전체 솔루션의 설명 부분과 단계별 지침을 참조하세요. 설명:
양방향 트래픽이 있는 Tampa 웹 오버레이 세그먼트에 대한 모니터링 소프트웨어로 트래픽 복제를 구성하려면 다음 단계를 따라야 합니다.
관리자 자격 증명으로 NSX Manager UI에 로그인하세요. 기본 URL은 https://<nsx-manager-ip-address>입니다.
네트워킹 > 세그먼트로 이동하여 트래픽을 복제할 Tampa 웹 오버레이 세그먼트를 선택하세요. 예를 들어, 작업 2에서 만든 Web-01 세그먼트를 선택하세요.
포트 미러링 > 설정 > 세션 추가를 클릭하고 포트 미러링 세션의 이름과 설명(선택 사항)을 입력합니다. 예를 들어 Tampa-Web-Monitoring을 입력합니다.
방향 섹션의 드롭다운 메뉴에서 방향을 '양방향'으로 선택합니다. 이렇게 하면 소스에서 목적지로 수신 및 송신 트래픽이 모두 복제됩니다.
소스 섹션에서 '설정'을 클릭하고 트래픽 소스로 사용할 VM 또는 논리 포트를 선택합니다. 예를 들어, Web-VM-01과 Web-VM-02를 소스 VM으로 선택합니다. '적용'을 클릭합니다.
대상 섹션에서 설정을 클릭하고 드롭다운 메뉴에서 대상 유형으로 원격 L3 SPAN을 선택합니다. 이렇게 하면 NSX-T 환경 외부의 원격 대상으로 트래픽을 복제할 수 있습니다.
네트워크 모니터링 소프트웨어를 설치한 대상 장치의 IP 주소를 입력하세요(예: 10.10.10.200).
드롭다운 메뉴에서 기존 서비스 프로필을 선택하거나 '새 서비스 프로필'을 클릭하여 새 서비스 프로필을 만드세요. 서비스 프로필은 복제된 트래픽의 캡슐화 유형 및 기타 매개변수를 정의합니다.
선택적으로 포트 미러링 세션에 대해 TCP/IP 스택, 스냅 길이 등의 고급 설정을 구성할 수 있습니다.
저장을 클릭한 다음 닫기를 클릭하면 포트 미러링 세션이 생성됩니다.
NSX-T Manager UI를 사용하여 양방향 트래픽이 포함된 Tampa 웹 오버레이 세그먼트에 대한 모니터링 소프트웨어로의 트래픽 복제를 성공적으로 구성했습니다.

전체 솔루션의 설명 부분과 단계별 지침을 참조하세요. 설명:
여러 웹 서버에 대한 논리적 부하 분산 장치를 만들려면 다음 단계를 따라야 합니다.
관리자 자격 증명으로 NSX Manager UI에 로그인하세요. 기본 URL은 https://<nsx-manager-ip-address>입니다.
네트워킹 > 부하 분산 > 부하 분산 장치로 이동하여 부하 분산 장치 추가를 클릭합니다.
로드 밸런서의 이름과 설명(선택 사항)을 입력합니다. 드롭다운 메뉴에서 로드 밸런서를 연결할 Tier-1 게이트웨이를 선택하거나, "새 Tier-1 게이트웨이"를 클릭하여 새 게이트웨이를 만듭니다. "저장"을 클릭합니다.
네트워킹 > 부하 분산 > 애플리케이션 프로필로 이동하여 애플리케이션 프로필 추가를 클릭합니다.
애플리케이션 프로필의 이름과 설명(선택 사항)을 입력합니다. 드롭다운 메뉴에서 애플리케이션 유형으로 HTTP를 선택합니다. 필요에 따라 애플리케이션 프로필에 대한 지속성, X-Forwarded-For, SSL 오프로딩 등의 고급 설정을 구성할 수 있습니다. "저장"을 클릭합니다.
네트워킹 > 부하 분산 > 모니터로 이동하여 모니터 추가를 클릭합니다.
모니터의 이름과 설명(선택 사항)을 입력합니다. 드롭다운 메뉴에서 프로토콜로 HTTP를 선택합니다. 선택적으로 모니터의 간격, 시간 제한, 하강 횟수, 상승 횟수 등의 고급 설정을 구성할 수 있습니다. "저장"을 클릭합니다.
네트워킹 > 부하 분산 > 서버 풀로 이동하여 서버 풀 추가를 클릭합니다.
서버 풀의 이름과 설명(선택 사항)을 입력합니다. 드롭다운 메뉴에서 기존 애플리케이션 프로필을 선택하거나 "새 애플리케이션 프로필"을 클릭하여 새 프로필을 만듭니다. 드롭다운 메뉴에서 기존 모니터를 선택하거나 "새 모니터"를 클릭하여 새 모니터를 만듭니다. 선택적으로 서버 풀의 알고리즘, SNAT 변환 모드, TCP 멀티플렉싱 등의 고급 설정을 구성할 수 있습니다. "저장"을 클릭합니다.
'멤버' > '설정' > '멤버 추가'를 클릭하고 서버 풀에 추가할 각 웹 서버의 IP 주소와 포트 번호를 입력합니다. 예를 들어, 포트 80에서 수신 대기하는 두 웹 서버의 경우 192.168.10.10:80과 192.168.10.11:80을 입력합니다. '저장'을 클릭한 후 '닫기'를 클릭합니다.
네트워킹 > 부하 분산 > 가상 서버로 이동하여 가상 서버 추가를 클릭합니다.
가상 서버의 이름과 설명(선택 사항)을 입력합니다. 클라이언트 요청을 수신할 가상 서버의 IP 주소와 포트 번호(예: 10.10.10.100:80)를 입력합니다. 드롭다운 메뉴에서 서비스 프로필로 HTTP를 선택하거나 새 서비스 프로필을 클릭하여 새 프로필을 만듭니다. 드롭다운 메뉴에서 기존 서버 풀을 선택하거나 새 서버 풀을 클릭하여 새 서버 풀을 만듭니다. 선택적으로 가상 서버에 대한 액세스 로그, 연결 제한, 속도 제한 등의 고급 설정을 구성할 수 있습니다. 저장을 클릭합니다.
NSX-T Manager UI를 사용하여 여러 웹 서버에 대한 논리적 부하 분산 장치를 성공적으로 만들었습니다.

전체 솔루션의 설명 부분과 단계별 지침을 참조하세요. 설명:
단계별 가이드
태그 및 보안 그룹 생성
먼저 NSX-T Manager GUI에 로그인하고 인벤토리 > 태그로 이동하여 웹 서버에 "BOSTON-Web"과 같은 태그를 생성하고 BOSTON-web-01a 및 BOSTON-web-02a와 같은 가상 머신을 할당합니다. "BOSTON-App" 및 "BOSTON-DB"에 대해서도 해당 VM을 사용하여 이 과정을 반복합니다. 그런 다음 보안 > 그룹에서 이러한 태그를 기반으로 보안 그룹(예: "BOSTON Web-Servers")을 생성하여 네트워크를 논리적으로 구성합니다.
가상 머신 제외
다음으로, 보안 > 분산 방화벽 > 제외 목록으로 이동하여 "core-A" 가상 머신을 추가하여 방화벽 규칙에서 제외함으로써 분산 방화벽 제한 없이 작동하도록 합니다.
맞춤형 서비스 정의
보안 > 서비스에서 기존 서비스를 확인하세요. "TCP-9443"과 "TCP-3051"이 없는 경우, 특정 애플리케이션 트래픽을 처리하기 위해 TCP 프로토콜과 해당 포트 번호를 사용하여 새 서비스를 추가하여 만드세요.
정책 및 규칙 설정
보안 > 분산 방화벽 > 정책에서 "BOSTON-Web-Application"이라는 새 정책을 만듭니다. 이 정책에 규칙을 추가합니다.
HTTP/HTTPS를 위해 "BOSTON 웹 서버"로 모든 소스를 허용합니다.
TCP-9443에서 "BOSTON 웹 서버"에서 "BOSTON 앱 서버"로의 연결을 허용합니다.
TCP-3051에서 "BOSTON App-Servers"에서 "BOSTON DB-Servers"로의 연결을 허용합니다. 마지막으로 정책을 저장하고 게시하여 변경 사항을 적용합니다.
이러한 설정은 3계층 웹 애플리케이션에 대한 안전하고 분할된 트래픽을 보장하며, 특정 포트에 대한 사용자 정의 서비스를 수동으로 생성해야 한다는 예상치 못한 세부 사항을 제공하여 유연성을 향상시킵니다.
설문 조사 노트: VMware NSX-T Data Center 3.x에서 마이크로 세분화 정책 세부 구성 이 노트는 작업 요구 사항을 기반으로 VMware NSX-T Data Center 3.x에서 3계층 웹 애플리케이션에 대한 마이크로 세분화 정책을 구성하는 방법에 대한 포괄적인 가이드를 제공합니다. 이 프로세스에는 태그 생성, 보안 그룹 생성, 특정 가상 머신 제외, 사용자 지정 서비스 정의, 분산 방화벽 정책 설정이 포함됩니다. 다음 섹션에서는 네트워크 관리자와 보안 전문가가 심도 있게 이해할 수 있도록 각 단계를 자세히 설명합니다.
배경 및 맥락
VMware NSX-T Data Center의 마이크로 세그먼테이션은 네트워크 가상화 기술을 사용하여 데이터 센터를 개별 워크로드 수준까지 논리적으로 보안 세그먼트로 분할하는 네트워크 보안 기술입니다. 이는 웹, 애플리케이션, 데이터베이스 계층으로 구성된 3계층 웹 애플리케이션의 트래픽 제어 및 보안 강화에 특히 중요합니다. 이 작업은 프로덕션 환경에 맞게 마이크로 세그먼테이션을 구성하도록 명시되어 있으며, 비밀번호는 user_readme.txt에 저장되어 있으며 처리 시간이 소요될 수 있으므로 구성 변경을 기다릴 필요가 없다는 내용을 담고 있습니다.
단계별 구성 프로세스
1단계: 태그 생성
NSX-T에서는 태그를 사용하여 가상 머신을 분류하고, 이를 정책 적용을 위해 그룹화할 수 있습니다. 이 과정은 웹 브라우저에서 관리자 권한으로 NSX-T Manager GUI에 로그인하는 것으로 시작됩니다. 인벤토리 > 태그로 이동하여 "태그 추가"를 클릭하여 다음을 생성합니다.
태그 이름: "BOSTON-Web"은 가상 머신 BOSTON-web-01a 및 BOSTON-web-02a에 할당되었습니다.
태그 이름: "BOSTON-App", BOSTON-app-01a에 할당됨.
태그 이름: "BOSTON-DB", BOSTON-db-01a에 할당됨.
이 단계에서는 애플리케이션의 각 계층에 태그가 지정되어 쉽게 식별하고 그룹화할 수 있으며, 첨부 파일의 구성 세부 정보에 맞춰 정렬됩니다.
2단계: 보안 그룹 만들기
NSX-T의 보안 그룹은 태그와 같은 기준에 따라 멤버십을 정의하는 논리적 구조로, 특정 정책 적용을 가능하게 합니다. 보안 > 그룹에서 "그룹 추가"를 클릭하여 다음을 생성합니다.
그룹 이름: "BOSTON 웹 서버", 기준에 "BOSTON-Web" 태그가 포함되도록 설정됨.
그룹 이름: "BOSTON App-Servers", 기준에는 "BOSTON-App" 태그가 포함되도록 설정되었습니다.
그룹 이름: "BOSTON DB-Servers", 기준에 "BOSTON-DB" 태그가 포함되도록 설정됨.
이 단계에서는 네트워크를 관리 가능한 세그먼트로 구성하여 특정 계층에 방화벽 규칙을 적용하기 쉽게 만듭니다.
3단계: 분산 방화벽에서 "core-A" VM 제외
NSX-T의 분산 방화벽(DFW)은 가상 머신 간의 동서 트래픽을 모니터링합니다. 그러나 로드 밸런서나 방화벽과 같은 특정 VM은 DFW 제한 없이 작동하려면 제외해야 할 수 있습니다. 보안 > 분산 방화벽 > 제외 목록으로 이동하여 "추가"를 클릭하고 "가상 머신"을 선택한 후 "core-A"를 선택합니다. "저장"을 클릭하여 작업 요구 사항에 따라 DFW 규칙을 우회하도록 제외합니다.
4단계: 사용자 정의 서비스 정의
방화벽 규칙은 미리 정의되지 않은 특정 서비스를 요구하는 경우가 많습니다. 보안 > 서비스에서 기존 서비스 "TCP-9443"과 "TCP-3051"을 확인하세요. 없는 경우 새로 만드세요.
"서비스 추가"를 클릭하고 이름을 "TCP-9443"으로 지정하고 프로토콜을 TCP로, 포트를 9443으로 설정합니다.
"TCP-3051"에 대해서도 프로토콜 TCP와 포트 3051을 사용하여 반복합니다.
이 단계는 정책 유형(TCP-9443, TCP-3051)에 언급된 TCP 포트와 같은 애플리케이션별 트래픽을 처리하고 규칙에서 이러한 서비스를 참조할 수 있도록 하는 데 중요합니다.
5단계: 정책 및 규칙 만들기
마지막 단계는 마이크로 세그먼테이션을 적용하기 위한 분산 방화벽 정책을 만드는 것입니다. 보안 > 분산 방화벽 > 정책으로 이동하여 "정책 추가"를 클릭하고 이름을 "BOSTON-Web-Application"으로 지정합니다. 섹션을 추가한 후 다음 규칙을 생성합니다.
규칙 이름: "Any-to-Web"
소스: 임의("임의" 또는 IP 주소 0.0.0.0/0 선택)
대상: "BOSTON 웹 서버"(그룹 선택)
서비스: HTTP/HTTPS(사전 정의된 서비스)
작업: 허용
규칙 이름: "웹-앱"
출처: "보스턴 웹 서버"
목적지: "BOSTON 앱 서버"
서비스: TCP-9443(이전에 생성된 사용자 지정 서비스)
작업: 허용
규칙 이름: "앱-DB"
출처: "보스턴 앱 서버"
목적지: "BOSTON DB 서버"
서비스: TCP-3051(이전에 생성한 사용자 지정 서비스)
작업: 허용
규칙을 정의한 후 "저장" 및 "게시"를 클릭하여 정책을 적용합니다. 이렇게 하면 필요에 따라 트래픽 흐름이 보장됩니다. HTTP/HTTPS를 통해 웹 서버로, TCP-9443을 통해 웹에서 앱으로, TCP-3051을 통해 앱에서 데이터베이스로 트래픽이 흐르면서 세분화를 통해 보안이 유지됩니다.
추가 고려 사항
작업 노트에 따르면, 처리에 시간이 걸릴 수 있고 단계가 서로 연관되어 있지 않으므로 구성 변경을 기다릴 필요가 없으며, 즉각적인 진행이 가능함을 시사합니다. 비밀번호는 user_readme.txt에 있으며, 이는 사용자가 필요한 자격 증명을 가지고 있음을 의미합니다. 정책 순서는 매우 중요하며, 규칙은 위에서 아래로 처리됩니다. 첨부 파일의 "유형: TCP-9443, TCP-3051"은 사용된 서비스를 설명하는 것으로, 구성 단계에 직접적인 영향을 미치지는 않습니다.
표: 구성 세부 정보 요약
요소
세부
태그
BOSTON-Web(BOSTON-web-01a, BOSTON-web-02a), BOSTON-App(BOSTON-app-01a), BOSTON-DB(BOSTON-db-01a) 보안 그룹 BOSTON Web-Servers(태그 BOSTON-Web), BOSTON App-Servers(태그 BOSTON-App), BOSTON DB-Servers(태그 BOSTON-DB) DFW 제외 목록 가상 머신: core-A 사용자 지정 서비스 TCP-9443(TCP, 포트 9443), TCP-3051(TCP, 포트 3051) 정책 이름 BOSTON-Web-Application 방화벽 규칙 Any-to-Web(Any to Web-Servers, HTTP/HTTPS, 허용), Web-to-App(Web to App-Servers, TCP-9443, 허용), App-to-DB(App to DB-Servers, TCP-3051, 허용) 이 표는 구성을 요약하여 도움을 줍니다. 검증 및 문서화.
예상치 못한 디테일
예상치 못한 측면은 미리 정의되지 않은 TCP-9443 및 TCP-3051에 대한 사용자 지정 서비스를 수동으로 만들어야 한다는 점입니다. 이는 애플리케이션별 보안 정책에 대한 NSX-T의 유연성을 강조합니다.
결론
이 세부적인 프로세스를 통해 강력한 마이크로 세분화 정책이 보장되고, 계층 간 트래픽을 제어하고 DFW에서 특정 VM을 제외하여 3계층 웹 애플리케이션의 보안이 강화되며, VMware NSX-T Data Center 3.x의 네트워크 보안 모범 사례에 부합합니다.

전체 솔루션의 설명 부분과 단계별 지침을 참조하세요.
설명
양방향 트래픽이 있는 Tampa 웹 오버레이 세그먼트에 대한 모니터링 소프트웨어로 트래픽 복제를 구성하려면 다음 단계를 따라야 합니다.
관리자 자격 증명으로 NSX Manager UI에 로그인하세요. 기본 URL은 다음과 같습니다.
https://<nsx-manager-ip-주소>.
네트워킹 > 세그먼트로 이동하여 트래픽을 복제할 Tampa 웹 오버레이 세그먼트를 선택하세요. 예를 들어, 작업 2에서 만든 Web-01 세그먼트를 선택하세요.
포트 미러링 > 설정 > 세션 추가를 클릭하고 포트 미러링 세션의 이름과 설명(선택 사항)을 입력합니다. 예를 들어 Tampa-Web-Monitoring을 입력합니다.
방향 섹션의 드롭다운 메뉴에서 방향을 '양방향'으로 선택합니다. 이렇게 하면 소스에서 목적지로 수신 및 송신 트래픽이 모두 복제됩니다.
소스 섹션에서 '설정'을 클릭하고 트래픽 소스로 사용할 VM 또는 논리 포트를 선택합니다. 예를 들어, Web-VM-01과 Web-VM-02를 소스 VM으로 선택합니다. '적용'을 클릭합니다.
대상 섹션에서 설정을 클릭하고 드롭다운 메뉴에서 대상 유형으로 원격 L3 SPAN을 선택합니다. 이렇게 하면 NSX-T 환경 외부의 원격 대상으로 트래픽을 복제할 수 있습니다.
네트워크 모니터링 소프트웨어를 설치한 대상 장치의 IP 주소를 입력하세요(예: 10.10.10.200).
드롭다운 메뉴에서 기존 서비스 프로필을 선택하거나 '새 서비스 프로필'을 클릭하여 새 서비스 프로필을 만드세요. 서비스 프로필은 복제된 트래픽의 캡슐화 유형 및 기타 매개변수를 정의합니다.
선택적으로 포트 미러링 세션에 대해 TCP/IP 스택, 스냅 길이 등의 고급 설정을 구성할 수 있습니다.
저장을 클릭한 다음 닫기를 클릭하면 포트 미러링 세션이 생성됩니다.
NSX-T Manager UI를 사용하여 양방향 트래픽이 포함된 Tampa 웹 오버레이 세그먼트에 대한 모니터링 소프트웨어로의 트래픽 복제를 성공적으로 구성했습니다.

전체 솔루션의 설명 부분과 단계별 지침을 참조하세요. 설명:
다운되었다고 보고된 NSX IPSec VPN 서비스의 문제를 해결하려면 다음 단계를 따르세요.
관리자 자격 증명으로 NSX Manager UI에 로그인하세요. 기본 URL은 https://<nsx-manager-ip-address>입니다.
네트워킹 > VPN > IPSec VPN으로 이동하여 다운된 IPSec VPN 세션을 선택하세요. 세션의 이름, 로컬 엔드포인트, 원격 엔드포인트 및 상태를 통해 세션을 식별할 수 있습니다.
'IPSec 통계 표시'를 클릭하면 IPSec VPN 세션 실패에 대한 세부 정보를 볼 수 있습니다. 오류 메시지, 터널 상태, IKE 및 ESP 상태, 그리고 송수신 트래픽 통계를 확인할 수 있습니다.
IPSec VPN 세션의 구성 세부 정보를 아래에 제공된 예상 구성과 비교하십시오. 로컬 및 원격 엔드포인트, 로컬 및 원격 네트워크, IKE 및 ESP 프로필 등의 매개변수에 불일치나 오류가 있는지 확인하십시오.
구성 오류가 발견되면 '작업' > '편집'을 클릭하고 매개변수를 적절히 수정하세요. '저장'을 클릭하여 변경 사항을 적용하세요.
구성 오류가 발견되지 않으면 로컬 및 원격 엔드포인트 간의 연결 및 방화벽 규칙을 확인하세요. NSX Edge CLI에서 ping 또는 traceroute 명령을 사용하여 연결을 테스트할 수 있습니다. 또한 show service ipsec 명령을 사용하여 NSX Edge의 IPSec VPN 서비스 상태를 확인할 수 있습니다.
연결 또는 방화벽 문제가 발견되면 NSX Edge 또는 타사 장치에서 네트워크 설정이나 방화벽 규칙을 조정하여 문제를 해결하세요.
문제를 해결한 후 NSX Manager UI에서 IPSec VPN 페이지를 새로 고쳐 IPSec VPN 세션이 정상적으로 작동하는지 확인하세요. NSX Edge CLI에서 show service ipsec sp 및 show service ipsec sa 명령을 사용하여 IPSec VPN 세션의 보안 정책 및 보안 연결 상태를 확인할 수도 있습니다.