.1.1 ike-group 'NSX-T'
[edit]
vyos@vyos01# set vpn ipsec site-to-site peer 1.1.1.1 ikev2-reauth 'inherit'
[edit]
vyos@vyos01# set vpn ipsec site-to-site peer 1.1.1.1 local-address '2.2.2.2'
[edit]
vyos@vyos01# set vpn ipsec site-to-site peer 1.1.1.1 vti bind 'vti1'
[edit]
vyos@vyos01# set vpn ipsec site-to-site peer 1.1.1.1 vti esp-group 'NSX-T'
[edit]
vyos@vyos01#

[edit]

vyos@vyos01# set vpn ipsec site-to-site peer 1.1.1.1 authentication id '2.2.2.2'

[edit]

vyos@vyos01# set vpn ipsec site-to-site peer 1.1.1.1 authentication mode 'pre-shared-secret'

[edit]

vyos@vyos01# set vpn ipsec site-to-site peer 1.1.1.1 authentication pre-shared-secret 'de%b/B\7$*[rV*S%Pk(D'

[edit]

vyos@vyos01# set vpn ipsec site-to-site peer 1.1.1.1 ike-group 'NSX-T'

[edit]

vyos@vyos01# set vpn ipsec site-to-site peer 1.1.1.1 ikev2-reauth 'inherit'

[edit]

vyos@vyos01# set vpn ipsec site-to-site peer 1.1.1.1 local-address '2.2.2.2'

[edit]

vyos@vyos01# set vpn ipsec site-to-site peer 1.1.1.1 vti bind 'vti1'

[edit]

vyos@vyos01# set vpn ipsec site-to-site peer 1.1.1.1 vti esp-group 'NSX-T'

[edit]

vyos@vyos01#

same komendy które zostały użyte powyżej


set vpn ipsec site-to-site peer 1.1.1.1 authentication id '2.2.2.2'
set vpn ipsec site-to-site peer 1.1.1.1 authentication mode 'pre-shared-secret'
set vpn ipsec site-to-site peer 1.1.1.1 authentication pre-shared-secret 'de%b/B\7$*[rV*S%Pk(D'
set vpn ipsec site-to-site peer 1.1.1.1 ike-group 'NSX-T'
set vpn ipsec site-to-site peer 1.1.1.1 ikev2-reauth 'inherit'
set vpn ipsec site-to-site peer 1.1.1.1 local-address '2.2.2.2'
set vpn ipsec site-to-site peer 1.1.1.1 vti bind 'vti1'
set vpn ipsec site-to-site peer 1.1.1.1 vti esp-group 'NSX-T'

set vpn ipsec site-to-site peer 1.1.1.1 authentication id '2.2.2.2'

set vpn ipsec site-to-site peer 1.1.1.1 authentication mode 'pre-shared-secret'

set vpn ipsec site-to-site peer 1.1.1.1 authentication pre-shared-secret 'de%b/B\7$*[rV*S%Pk(D'

set vpn ipsec site-to-site peer 1.1.1.1 ike-group 'NSX-T'

set vpn ipsec site-to-site peer 1.1.1.1 ikev2-reauth 'inherit'

set vpn ipsec site-to-site peer 1.1.1.1 local-address '2.2.2.2'

set vpn ipsec site-to-site peer 1.1.1.1 vti bind 'vti1'

set vpn ipsec site-to-site peer 1.1.1.1 vti esp-group 'NSX-T'

Na koniec wykonujemy commit

Shell

[edit] vyos@vyos01# commit [edit] vyos@vyos01#

1
2
3
4
5
6

[edit]
vyos@vyos01# commit
[edit]
vyos@vyos01#

Konfiguracja BGP w Vyos

Po skonfigurowaniu IPSeca przechodzimy do konfiguracji sesji BGP, poniżej bardzo szybki config.


[edit]
vyos@vyos01# set protocols bgp 65555 
[edit]
vyos@vyos01# set protocols bgp 65555 neighbor 100.100.10.1 remote-as 65502 
[edit]
vyos@vyos01# set protocols bgp 65555 neighbor 100.100.10.1 update-source 100.100.10.2 
[edit]
vyos@vyos01# set protocols bgp 65555 address-family ipv4-unicast redistribute connected
[edit]
vyos@vyos01# commit
[edit]
vyos@vyos01#

[edit]

vyos@vyos01# set protocols bgp 65555

[edit]

vyos@vyos01# set protocols bgp 65555 neighbor 100.100.10.1 remote-as 65502

[edit]

vyos@vyos01# set protocols bgp 65555 neighbor 100.100.10.1 update-source 100.100.10.2

[edit]

vyos@vyos01# set protocols bgp 65555 address-family ipv4-unicast redistribute connected

[edit]

vyos@vyos01# commit

[edit]

vyos@vyos01#

same komendy:


set protocols bgp 65555 address-family ipv4-unicast redistribute connected
set protocols bgp 65555 neighbor 100.100.10.1 remote-as '65502'
set protocols bgp 65555 neighbor 100.100.10.1 update-source '100.100.10.2'

set protocols bgp 65555 address-family ipv4-unicast redistribute connected

set protocols bgp 65555 neighbor 100.100.10.1 remote-as '65502'

set protocols bgp 65555 neighbor 100.100.10.1 update-source '100.100.10.2'

Weryfikacja

Po czasie konfiguracji NSXa i jak Vyos przyszedł czas na weryfikację naszej pracy.

Sprawdzenie po stronie NSX

IPSEC

logujemy się po SSH do Edga na którym jest nasze T0

sprawdzamy sesję ike wykonując komendę get ipsecvpn ikesa active


nsx-edge-01> get ipsecvpn ikesa active 
    Total Number of Active IKE SAs: 1

    IKE Version              : IKEv2
    IKE Status               : Up
    IKE Session ID           : 6
    Session Name             : Tunnel-b522b518-59347c2-810b64c9-f60cccf2
    Session Type             : Route Based
    
    IKE SPI Initiator        : 0x0e35db0e3da6b2d7
    IKE SPI Responder        : 0x0402b472d9a26732
    Role                     : Initiator
    
    Number of Child SA Pairs : 2
    Created Timestamp        : 2020-03-26 11:12:09
    IKE SA Uptime            : 425 sec
    IKE SA Lifetime          : 86400 sec
    DPD Probe Interval       : 60 sec
    
    IP Address:
      Local                  : 1.1.1.1
      Remote                 : 2.2.2.2
    
    Identity:
      Local                  : 1.1.1.1 (ipv4)
      Remote                 : 2.2.2.2 (ipv4)
    
    Algorithm:
      Encryption             : aes256-cbc
      Authentication         : hmac-sha256-128
      PRF                    : hmac-sha256
    DH Group                 : 5
    
    Authentication Method    : Pre-shared key
    ----------------------------------------

nsx-edge-01> get ipsecvpn ikesa active

Total Number of Active IKE SAs: 1

IKE Version : IKEv2

IKE Status : Up

IKE Session ID : 6

Session Name : Tunnel-b522b518-59347c2-810b64c9-f60cccf2

Session Type : Route Based

IKE SPI Initiator : 0x0e35db0e3da6b2d7

IKE SPI Responder : 0x0402b472d9a26732

Role : Initiator

Number of Child SA Pairs : 2

Created Timestamp : 2020-03-26 11:12:09

IKE SA Uptime : 425 sec

IKE SA Lifetime : 86400 sec

DPD Probe Interval : 60 sec

IP Address:

Local : 1.1.1.1

Remote : 2.2.2.2

Identity:

Local : 1.1.1.1 (ipv4)

Remote : 2.2.2.2 (ipv4)

Algorithm:

Encryption : aes256-cbc

Authentication : hmac-sha256-128

PRF : hmac-sha256

DH Group : 5

Authentication Method : Pre-shared key

----------------------------------------

Weryfikujemy całego IPSeca wykonując komendę get ipsecvpn session


nsx-edge-01> get ipsecvpn session 
Total Number of Sessions: 1

IKE Session ID   : 6
UUID             : b522b518-0593-47c2-810b-64c9f60cccf2
SR ID            : 74816ace-6bb1-4f82-b845-97a41c517c41
Type             : Route
Auth Mode        : PSK
Compliance Suite : NONE

Local IP         : 1.1.1.1            Peer IP          : 2.2.2.2
Local ID         : 1.1.1.1            Peer ID          : 2.2.2.2
Session Status   : Up

Policy Rules
    VTI UUID         : 9b519fea-7754-40e4-8a81-22e794d0b12a
    ToRule ID        : 176235239          FromRule ID      : 2323718887
    Local Subnet     : 0.0.0.0/0          Peer Subnet      : 0.0.0.0/0
    Tunnel Status    : Up


------------------------------------------------------------------------------------------

nsx-edge-01> get ipsecvpn session

Total Number of Sessions: 1

IKE Session ID : 6

UUID : b522b518-0593-47c2-810b-64c9f60cccf2

SR ID : 74816ace-6bb1-4f82-b845-97a41c517c41

Type : Route

Auth Mode : PSK

Compliance Suite : NONE

Local IP : 1.1.1.1 Peer IP : 2.2.2.2

Local ID : 1.1.1.1 Peer ID : 2.2.2.2

Session Status : Up

Policy Rules

VTI UUID : 9b519fea-7754-40e4-8a81-22e794d0b12a

ToRule ID : 176235239 FromRule ID : 2323718887

Local Subnet : 0.0.0.0/0 Peer Subnet : 0.0.0.0/0

Tunnel Status : Up

------------------------------------------------------------------------------------------

Weryfikujemy jak wyglądają statystyki czy zmieniają się wykonując komendę get ipsecvpn tunnel stats


nsx-edge-01> get ipsecvpn tunnel stats 
Interface UID                      : 324
Interface UUID                     : 9b519fea-7754-40e4-8a81-22e794d0b12a
VTI UUID                           : 9b519fea-7754-40e4-8a81-22e794d0b12a

Stats
    Rx Pkts                            : 248           Tx Pkts                            : 399
    Rx Bytes                           : 16153         Tx Bytes                           : 50820
    Rx MSS Adjusted                    : 0             Tx MSS Adjusted                    : 0
    Rx MSS Ignored                     : 0             Tx MSS Ignored                     : 0
    Rx Drops                           : 1             Tx Drops                           : 0
    Rx Drop Crypto Failure             : 0             Tx Drop Crypto Failure             : 0
    Rx Drop State Mismatch             : 0             Tx Drop State Mismatch             : 0
    Rx Drop Malformed                  : 0             Tx Drop Malformed                  : 0
    Rx Drop Proto Not Supported        : 0             Tx Drop Proto Not Supported        : 0
    Rx Drop Replay                     : 0             Tx Drop Seq Rollover               : 0
    Rx Drop Inner Malformed            : 0             Tx Drop Fragmentation Needed       : 0
    Rx Drop Policy Nomatch             : 0             Rekey Request Failure              : 0
    Rx Drop Auth Failure               : 0

nsx-edge-01> get ipsecvpn tunnel stats

Interface UID : 324

Interface UUID : 9b519fea-7754-40e4-8a81-22e794d0b12a

VTI UUID : 9b519fea-7754-40e4-8a81-22e794d0b12a

Stats

Rx Pkts : 248 Tx Pkts : 399

Rx Bytes : 16153 Tx Bytes : 50820

Rx MSS Adjusted : 0 Tx MSS Adjusted : 0

Rx MSS Ignored : 0 Tx MSS Ignored : 0

Rx Drops : 1 Tx Drops : 0

Rx Drop Crypto Failure : 0 Tx Drop Crypto Failure : 0

Rx Drop State Mismatch : 0 Tx Drop State Mismatch : 0

Rx Drop Malformed : 0 Tx Drop Malformed : 0

Rx Drop Proto Not Supported : 0 Tx Drop Proto Not Supported : 0

Rx Drop Replay : 0 Tx Drop Seq Rollover : 0

Rx Drop Inner Malformed : 0 Tx Drop Fragmentation Needed : 0

Rx Drop Policy Nomatch : 0 Rekey Request Failure : 0

Rx Drop Auth Failure : 0

BGP

Podobnie jak wyżej wykorzystujemy połączenie ssh do EDGE

sprawdzamy jaki id VRF ma nasz router T0 moduł serwisowy wykonując komendę


nsx-edge-01> get logical-router
Logical Router
UUID                                   VRF    LR-ID  Name                              Type                        Ports  
736a80e3-23f6-5a2d-81d6-bbefb2786666   0      0                                        TUNNEL                      4      
f6badcc6-614e-4af3-bd27-50dc411e3a96   1      3      DR-t1                             DISTRIBUTED_ROUTER_TIER1    5      
74816ace-6bb1-4f82-b845-97a41c517c41   2      2      SR-test                           SERVICE_ROUTER_TIER0        6      
a749186b-2250-486d-9cdc-00862a6b1a92   3      4      SR-t1                             SERVICE_ROUTER_TIER1        5      
043a4cbd-97b9-4d48-ad0c-7f1c55c0065a   4      1      DR-test                           DISTRIBUTED_ROUTER_TIER0    4

nsx-edge-01> get logical-router

Logical Router

UUID VRF LR-ID Name Type Ports

736a80e3-23f6-5a2d-81d6-bbefb2786666 0 0 TUNNEL 4

f6badcc6-614e-4af3-bd27-50dc411e3a96 1 3 DR-t1 DISTRIBUTED_ROUTER_TIER1 5

74816ace-6bb1-4f82-b845-97a41c517c41 2 2 SR-test SERVICE_ROUTER_TIER0 6

a749186b-2250-486d-9cdc-00862a6b1a92 3 4 SR-t1 SERVICE_ROUTER_TIER1 5

043a4cbd-97b9-4d48-ad0c-7f1c55c0065a 4 1 DR-test DISTRIBUTED_ROUTER_TIER0 4

przechodzimy do vrfu 2

Shell

nsx-edge-01> vrf 2 nsx-edge-01(tier0_sr)>

1
2
3
4

nsx-edge-01> vrf 2
nsx-edge-01(tier0_sr)>

Sprawdzamy siąsietzdwa BGP wykonując komendę get bgp neighbor summary


nsx-edge-01(tier0_sr)> get bgp neighbor summary 
BFD States: NC - Not configured, AC - Activating,DC - Disconnected
            AD - Admin down, DW - Down, IN - Init,UP - Up
BGP summary information for VRF default for address-family: ipv4Unicast
Router ID: 10.10.203.10  Local AS: 65502

Neighbor                            AS          State Up/DownTime  BFD InMsgs  OutMsgs InPfx  OutPfx

10.10.203.1                         65500       Estab 01w4d23h     NC  17419   17412   19     25    
100.100.10.2                        65555       Estab 00:17:13     NC  29      26      5      25

nsx-edge-01(tier0_sr)> get bgp neighbor summary

BFD States: NC - Not configured, AC - Activating,DC - Disconnected

AD - Admin down, DW - Down, IN - Init,UP - Up

BGP summary information for VRF default for address-family: ipv4Unicast

Router ID: 10.10.203.10 Local AS: 65502

Neighbor AS State Up/DownTime BFD InMsgs OutMsgs InPfx OutPfx

10.10.203.1 65500 Estab 01w4d23h NC 17419 17412 19 25

100.100.10.2 65555 Estab 00:17:13 NC 29 26 5 25

sprawdzamy tablicę routingu wykonując polecenie get route bgp


nsx-edge-01(tier0_sr)> get route bgp

Flags: t0c - Tier0-Connected, t0s - Tier0-Static, B - BGP,
t0n - Tier0-NAT, t1s - Tier1-Static, t1c - Tier1-Connected,
t1n: Tier1-NAT, t1l: Tier1-LB VIP, t1ls: Tier1-LB SNAT,
t1d: Tier1-DNS FORWARDER, t1ipsec: Tier1-IPSec, 
> - selected route, * - FIB route

Total number of routes: 20

b  > * 0.0.0.0/0 [20/0] via 10.10.203.1, uplink-280, 01w4d23h
b  > * 2.2.2.2/32 [20/0] via 10.10.203.1, uplink-280, 01:32:45
b  > * 10.1.1.0/24 [20/0] via 10.10.203.1, uplink-280, 01w4d23h
b  > * 10.2.2.0/24 [20/0] via 10.10.203.1, uplink-280, 01w4d23h
b  > * 10.2.3.0/24 [20/0] via 10.10.203.1, uplink-280, 01w4d23h
b  > * 10.2.4.0/24 [20/0] via 10.10.203.1, uplink-280, 01w4d23h
b  > * 10.10.0.0/24 [20/0] via 10.10.203.1, uplink-280, 01w4d23h
b  > * 10.10.11.0/24 [20/0] via 10.10.203.1, uplink-280, 01w4d23h
b  > * 10.10.201.0/24 [20/0] via 10.10.203.1, uplink-280, 01w4d23h
b  > * 10.10.202.0/24 [20/0] via 10.10.203.1, uplink-280, 01w4d23h
b  > * 10.100.1.0/24 [20/0] via 10.10.203.1, uplink-280, 03:58:22
b  > * 10.100.2.0/24 [20/0] via 10.10.203.1, uplink-280, 03:58:22
b  > * 10.100.3.0/24 [20/0] via 10.10.203.1, uplink-280, 03:58:22
b  > * 10.255.254.0/24 [20/0] via 10.10.203.1, uplink-280, 01w4d23h
b  > * 10.255.255.0/24 [20/0] via 10.10.203.1, uplink-280, 01w4d23h
b  > * 54.37.136.1/32 [20/0] via 10.10.203.1, uplink-280, 01w4d23h
b  > * 192.168.1.0/24 [20/0] via 10.10.203.1, uplink-280, 01w4d23h
b  > * 192.168.3.0/24 [20/0] via 10.10.203.1, uplink-280, 01w4d23h
b  > * 192.168.128.0/24 [20/0] via 100.100.10.2, vti-324, 00:18:17
b  > * 192.168.129.0/24 [20/0] via 100.100.10.2, vti-324, 00:18:17

nsx-edge-01(tier0_sr)> get route bgp

Flags: t0c - Tier0-Connected, t0s - Tier0-Static, B - BGP,

t0n - Tier0-NAT, t1s - Tier1-Static, t1c - Tier1-Connected,

t1n: Tier1-NAT, t1l: Tier1-LB VIP, t1ls: Tier1-LB SNAT,

t1d: Tier1-DNS FORWARDER, t1ipsec: Tier1-IPSec,

> - selected route, * - FIB route

Total number of routes: 20

b > * 0.0.0.0/0 [20/0] via 10.10.203.1, uplink-280, 01w4d23h

b > * 2.2.2.2/32 [20/0] via 10.10.203.1, uplink-280, 01:32:45

b > * 10.1.1.0/24 [20/0] via 10.10.203.1, uplink-280, 01w4d23h

b > * 10.2.2.0/24 [20/0] via 10.10.203.1, uplink-280, 01w4d23h

b > * 10.2.3.0/24 [20/0] via 10.10.203.1, uplink-280, 01w4d23h

b > * 10.2.4.0/24 [20/0] via 10.10.203.1, uplink-280, 01w4d23h

b > * 10.10.0.0/24 [20/0] via 10.10.203.1, uplink-280, 01w4d23h

b > * 10.10.11.0/24 [20/0] via 10.10.203.1, uplink-280, 01w4d23h

b > * 10.10.201.0/24 [20/0] via 10.10.203.1, uplink-280, 01w4d23h

b > * 10.10.202.0/24 [20/0] via 10.10.203.1, uplink-280, 01w4d23h

b > * 10.100.1.0/24 [20/0] via 10.10.203.1, uplink-280, 03:58:22

b > * 10.100.2.0/24 [20/0] via 10.10.203.1, uplink-280, 03:58:22

b > * 10.100.3.0/24 [20/0] via 10.10.203.1, uplink-280, 03:58:22

b > * 10.255.254.0/24 [20/0] via 10.10.203.1, uplink-280, 01w4d23h

b > * 10.255.255.0/24 [20/0] via 10.10.203.1, uplink-280, 01w4d23h

b > * 54.37.136.1/32 [20/0] via 10.10.203.1, uplink-280, 01w4d23h

b > * 192.168.1.0/24 [20/0] via 10.10.203.1, uplink-280, 01w4d23h

b > * 192.168.3.0/24 [20/0] via 10.10.203.1, uplink-280, 01w4d23h

b > * 192.168.128.0/24 [20/0] via 100.100.10.2, vti-324, 00:18:17

b > * 192.168.129.0/24 [20/0] via 100.100.10.2, vti-324, 00:18:17

Weryfikacja Vyos

Wszystkie sprawdzenie po stronie również wykonujemy z poziomu CLI poprzez SSH

Sprawdzenie IPSEC

sprawdzamy sesję IKE


vyos@vyos01:~$ show vpn ike sa 
Peer ID / IP                            Local ID / IP               
------------                            -------------
1.1.1.1                                 2.2.2.2                                

    State  IKEVer  Encrypt  Hash    D-H Group      NAT-T  A-Time  L-Time
    -----  ------  -------  ----    ---------      -----  ------  ------
    up     IKEv2   aes256   sha256_128 5(MODP_1536)   no     3600    86400

vyos@vyos01:~$ show vpn ike sa

Peer ID / IP Local ID / IP

------------ -------------

1.1.1.1 2.2.2.2

State IKEVer Encrypt Hash D-H Group NAT-T A-Time L-Time

----- ------ ------- ---- --------- ----- ------ ------

up IKEv2 aes256 sha256_128 5(MODP_1536) no 3600 86400

Sprawdzamy sesję IPSec


vyos@vyos01:~$ show vpn ipsec sa 
Connection               State    Uptime    Bytes In/Out    Packets In/Out    Remote address    Remote ID    Proposal
-----------------------  -------  --------  --------------  ----------------  ----------------  -----------  ---------------------------------------
peer-1.1.1.1-tunnel-vti  up       24m59s    0B/60B          0/1               1.1.1.1           N/A          AES_CBC_256/HMAC_SHA2_256_128
peer-1.1.1.1-tunnel-vti  up       24m59s    3K/4K           43/67             1.1.1.1           N/A          AES_CBC_256/HMAC_SHA2_256_128/MODP_1536

vyos@vyos01:~$ show vpn ipsec sa

Connection State Uptime Bytes In/Out Packets In/Out Remote address Remote ID Proposal

----------------------- ------- -------- -------------- ---------------- ---------------- ----------- ---------------------------------------

peer-1.1.1.1-tunnel-vti up 24m59s 0B/60B 0/1 1.1.1.1 N/A AES_CBC_256/HMAC_SHA2_256_128

peer-1.1.1.1-tunnel-vti up 24m59s 3K/4K 43/67 1.1.1.1 N/A AES_CBC_256/HMAC_SHA2_256_128/MODP_1536

Weryfikacja BGP

weryfikacja statusu BGP


vyos@vyos01:~$ show ip bgp summary 

IPv4 Unicast Summary:
BGP router identifier 2.2.2.2, local AS number 65555 vrf-id 0
BGP table version 29
RIB entries 47, using 8648 bytes of memory
Peers 1, using 20 KiB of memory

Neighbor        V         AS MsgRcvd MsgSent   TblVer  InQ OutQ  Up/Down State/PfxRcd
100.100.10.1    4      65502      35      40        0    0    0 00:26:10           22

vyos@vyos01:~$ show ip bgp summary

IPv4 Unicast Summary:

BGP router identifier 2.2.2.2, local AS number 65555 vrf-id 0

BGP table version 29

RIB entries 47, using 8648 bytes of memory

Peers 1, using 20 KiB of memory

Neighbor V AS MsgRcvd MsgSent TblVer InQ OutQ Up/Down State/PfxRcd

100.100.10.1 4 65502 35 40 0 0 0 00:26:10 22

Sprawdzenie tablicy routingu


vyos@vyos01:~$ show ip route bgp 
Codes: K - kernel route, C - connected, S - static, R - RIP,
       O - OSPF, I - IS-IS, B - BGP, E - EIGRP, N - NHRP,
       T - Table, v - VNC, V - VNC-Direct, A - Babel, D - SHARP,
       F - PBR, f - OpenFabric,
       > - selected route, * - FIB route, q - queued route, r - rejected route


B>* 10.1.1.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46
B>* 10.2.2.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46
B>* 10.2.3.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46
B>* 10.2.4.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46
B>* 10.10.0.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46
B>* 10.10.11.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46
B>* 10.10.201.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46
B>* 10.10.202.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46
B>* 10.10.203.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46
B>* 10.11.1.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46
B>* 10.12.1.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46
B>* 10.100.1.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46
B>* 10.100.2.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46
B>* 10.100.3.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46
B>* 10.255.254.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46
B>* 10.255.255.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46
B>* 54.37.136.1/32 [20/0] via 100.100.10.1, vti1, 00:26:46
B>* 192.168.3.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46

vyos@vyos01:~$ show ip route bgp

Codes: K - kernel route, C - connected, S - static, R - RIP,

O - OSPF, I - IS-IS, B - BGP, E - EIGRP, N - NHRP,

T - Table, v - VNC, V - VNC-Direct, A - Babel, D - SHARP,

F - PBR, f - OpenFabric,

> - selected route, * - FIB route, q - queued route, r - rejected route

B>* 10.1.1.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46

B>* 10.2.2.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46

B>* 10.2.3.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46

B>* 10.2.4.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46

B>* 10.10.0.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46

B>* 10.10.11.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46

B>* 10.10.201.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46

B>* 10.10.202.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46

B>* 10.10.203.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46

B>* 10.11.1.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46

B>* 10.12.1.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46

B>* 10.100.1.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46

B>* 10.100.2.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46

B>* 10.100.3.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46

B>* 10.255.254.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46

B>* 10.255.255.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46

B>* 54.37.136.1/32 [20/0] via 100.100.10.1, vti1, 00:26:46

B>* 192.168.3.0/24 [20/0] via 100.100.10.1, vti1, 00:26:46

Na koniec test puszczenie ping z Vyosa to NSX’a dokładnie na ip 10.11.1.1 który potwierdzi nam działanie transmisji w IPSecu


vyos@vyos01:~$ ping 10.11.1.1
PING 10.11.1.1 (10.11.1.1) 56(84) bytes of data.
64 bytes from 10.11.1.1: icmp_seq=1 ttl=63 time=0.749 ms
64 bytes from 10.11.1.1: icmp_seq=2 ttl=63 time=0.902 ms

vyos@vyos01:~$ ping 10.11.1.1

PING 10.11.1.1 (10.11.1.1) 56(84) bytes of data.

64 bytes from 10.11.1.1: icmp_seq=1 ttl=63 time=0.749 ms

64 bytes from 10.11.1.1: icmp_seq=2 ttl=63 time=0.902 ms

Jak widać proces weryfikacji wyszedł pozytywnie i możemy cieszyć się skonfigurowanym IPSeciem typu route base. Jak Macie pytania to zapraszam do kontaktu.

Tags: bgp, get bgp neighbor summary, get ipsecvpn ikesa active, get ipsecvpn session, ike, ipsec, NSX, NSX-T, nsx-t 2.5, NSX-t IPSec Route base, vmware, vyos

NSX 6.4 – trochę nowości

Posted on 17 stycznia, 2018 in Vmware

Wczoraj to jest 16.01.2017 w godzinach wieczornych Polskiego czasu została udostępniona nowa wersja NSX 6.4. Dziś od rana skupiłem się na podniesieniu wersji w labie, poniżej przedstawię trochę nowości wraz ze zmienionym podejściem do wykonywania Upgrade.

Nowości

Jakie nowości które widzę po pierwszym zalogowaniu do nowej wersji.

nowy interfejs pluginu w vCenter, przebudowane menu oraz Dashboard
rozpoczęcie wsparcia dla interfejsu HTML5 ale jeszcze dużo funkcji nie ma
Firewall warstwy 7, ale nie możemy tego porównać z dostawcami jak Palo czy Forti, jedynie sprawdza poprawność protokołu
Jak dla mnie najfajniejsza nowa funkcja, graficzny interfejs dla packet capture, który opisałem we wcześniejszym wpisie jak używać go z CLI
Więcej znajdziemy w dokumentacji oraz Release Notes

Upgrade

Sam proces wykonywania upgrade został bardziej zautomatyzowany, nie musimy już ręcznie wykonywać aktualizacji ręcznie każdego z modułów. Jedno z ważnych punktów jest posiadanie włączonej funkcji DRS, jak nie będziemy jej mieli włączonej to będziemy musieli ręcznie wprowadzać hosty w maintenance mode oraz wykonanie restartu hostów ESX, ze względu na odinstalowanie modułów VXLAN.

Przechodzimy do pracy.

ściągamy plik z vmware.com do wykonania upgrade do wersji 6.4
Logujemy się do konsoli NSX Managera gdzie, wykonamy upload ściągnięty plik.
Po ponownym uruchomieniu NSX Managera logujemy się do naszego vCenter przechodzimy do Networking & Security –> Installation –> zakładka Upgrade, jest to jedna z nowości, klikamy na PLAN UPGRADE,
Uruchomi się kreator, w którym zdefiniujemy jak ma wyglądać upgrade naszego środowiska, lub możemy wybrać plan automatyczny, Ja wybrałem automatyczny “One Click Upgrade” klikamy Next.
w nowym oknie dostaniemy podsumowanie co zostanie zaktualizowane
Po naciśnięciu START UPGRADE rozpocznie się proces aktualizacji
W każdej chwili możemy sprawdzić status aktualizacji klikając na View details
Po zakończeniu procesu dostaniemy w pełni zaktualizowane środowisko.

Tags: new nsx 6.4, NSX, nsx 6.4, nsx 6.4.0, packet capture, runnsx, upgrade nsx to 6.4, vexpert

NSX Manager packet capture

Posted on 5 stycznia, 2018 in Vmware

Dziś pokaże jak wykonać packet capture z poziomu NSX Managera. Dzięki temu rozwiązaniu nie musimy logować się na hosta tylko wykonujemy operację z jednego miejsca. Jedyne co potrzebujemy to dostęp SSH do NSX Managera, oraz znać hasło do trybu enable.

Topologia na której będziemy pracować:

dla przykładu będziemy zbierać ruch z maszyny Win7-02.

Musimy zalogować się po SSH do Managera gdzie pozyskamy informacje o Vnic Id.


Using username "admin".
admin@10.254.1.70's password:
mnsx01>

Using username "admin".

admin@10.254.1.70's password:

mnsx01>

wyświetlamy klastry które widzimy z poziomu NSX a następnie hosty które należą do danego klastra.


mnsx01> show cluster all
No.  Cluster Name   Cluster Id               Datacenter Name   Firewall Status
1    NSX-T          domain-c53               DC2               Not Ready
2    NSX-v          domain-c12               Datacenter        Enabled
mnsx01> show cluster domain-c12
Datacenter: Datacenter
Cluster: NSX-v
No.  Host Name         Host Id                  Installation Status
1    esx02.lab.local   host-18                  Enabled
2    esx01.lab.local   host-15                  Enabled

mnsx01> show cluster all

No. Cluster Name Cluster Id Datacenter Name Firewall Status

1 NSX-T domain-c53 DC2 Not Ready

2 NSX-v domain-c12 Datacenter Enabled

mnsx01> show cluster domain-c12

Datacenter: Datacenter

Cluster: NSX-v

No. Host Name Host Id Installation Status

1 esx02.lab.local host-18 Enabled

2 esx01.lab.local host-15 Enabled

wyświetlamy wirtualne maszyny które są uruchomione na danych hoście – szukamy id wirtualnej maszyny


mnsx01> show host host-18
Datacenter: Datacenter
Cluster: NSX-v
Host: esx02.lab.local
No.  VM Name                                               VM Id     Power Status
1    Photon-vm02                                           vm-131    on
2    Web02                                                 vm-83     on
3    DLR01-0                                               vm-139    on
4    NSX_Controller_ebdc92f7-c94b-42dc-b495-1ee303f4b5e6   vm-42     on
5    App02                                                 vm-86     on
6    DB01                                                  vm-85     on
7    PaloAlto-NSX (2)                                      vm-155    on
8    NSX_Controller_af054d08-f99b-4d8f-99b0-f0e15be4ec74   vm-137    on
9    win7-02                                               vm-135    on
mnsx01>

mnsx01> show host host-18

Datacenter: Datacenter

Cluster: NSX-v

Host: esx02.lab.local

No. VM Name VM Id Power Status

1 Photon-vm02 vm-131 on

2 Web02 vm-83 on

3 DLR01-0 vm-139 on

4 NSX_Controller_ebdc92f7-c94b-42dc-b495-1ee303f4b5e6 vm-42 on

5 App02 vm-86 on

6 DB01 vm-85 on

7 PaloAlto-NSX (2) vm-155 on

8 NSX_Controller_af054d08-f99b-4d8f-99b0-f0e15be4ec74 vm-137 on

9 win7-02 vm-135 on

mnsx01>

wyświetlamy informacje o wirtualnej maszynie – potrzebujemy informacji Vnic Id


mnsx01> show vm vm-135
Datacenter: Datacenter
Cluster: NSX-v
Host: esx02.lab.local
Host-ID: host-18
VM: win7-02
Virtual Nics List:
1.
Vnic Name      win7-02 - Network adapter 1
Vnic Id        502bd15f-9d57-ddb1-0e5e-fb95b5c18337.000
Filters        nic-70266-eth0-serviceinstance-5.6
mnsx01>

mnsx01> show vm vm-135

Datacenter: Datacenter

Cluster: NSX-v

Host: esx02.lab.local

Host-ID: host-18

VM: win7-02

Virtual Nics List:

Vnic Name win7-02 - Network adapter 1

Vnic Id 502bd15f-9d57-ddb1-0e5e-fb95b5c18337.000

Filters nic-70266-eth0-serviceinstance-5.6

mnsx01>

przechodzimy do trybu enable – podajemy hasło które zdefiniowaliśmy podczas instalacji NSX Mangera


mnsx01> enable
Password:
mnsx01#

mnsx01> enable

Password:

mnsx01#

następnie wykonujemy polecenie do załapania ruchu w danym kierunku my będziemy łapać ruch wychodzący ruch z danej maszyny.

Jak widzimy poniżej musimy podać w poleceniu host na którym uruchomiona wirtualna maszyna, Vnic ID oraz kierunek ruchu w naszym przypadku jest to input (ruch wychodzący).


mnsx01# debug packet capture host host-18 vnic 502bd15f-9d57-ddb1-0e5e-fb95b5c18337.000 dir input parameters
Session: 44ecfd9e-8a42-4a14-8726-97b9aade645d
Request:
        Capture host: host-18
        Vnic: 502bd15f-9d57-ddb1-0e5e-fb95b5c18337.000
        Capture point: vnic
        Capture direction: input
Session file: /tmp/pktcap/44ecfd9e-8a42-4a14-8726-97b9aade645d.pcap
Session status: started
mnsx01#

mnsx01# debug packet capture host host-18 vnic 502bd15f-9d57-ddb1-0e5e-fb95b5c18337.000 dir input parameters

Session: 44ecfd9e-8a42-4a14-8726-97b9aade645d

Request:

Capture host: host-18

Vnic: 502bd15f-9d57-ddb1-0e5e-fb95b5c18337.000

Capture point: vnic

Capture direction: input

Session file: /tmp/pktcap/44ecfd9e-8a42-4a14-8726-97b9aade645d.pcap

Session status: started

mnsx01#

aby wyświetlić co złapaliśmy możemy wyświetlić dopiero po zatrzymaniu procesu danej sesji. Aby to wykonać musimy znać ID Session, w danej chwili może być uruchomiono klika sesji.


mnsx01# no debug packet capture session 44ecfd9e-8a42-4a14-8726-97b9aade645d
Session: 44ecfd9e-8a42-4a14-8726-97b9aade645d
Request:
        Capture host: host-18
        Vnic: 502bd15f-9d57-ddb1-0e5e-fb95b5c18337.000
        Capture point: vnic
        Capture direction: input
Session file: /tmp/pktcap/44ecfd9e-8a42-4a14-8726-97b9aade645d.pcap
Session status: stopped
mnsx01#

mnsx01# no debug packet capture session 44ecfd9e-8a42-4a14-8726-97b9aade645d

Session: 44ecfd9e-8a42-4a14-8726-97b9aade645d

Request:

Capture host: host-18

Vnic: 502bd15f-9d57-ddb1-0e5e-fb95b5c18337.000

Capture point: vnic

Capture direction: input

Session file: /tmp/pktcap/44ecfd9e-8a42-4a14-8726-97b9aade645d.pcap

Session status: stopped

mnsx01#

następnie możemy wyświetlić


mnsx01# debug packet capture display session 44ecfd9e-8a42-4a14-8726-97b9aade645d parameters
Session: 44ecfd9e-8a42-4a14-8726-97b9aade645d
Request:
        Capture host: host-18
        Vnic: 502bd15f-9d57-ddb1-0e5e-fb95b5c18337.000
        Capture point: vnic
        Capture direction: input
Session file: /tmp/pktcap/44ecfd9e-8a42-4a14-8726-97b9aade645d.pcap
Session status: finished
Capture packets:
reading from file /tmp/pktcap/44ecfd9e-8a42-4a14-8726-97b9aade645d.pcap, link-type EN10MB (Ethernet)
13:34:32.117000 IP 10.255.20.11.ms-wbt-server > 172.20.240.82.64691: Flags [S.], seq 2298644425, ack 1934144390, win 8192, options [mss 1460,nop,wscale 8,nop,nop,sackOK], length 0
13:34:32.137849 IP 10.255.20.11.ms-wbt-server > 172.20.240.82.64691: Flags [.], ack 20, win 256, length 0
13:34:32.138140 IP 10.255.20.11.ms-wbt-server > 172.20.240.82.64691: Flags [P.], seq 1:20, ack 20, win 256, length 19
13:34:35.677470 IP 10.255.20.11.ms-wbt-server > 172.20.240.82.64691: Flags [P.], seq 20:1201, ack 205, win 255, length 1181
13:34:35.702206 IP 10.255.20.11.ms-wbt-server > 172.20.240.82.64691: Flags [P.], seq 1201:1260, ack 339, win 255, length 59
13:34:35.738780 IP 10.255.20.11.ms-wbt-server > 172.20.240.82.64691: Flags [P.], seq 1260:1505, ack 424, win 255, length 245
13:34:35.751607 IP 10.255.20.11.50619 > win-qjeqohhftn8.lab.local.ldap: UDP, length 203
13:34:35.869408 IP 10.255.20.11.60943 > win-qjeqohhftn8.lab.local.epmap: Flags [S], seq 3371067279, win 8192, options [mss 1460,nop,wscale 8,nop,nop,sackOK], length 0
13:34:35.873812 IP 10.255.20.11.60943 > win-qjeqohhftn8.lab.local.epmap: Flags [.], ack 1040719129, win 256, length 0
13:34:35.874280 IP 10.255.20.11.60943 > win-qjeqohhftn8.lab.local.epmap: Flags [P.], seq 0:160, ack 1, win 256, length 160
13:34:35.879204 IP 10.255.20.11.60943 > win-qjeqohhftn8.lab.local.epmap: Flags [P.], seq 160:328, ack 109, win 256, length 168
13:34:35.884605 IP 10.255.20.11.60944 > win-qjeqohhftn8.lab.local.49158: Flags [S], seq 489965506, win 8192, options [mss 1460,nop,wscale 8,nop,nop,sackOK], length 0
13:34:35.889702 IP 10.255.20.11.60944 > win-qjeqohhftn8.lab.local.49158: Flags [.], ack 2187242584, win 256, length 0
13:34:35.890175 IP 10.255.20.11.60944 > win-qjeqohhftn8.lab.local.49158: Flags [P.], seq 0:208, ack 1, win 256, length 208
13:34:35.893872 IP 10.255.20.11.60944 > win-qjeqohhftn8.lab.local.49158: Flags [P.], seq 208:1160, ack 129, win 256, length 952
13:34:35.931206 IP 10.255.20.11.ms-wbt-server > 172.20.240.82.64691: Flags [P.], seq 1505:1846, ack 1245, win 251, length 341

mnsx01# debug packet capture display session 44ecfd9e-8a42-4a14-8726-97b9aade645d parameters

Session: 44ecfd9e-8a42-4a14-8726-97b9aade645d

Request:

Capture host: host-18

Vnic: 502bd15f-9d57-ddb1-0e5e-fb95b5c18337.000

Capture point: vnic

Capture direction: input

Session file: /tmp/pktcap/44ecfd9e-8a42-4a14-8726-97b9aade645d.pcap

Session status: finished

Capture packets:

reading from file /tmp/pktcap/44ecfd9e-8a42-4a14-8726-97b9aade645d.pcap, link-type EN10MB (Ethernet)

13:34:32.117000 IP 10.255.20.11.ms-wbt-server > 172.20.240.82.64691: Flags [S.], seq 2298644425, ack 1934144390, win 8192, options [mss 1460,nop,wscale 8,nop,nop,sackOK], length 0

13:34:32.137849 IP 10.255.20.11.ms-wbt-server > 172.20.240.82.64691: Flags [.], ack 20, win 256, length 0

13:34:32.138140 IP 10.255.20.11.ms-wbt-server > 172.20.240.82.64691: Flags [P.], seq 1:20, ack 20, win 256, length 19

13:34:35.677470 IP 10.255.20.11.ms-wbt-server > 172.20.240.82.64691: Flags [P.], seq 20:1201, ack 205, win 255, length 1181

13:34:35.702206 IP 10.255.20.11.ms-wbt-server > 172.20.240.82.64691: Flags [P.], seq 1201:1260, ack 339, win 255, length 59

13:34:35.738780 IP 10.255.20.11.ms-wbt-server > 172.20.240.82.64691: Flags [P.], seq 1260:1505, ack 424, win 255, length 245

13:34:35.751607 IP 10.255.20.11.50619 > win-qjeqohhftn8.lab.local.ldap: UDP, length 203

13:34:35.869408 IP 10.255.20.11.60943 > win-qjeqohhftn8.lab.local.epmap: Flags [S], seq 3371067279, win 8192, options [mss 1460,nop,wscale 8,nop,nop,sackOK], length 0

13:34:35.873812 IP 10.255.20.11.60943 > win-qjeqohhftn8.lab.local.epmap: Flags [.], ack 1040719129, win 256, length 0

13:34:35.874280 IP 10.255.20.11.60943 > win-qjeqohhftn8.lab.local.epmap: Flags [P.], seq 0:160, ack 1, win 256, length 160

13:34:35.879204 IP 10.255.20.11.60943 > win-qjeqohhftn8.lab.local.epmap: Flags [P.], seq 160:328, ack 109, win 256, length 168

13:34:35.884605 IP 10.255.20.11.60944 > win-qjeqohhftn8.lab.local.49158: Flags [S], seq 489965506, win 8192, options [mss 1460,nop,wscale 8,nop,nop,sackOK], length 0

13:34:35.889702 IP 10.255.20.11.60944 > win-qjeqohhftn8.lab.local.49158: Flags [.], ack 2187242584, win 256, length 0

13:34:35.890175 IP 10.255.20.11.60944 > win-qjeqohhftn8.lab.local.49158: Flags [P.], seq 0:208, ack 1, win 256, length 208

13:34:35.893872 IP 10.255.20.11.60944 > win-qjeqohhftn8.lab.local.49158: Flags [P.], seq 208:1160, ack 129, win 256, length 952

13:34:35.931206 IP 10.255.20.11.ms-wbt-server > 172.20.240.82.64691: Flags [P.], seq 1505:1846, ack 1245, win 251, length 341

dodając parametr na końcu polecenia -e dostajemy więcej informacji


mnsx01# debug packet capture display session 44ecfd9e-8a42-4a14-8726-97b9aade645d parameters -e
Session: 44ecfd9e-8a42-4a14-8726-97b9aade645d
Request:
        Capture host: host-18
        Vnic: 502bd15f-9d57-ddb1-0e5e-fb95b5c18337.000
        Capture point: vnic
        Capture direction: input
Session file: /tmp/pktcap/44ecfd9e-8a42-4a14-8726-97b9aade645d.pcap
Session status: finished
Capture packets:
reading from file /tmp/pktcap/44ecfd9e-8a42-4a14-8726-97b9aade645d.pcap, link-type EN10MB (Ethernet)
13:34:32.117000 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 66: 10.255.20.11.ms-wbt-server > 172.20.240.82.64691: Flags [S.], seq 2298644425, ack 1934144390, win 8192, options [mss 1460,nop,wscale 8,nop,nop,sackOK], length 0
13:34:32.137849 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 60: 10.255.20.11.ms-wbt-server > 172.20.240.82.64691: Flags [.], ack 20, win 256, length 0
13:34:32.138140 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 73: 10.255.20.11.ms-wbt-server > 172.20.240.82.64691: Flags [P.], seq 1:20, ack 20, win 256, length 19
13:34:35.677470 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 1235: 10.255.20.11.ms-wbt-server > 172.20.240.82.64691: Flags [P.], seq 20:1201, ack 205, win 255, length 1181
13:34:35.702206 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 113: 10.255.20.11.ms-wbt-server > 172.20.240.82.64691: Flags [P.], seq 1201:1260, ack 339, win 255, length 59
13:34:35.738780 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 299: 10.255.20.11.ms-wbt-server > 172.20.240.82.64691: Flags [P.], seq 1260:1505, ack 424, win 255, length 245
13:34:35.751607 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 245: 10.255.20.11.50619 > win-qjeqohhftn8.lab.local.ldap: UDP, length 203
13:34:35.869408 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 66: 10.255.20.11.60943 > win-qjeqohhftn8.lab.local.epmap: Flags [S], seq 3371067279, win 8192, options [mss 1460,nop,wscale 8,nop,nop,sackOK], length 0
13:34:35.873812 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 60: 10.255.20.11.60943 > win-qjeqohhftn8.lab.local.epmap: Flags [.], ack 1040719129, win 256, length 0
13:34:35.874280 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 214: 10.255.20.11.60943 > win-qjeqohhftn8.lab.local.epmap: Flags [P.], seq 0:160, ack 1, win 256, length 160
13:34:35.879204 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 222: 10.255.20.11.60943 > win-qjeqohhftn8.lab.local.epmap: Flags [P.], seq 160:328, ack 109, win 256, length 168
13:34:35.884605 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 66: 10.255.20.11.60944 > win-qjeqohhftn8.lab.local.49158: Flags [S], seq 489965506, win 8192, options [mss 1460,nop,wscale 8,nop,nop,sackOK], length 0
13:34:35.889702 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 60: 10.255.20.11.60944 > win-qjeqohhftn8.lab.local.49158: Flags [.], ack 2187242584, win 256, length 0
13:34:35.890175 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 262: 10.255.20.11.60944 > win-qjeqohhftn8.lab.local.49158: Flags [P.], seq 0:208, ack 1, win 256, length 208
13:34:35.893872 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 1006: 10.255.20.11.60944 > win-qjeqohhftn8.lab.local.49158: Flags [P.], seq 208:1160, ack 129, win 256, length 952
13:34:35.931206 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 395: 10.255.20.11.ms-wbt-server > 172.20.240.82.64691: Flags [P.], seq 1505:1846, ack 1245, win 251, length 341
13:34:36.103342 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 60: 10.255.20.11.60943 > win-qjeqohhftn8.lab.local.epmap: Flags [.], ack 377, win 255, length 0
13:34:36.134503 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 60: 10.255.20.11.60944 > win-qjeqohhftn8.lab.local.49158: Flags [.], ack 1113, win 252, length 0
13:34:36.592433 00:50:56:ab:cd:3e (oui Unknown) > 01:00:5e:7f:ff:fa (oui Unknown), ethertype IPv4 (0x0800), length 215: 10.255.20.11.50620 > 239.255.255.250.ssdp: UDP, length 173
13:34:37.262015 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 66: 10.255.20.11.ms-wbt-server > 172.20.240.82.64692: Flags [S.], seq 865552083, ack 718686842, win 8192, options [mss 1460,nop,wscale 8,nop,nop,sackOK], length 0
13:34:37.267775 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 60: 10.255.20.11.ms-wbt-server > 172.20.240.82.64692: Flags [.], ack 45, win 256, length 0
13:34:37.267916 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 73: 10.255.20.11.ms-wbt-server > 172.20.240.82.64692: Flags [P.], seq 1:20, ack 45, win 256, length 19
13:34:37.275929 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 1235: 10.255.20.11.ms-wbt-server > 172.20.240.82.64692: Flags [P.], seq 20:1201, ack 230, win 255, length 1181

mnsx01# debug packet capture display session 44ecfd9e-8a42-4a14-8726-97b9aade645d parameters -e

Session: 44ecfd9e-8a42-4a14-8726-97b9aade645d

Request:

Capture host: host-18

Vnic: 502bd15f-9d57-ddb1-0e5e-fb95b5c18337.000

Capture point: vnic

Capture direction: input

Session file: /tmp/pktcap/44ecfd9e-8a42-4a14-8726-97b9aade645d.pcap

Session status: finished

Capture packets:

reading from file /tmp/pktcap/44ecfd9e-8a42-4a14-8726-97b9aade645d.pcap, link-type EN10MB (Ethernet)

13:34:32.117000 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 66: 10.255.20.11.ms-wbt-server > 172.20.240.82.64691: Flags [S.], seq 2298644425, ack 1934144390, win 8192, options [mss 1460,nop,wscale 8,nop,nop,sackOK], length 0

13:34:32.137849 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 60: 10.255.20.11.ms-wbt-server > 172.20.240.82.64691: Flags [.], ack 20, win 256, length 0

13:34:32.138140 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 73: 10.255.20.11.ms-wbt-server > 172.20.240.82.64691: Flags [P.], seq 1:20, ack 20, win 256, length 19

13:34:35.677470 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 1235: 10.255.20.11.ms-wbt-server > 172.20.240.82.64691: Flags [P.], seq 20:1201, ack 205, win 255, length 1181

13:34:35.702206 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 113: 10.255.20.11.ms-wbt-server > 172.20.240.82.64691: Flags [P.], seq 1201:1260, ack 339, win 255, length 59

13:34:35.738780 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 299: 10.255.20.11.ms-wbt-server > 172.20.240.82.64691: Flags [P.], seq 1260:1505, ack 424, win 255, length 245

13:34:35.751607 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 245: 10.255.20.11.50619 > win-qjeqohhftn8.lab.local.ldap: UDP, length 203

13:34:35.869408 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 66: 10.255.20.11.60943 > win-qjeqohhftn8.lab.local.epmap: Flags [S], seq 3371067279, win 8192, options [mss 1460,nop,wscale 8,nop,nop,sackOK], length 0

13:34:35.873812 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 60: 10.255.20.11.60943 > win-qjeqohhftn8.lab.local.epmap: Flags [.], ack 1040719129, win 256, length 0

13:34:35.874280 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 214: 10.255.20.11.60943 > win-qjeqohhftn8.lab.local.epmap: Flags [P.], seq 0:160, ack 1, win 256, length 160

13:34:35.879204 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 222: 10.255.20.11.60943 > win-qjeqohhftn8.lab.local.epmap: Flags [P.], seq 160:328, ack 109, win 256, length 168

13:34:35.884605 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 66: 10.255.20.11.60944 > win-qjeqohhftn8.lab.local.49158: Flags [S], seq 489965506, win 8192, options [mss 1460,nop,wscale 8,nop,nop,sackOK], length 0

13:34:35.889702 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 60: 10.255.20.11.60944 > win-qjeqohhftn8.lab.local.49158: Flags [.], ack 2187242584, win 256, length 0

13:34:35.890175 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 262: 10.255.20.11.60944 > win-qjeqohhftn8.lab.local.49158: Flags [P.], seq 0:208, ack 1, win 256, length 208

13:34:35.893872 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 1006: 10.255.20.11.60944 > win-qjeqohhftn8.lab.local.49158: Flags [P.], seq 208:1160, ack 129, win 256, length 952

13:34:35.931206 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 395: 10.255.20.11.ms-wbt-server > 172.20.240.82.64691: Flags [P.], seq 1505:1846, ack 1245, win 251, length 341

13:34:36.103342 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 60: 10.255.20.11.60943 > win-qjeqohhftn8.lab.local.epmap: Flags [.], ack 377, win 255, length 0

13:34:36.134503 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 60: 10.255.20.11.60944 > win-qjeqohhftn8.lab.local.49158: Flags [.], ack 1113, win 252, length 0

13:34:36.592433 00:50:56:ab:cd:3e (oui Unknown) > 01:00:5e:7f:ff:fa (oui Unknown), ethertype IPv4 (0x0800), length 215: 10.255.20.11.50620 > 239.255.255.250.ssdp: UDP, length 173

13:34:37.262015 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 66: 10.255.20.11.ms-wbt-server > 172.20.240.82.64692: Flags [S.], seq 865552083, ack 718686842, win 8192, options [mss 1460,nop,wscale 8,nop,nop,sackOK], length 0

13:34:37.267775 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 60: 10.255.20.11.ms-wbt-server > 172.20.240.82.64692: Flags [.], ack 45, win 256, length 0

13:34:37.267916 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 73: 10.255.20.11.ms-wbt-server > 172.20.240.82.64692: Flags [P.], seq 1:20, ack 45, win 256, length 19

13:34:37.275929 00:50:56:ab:cd:3e (oui Unknown) > 02:50:56:56:44:52 (oui Unknown), ethertype IPv4 (0x0800), length 1235: 10.255.20.11.ms-wbt-server > 172.20.240.82.64692: Flags [P.], seq 20:1201, ack 230, win 255, length 1181

a na koniec możemy przenieść plik w inne miejsce i otworzyć np. w wiresharku


mnsx01# debug packet capture scp session 44ecfd9e-8a42-4a14-8726-97b9aade645d url root@10.255.2.10:44ecfd9e-8a42-4a14-8726-97b9aade645d.pcap
Session: 44ecfd9e-8a42-4a14-8726-97b9aade645d
Request:
        Capture host: host-18
        Vnic: 502bd15f-9d57-ddb1-0e5e-fb95b5c18337.000
        Capture point: vnic
        Capture direction: input
Session file: /tmp/pktcap/44ecfd9e-8a42-4a14-8726-97b9aade645d.pcap
Session status: finished
Begin SCP:
Password:
mnsx01#

mnsx01# debug packet capture scp session 44ecfd9e-8a42-4a14-8726-97b9aade645d url root@10.255.2.10:44ecfd9e-8a42-4a14-8726-97b9aade645d.pcap

Session: 44ecfd9e-8a42-4a14-8726-97b9aade645d

Request:

Capture host: host-18

Vnic: 502bd15f-9d57-ddb1-0e5e-fb95b5c18337.000

Capture point: vnic

Capture direction: input

Session file: /tmp/pktcap/44ecfd9e-8a42-4a14-8726-97b9aade645d.pcap

Session status: finished

Begin SCP:

Password:

mnsx01#

i otwieramy plik zgrany z naszego NSX Managera.

Na koniec zapraszam do obejrzenia nagrania z webinar na którym pokazuję jakie narzędzia mamy aby sprawnie wykonać Troubleshooting na platformie NSX. Link do nagrania znajdziesz na tej stronie

Tags: NSX, NSX Manager, NSX Manager packet capture, packet capture, runnsx, Troubleshooting, Troubleshooting nsx, vexpert, wireshark

Vmware NSX Service Composer

Posted on 17 sierpnia, 2017 in Lab, Vmware

We wcześniejszym wpisie zrobiłem wprowadzenie do mikrosegmentacji. Dziś natomiast skupię się na service composer (temat ten będzie rozwinięciem poprzedniego wpisu).
Zapraszam.

Co to jest Service Composer?

Service Composer jest to narzędzie, które dostajemy w NSX’ie, pozwalające na automatyczne przypisywanie zdefiniowanych przez nas polityk fw do grup maszyn. Grupy te tworzymy na podstawie jakiegoś wzorca. Można powiedzieć, że jest to automat pozwalający nam uprościć pracę przy politykach firewall w NSX’ie.

Trochę praktyki

Pracę nad service composer możemy podzielić na następujące etapy:

utworzenie security tag
Security Groups
Security Polices
przypisanie security polices do security groups
przypisanie security tag do wirtualnej maszyny
weryfikacja

Schemat poglądowy architektury, na jakiej będziemy pracować:

Security tag

Jednym z głównych kroków jest utworzenie security tagów, które będziemy przypisywać do wirtualnej maszyny. Na tej podstawie będzie definiowana polityka FW.

Po zalogowaniu się do naszego vcenter przechodzimy do Networking & Secuirty, a następnie do NSX Managers –> nasz NSX Manager –> Manage –> Security Tags

gdzie klikamy na zaznaczoną ikonę w celu dodania security tag. Definiujemy go w nowym oknie:

Powyższy krok powtarzamy dla każdego nowego security tagu.

Security Groups

Kolejnym krokiem będzie zdefiniowanie Security groups – w tym miejscu będziemy tworzyć automat, który na podstawie wskazanych elementów będzie tworzył grupę.

Przechodzimy do Networking & Secuirty –> Service Composer –> Secuirity Groups, klikamy na zaznaczoną poniżej ikonę.

W nowym oknie otworzy nam się kreator – tworzenie security group; w pierwszym kroku nadajemy nazwę grupy:

W kolejnym kroku wybieramy opcję, która ma za zadanie dynamicznie przypisać do grupy. Mamy do wyboru:

Computer OS Name
Computer Name
VM Name
Security TAG
Entity

Nasza polityka będzie wyglądała jak poniżej:

W kolejnym kroku możemy ręcznie przypisać jakieś elementy vCenter

Następnie możemy wykluczyć przynależność do grupy jakiegoś elementu

W ostatnim oknie kreatora dostajemy podsumowanie

Security Polices

W tym kroku zdefiniujemy zestawy polityk firewall, które będziemy przypisywać do Security groups

przechodzimy tak jak wcześniej, ale tym razem do zakładki Security Policies.

klikamy na zaznaczoną poniżej ikonę i przechodzimy do kreatora

w pierwszym kroku nazywamy naszą Security Policy

w kroku 2 pomijamy, ponieważ nie mamy integracji np. z antywirusem.

krok trzeci będzie nas najbardziej interesował, bo tu będziemy tworzyć nasze polityki firewall. Klikamy zielony plusik i dodajemy reguły.

W naszym przypadku będą to 2 reguły:

pozwalająca na dostęp po SSH z wykluczeniem maszyn należących do security groupy –
blokująca ruch w Security Groupie

Po utworzeniu reguł przechodzimy dalej; w tym miejscu możemy utworzyć reguły dla ruchu, który chcemy poddać do dalszej inspekcji w innych rozwiązaniach np. jak mamy integrację z PaloAlto. My natomiast krok ten pomijamy, gdyż nie posiadamy integracji.

W kolejnym kroku mamy podsumowanie i na tym kończymy pracę z kreatorem.

Przypisanie security polices do securit groups

W tym miejscu przypniemy utworzoną politykę do grupy przez zaznaczenie naszej security polices, a następnie przez kliknięcie na zaznaczoną ikonę

w nowym oknie wybieramy naszą Secuirty groups i klikamy ok

w tej chwili mamy utworzone polityki przypięte do grupy, która jest dynamiczna. Każda maszyna z przypisanym secuirty tagiem “Web_SRV_app01” dostanie zdefiniowany zestaw reguł firewall.

Przypisanie secuity tag do wirtualnej maszyny

W tym kroku przypiszemy secuirty tag do dwóch wirtualnych maszyn. Poniżej prezentuję najszybszy sposób przypisania tagów do wirtualnych maszyn. Istnieje też drugi sposób, ale bardzo wolny polegający na wejściu do każdej wirtualnej maszyny i przypisaniu tam security tag.

Przechodzimy do Networking & Secuirty, następnie NSX Managers –> nasz NSX Manager –> Manage –> Security Tags

Wybieramy nasz tag i klikamy na zaznaczoną ikonę

w nowym oknie wyszukujemy nasze wirtualne maszyny

po kliknięciu ok rozpocznie się proces przypisywania polityk do tych wirtualnych maszyn.

Weryfikacja

z pomocą przychodzi nam zakładka Canvans w Service Composer, gdzie widzimy ilość wirtualnych maszyn przypisanych do security groups.

W oknie reguł Firewall doszła nam nowa grupa reguł, które zdefiniowaliśmy w Security Polices

Testujemy SSH


root@photon01 [ ~ ]# ssh 172.16.11.12
ssh: connect to host 172.16.11.12 port 22: Connection timed out
root@photon01 [ ~ ]#

root@photon01 [ ~ ]# ssh 172.16.11.12

ssh: connect to host 172.16.11.12 port 22: Connection timed out

root@photon01 [ ~ ]#


root@photon02 [ ~ ]# ssh 172.16.11.11
ssh: connect to host 172.16.11.11 port 22: Connection timed out
root@photon02 [ ~ ]#

root@photon02 [ ~ ]# ssh 172.16.11.11

ssh: connect to host 172.16.11.11 port 22: Connection timed out

root@photon02 [ ~ ]#

PING


root@photon01 [ ~ ]# ping 172.16.11.12
PING 172.16.11.12 (172.16.11.12) 56(84) bytes of data.
^C
--- 172.16.11.12 ping statistics ---
3 packets transmitted, 0 received, 100% packet loss, time 1999ms

root@photon01 [ ~ ]#

root@photon01 [ ~ ]# ping 172.16.11.12

PING 172.16.11.12 (172.16.11.12) 56(84) bytes of data.

--- 172.16.11.12 ping statistics ---

3 packets transmitted, 0 received, 100% packet loss, time 1999ms

root@photon01 [ ~ ]#


root@photon02 [ ~ ]# ping 172.16.11.11
PING 172.16.11.11 (172.16.11.11) 56(84) bytes of data.
^C
--- 172.16.11.11 ping statistics ---
6 packets transmitted, 0 received, 100% packet loss, time 5040ms

root@photon02 [ ~ ]#

root@photon02 [ ~ ]# ping 172.16.11.11

PING 172.16.11.11 (172.16.11.11) 56(84) bytes of data.

--- 172.16.11.11 ping statistics ---

6 packets transmitted, 0 received, 100% packet loss, time 5040ms

root@photon02 [ ~ ]#

Syslog

wyszukujemy wszystkie hinty, które należą do reguły 1007 i 1008 używając filtru jak poniżej:

Jaki widać powyżej reguły działają zgodnie z założeniem.

Tags: NSX, nsx firewall, NSX Service Composer, secuity tag, Security Groups, Security Polices, Service Composer

Tag: NSX

NSX Federacja

IDS/IPS

Url Filtering

VRF Lilte

NVDS wraca do DVS

Service chaining

Windows 2016

Więcej na Infografice

Linki

Założenia

Konfiguracja NSX-t

Konfiguracja połączenie IPSEC

Konfiguracja Routingu w NSX

Konfiguracja redystrybucji

Konfiguracja BGP pomiędzy NSX a Vyos

Konfiguracja Vyos

Konfiguracja połączenie IPSEC w Vyos

Konfiguracja BGP w Vyos

Weryfikacja

Sprawdzenie po stronie NSX

IPSEC

BGP

Weryfikacja Vyos

Sprawdzenie IPSEC

Weryfikacja BGP

Nowości

Upgrade

Co to jest Service Composer?

Trochę praktyki

Security tag

Security Groups

Security Polices

Przypisanie security polices do securit groups

Przypisanie secuity tag do wirtualnej maszyny

Weryfikacja

Testujemy SSH

PING

Syslog