NSX-T On-Premises

방화벽이 NSX-T On-Premises인 경우 방화벽 장비와 FPMS를 설정하는 방법을 설명합니다.

방화벽 장비 설정하기

FPMS와 방화벽 연동을 위해 방화벽 장비를 설정하거나 정보를 확인하는 방법입니다. 방화벽에 접속하여 다음 내용을 설정 또는 확인하세요.

참고

Gateway Firewall만 지원합니다.

버전에 따라 지원되는 룰 개수를 확인해 주세요.

NSX-T 운영자에게 FPMS 관리용 접속 계정과 비밀번호를 발급받으세요.

NSX-T Gateway Name은 North South Security > Gateway Firewall > Gateway 옆 드롭다운 박스에 나오는 이름입니다.
실제 Path 확인은 Networking 메뉴에서 Connectivity - Tier-(0이나 1) Gateways에서 해당하는 Gateway Name의 세로 ‘…’ 버튼 클릭 후 Copy path to Clipboard를 누른 후 메모장에 붙여넣기로 확인합니다. /infra/tier-(0이나1)s/****로 나오는데 마지막 ****이 이 부분입니다.

NSX-T Gateway Policy ID는 정책을 넣고자 하는 Policy의 왼쪽 세로 ‘…’ 버튼 클릭 후 Copy path to clipboard를 누른 후 메모장에 붙여넣기하면 /infra/domains/default/gateway-policies/*******이라고 나오는데 맨 마지막 **** 부분입니다.
Category: DEFAULT에는 정책을 넣을 수 없으며 ADD POLICY를 이용하여 LOCAL GATEWAY를 생성하기 바랍니다.

참고

Tier-0 Gateway와 Tier-1 Gateway는 동일한 Gateway 이름, 동일한 Gateway Policy ID를 사용하면 안 됩니다. FPMS에서 Gateway Name과 Gateway Policy ID로 tier-0 scope이냐 tier-1 scope이냐를 구분하기 때문입니다. (21년 7월 적용)
대소문자를 구분하므로 주의해 주세요.

NSX-T Shared Pre Rules은 규칙을 생성하여 특정 Gateway가 아닌 다수의 T0 Gateway, T1 Gateway, Interface 등에 적용하는 기능입니다.
적용 대상이 다수이기 때문에 적용을 원하는 인스턴스에 대하여 아래와 같이 경로 확인이 필요합니다.
실제 Path 확인은 Networking 메뉴에서 Connectivity - Tier-(0이나 1) Gateways에서 해당하는 Gateway Name의 세로 ‘…’ 버튼 클릭 후 Copy path to Clipboard를 누른 후 메모장에 붙여넣기로 확인합니다. /infra/tier-(0이나1)s/****로 나오는데 마지막 ****이 이 부분입니다.
인터페이스의 경우는 위의 게이트웨이 상세의 인터페이스 부분에서 숫자를 클릭하면 하위 인터페이스 목록을 확인할 수 있습니다. 특정 인터페이스의 세로 ‘…’ 버튼 클릭 후 Copy path to Clipboard를 누른 후 메모장에 붙여넣기로 확인합니다. /infra/tier-(0이나1)s/"게이트웨이명"/locale-services/"서비스ID"/interfaces/****로 나오는데 마지막 ****이 이 부분입니다.

참고

Shared Pre Rules의 경우 VTI 타입의 인스턴스도 적용 대상으로 가능하지만 FPMS에서는 지원하지 않습니다. T0/T1 Gateway 및 하위 인터페이스 타입의 인스턴스만 적용 대상으로 설정 가능합니다.

NSX-T Shared Pre Rules은 North South Security > Gateway Firewall > All Shared Rules 탭 선택 > 하단 ‘Shared Pre Rules’ 탭 선택하여 정책 관리가 가능합니다.
NSX-T Shared Pre Rules ID는 정책을 넣고자 하는 Policy의 왼쪽 세로 ‘…’ 버튼 클릭 후 Copy path to clipboard를 누른 후 메모장에 붙여넣기하면 /infra/domains/default/gateway-policies/*******이라고 나오는데 맨 마지막 **** 부분입니다.
Category: ‘Shared Pre Rules’ 탭에서 ADD POLICY를 이용하여 정책을 미리 생성하기 바랍니다.

NSX-T DFW은 규칙을 생성하여 모든 워크로드 혹은 인벤토리에 정의된 특정 그룹에 대하여 적용하는 기능입니다.
그룹에 대한 실제 Path 확인은 Inventory 메뉴의 Group에서 해당하는 Group Name의 세로 ‘…’ 버튼 클릭 후 Copy path to Clipboard를 누른 후 메모장에 붙여넣기로 확인합니다. /infra/domains/default/groups/****로 나오는데 마지막 ****이 이 부분입니다.

NSX-T DFW은 East West Security > Distributed Firewall 메뉴에서 정책 관리가 가능합니다.
NSX-T DFW ID는 정책을 넣고자 하는 Policy의 왼쪽 세로 ‘…’ 버튼 클릭 후 Copy path to clipboard를 누른 후 메모장에 붙여넣기하면 /infra/domains/default/security-policies/****이라고 나오는데 맨 마지막 **** 부분입니다.

FPMS에 방화벽 등록 시 필요한 추가 설정에 대해 설명합니다. FPMS에 접속하여 다음 내용을 설정하세요.

가상 방화벽 사용 여부: Yes
가상 ID
- NSX-T Gateway Firewall의 경우: NSX-T Gateway Name (Gateway Name은 위의 NSX-T Gateway Name 확인을 참고하세요.)
- NSX-T Shared Pre Rules의 경우: 적용 대상(T0/T1 Gateway 및 하위 Interface 등) (T0/T1 Gateway 및 하위 Interface 확인은 위의 NSX-T Shared Pre Rules 적용 대상 확인을 참고하세요.)
- NSX-T DFW의 경우: 적용 대상(인벤토리 그룹) (인벤토리 그룹 확인은 위의 NSX-T DFW 적용 대상 확인을 참고하세요.)

참고

NSX-T Shared Pre Rules 및 DFW의 경우 복수 개의 적용 대상도 설정이 가능하며 쉼표(,)로 구분합니다.

“방화벽 상세 기능 생성” 페이지에서 다음 상세 기능을 설정하세요. (「방화벽 관리」의 방화벽 상세 기능 설정하기 참조)

(NSX-T Gateway Firewall인 경우) NSX-T 게이트웨이 정책 아이디 설정: NSX-T Gateway Policy Id
그림. 게이트웨이 정책 아이디 설정
- NSX-T Gateway Policy Id는 위의 NSX-T Policy ID 확인을 참고하세요. (대소문자 구분)
(NSX-T Shared Pre Rules인 경우) NSX-T 사전 규칙 정책 아이디 설정: NSX-T Shared Pre Rules Id
그림. 사전 규칙 정책 아이디 설정
- NSX-T Shared Pre Rules Id는 위의 NSX-T Shared Pre Rules ID 확인을 참고하세요. (대소문자 구분)
(NSX-T DFW인 경우) NSX-T DFW 정책 아이디 설정: NSX-T DFW Id
그림. DFW 정책 아이디 설정
- NSX-T DFW Id는 위의 NSX-T DFW ID 확인을 참고하세요. (대소문자 구분)
NSX-T 로그 disable: true
그림. NSX-T 로그 disable 설정
- NSX-T 정책의 Log 설정은 디폴트 Enable 상태이며, Disable을 원할 때는 이 옵션을 설정해야 합니다.