VMware NSX平台谈网络虚拟化安全启示

ZDNet至顶网服务器频道 10月12日 ：2013年8月，VMware公司在VMworld大会上介绍了其下一代网络虚拟化平台NSX。定义为网络管理程序（hypervisor），将服务器和其他物理网络资源抽象，NSX创建了一个类似于虚拟机（VM）的可程序化虚拟网络。这个网络覆盖在整合的现有网络以及VMware环境之上，并且利用网络虚拟化技术，减少网络延迟，并改善服务器和存储设备的整合。

在这篇技巧中，我们简要介绍NSX以及其如何运作，同时涉及到它对于虚拟化安全的潜在影响，尤其是在云端。

VMware NSX是什么？

就像虚拟化扩展了现有硬件、软件和存储技术的功能，且远远超越了其物理功能，网络虚拟化旨在扩展传统硬连线网络基础架构的功能。

NSX是一个虚拟网络平台，能够在物理网络之上构建大量虚拟化网络和服务，根据工作需要，重新配置资源，并且同步提供大量嵌入式资源和服务，实现虚拟网络管理。

竞争对手

网络虚拟化市场发展迅速，这项技术也让网络生态环境管理变得更加容易，通过更好的网络资源利用，减少了管理网络资源的时间，实现了更高的效率。这个市场主 要的领导厂商包括VMware、微软、思杰、惠普、IBM、Juniper、思科、红帽、Nuage、 Midokura、Big Switch等等。先进的网络协议、网络带宽以及计算能力使这项技术更易于实施。然而，软件定义网络在20世纪80年代就遍布全球，现在的虚拟化网络使性 能得到极大改善，提供了灵活性，且易于配置，相比较之前的技术，简化了资源管理。

NSX的关键竞争对手，也是VMware的主要合作伙伴之一就是思科。思科正在推进自己的网络虚拟化平台（姑且称之为思科网络虚拟化），似乎太不太可能提 供NSX作为性能支持；现在游戏才刚刚开始，两个厂商都想尽可能的锁定主要的客户。除此之外的竞争对手还有Juniper的Contrail-V和 Nuage的VSD（大型云服务提供商）、IBM的PureFlex（企业网络）等。

NSX和安全

NSX旨在整合VMware合作伙伴提供的安全性能。为了简化第三方安全产品和服务整合，授权的厂商使用单一的具体应用程序接口（API），将安全平台和 网络性能链接。一旦这个API和资源就绪，NSX的Service Composer工具就可以用来集中部署第三方防火墙、反恶意软件、漏洞管理、数据丢失保护和入侵检测以及防范（IDS/IPS）平台。

NSX预配置了很多安全资源，比如带防火墙和威胁防御工具的网络安全平台，安全服务包括反恶意软件、漏洞管理和IDS/IPS。除此之外，网络服务网关桥 接了物理和虚拟环境，应用交付的服务包括负载均衡、应用交付和WAN优化。对于选择混合内置NSX和第三方产品来匹配业务需求的企业而言，这些都至关重 要。

NSX管理程序中内置状态防火墙，为每一个虚拟路由器端口提供了分布式防火墙检测。这个防火墙也检测VM的添加、转移以及变更。防火墙管理使用多种规则、审计和检测技术。也提供状态、合作伙伴设备/代理的逻辑连接，以及将路由数据无缝集成到第三方安全平台。

云端NSX和安全

NSX支持很多不同的信息安全平台，这一点使其成为很多适用虚拟化服务的企业的有利候选，尤其是在云端更是如此。这些已经使用了VMware产品的企业可 以在2013年底就启动MSX，从而构建和扩展自己的虚拟网络功能，同时确保他们能够为用户提供最佳级别的安全产品和服务。尚且没有使用VMware产品 的企业应该调研一下可用的网络虚拟化选择。非VMware网络虚拟化产品大概在2014年问世。

现在很多知名的领导安全厂商已经承诺支持NSX API了，包括F5、Mcfee、Palo Alto、Fortinet、Rapid7、Catbird、RSA、Alert Logic、赛门铁克、趋势科技。

虽然VMware合作伙伴思科可能会成为下游问题,但是在安全领域需要关注，NSX最初定位是针对组织和云服务提供商的竞争性网络虚拟化平台。这项技术还 必须在企业环境中证明自己，但VMware迄今为止还在尝试设计一个产品，能培育网络性能，在不牺牲安全的前提下进行整合。