Podívejme se na několik otázek na pohovoru VMware NSX, které pomohou uchazečům o zaměstnání a profesionálům, kteří chtějí získat certifikaci v oblasti virtualizace sítí.
VMware získal NSX od Nicira v červenci 2012, který byl primárně používán pro virtualizaci sítě v hypervizoru založeném na Xenu. NSX abstrahuje fyzickou vrstvu (virtualizuje síť), takže software běží na horní části hypervizoru, který je dynamicky konfigurován a aktualizován. V současné době má NSX dvě verze: NSX-T (navržená pro multi-hypervizory a cloudové nativní aplikace) a NSX-V (navržená pouze pro prostředí vSphere).
NSX je budoucností moderních IT infrastruktur, které nabízí bohaté možnosti pro správu a zabezpečení vaší virtuální infrastruktury. 82 % z 100 jmění přijalo VMware NSX. Vzhledem k tomu, že podniky rychle přijímají VMware NSX, je vždy vysoká poptávka po zkušených pracovnících.
Za tímto účelem jsme připravili několik otázek k rozhovoru s vysvětlujícími odpověďmi
Tyto otázky pohovoru jsou rozděleny do následujících technických oblastí:
- Základní pojmy
- Základní komponenty NSX
- Funkční služby NSX
- Brána služeb Edge
- Skladatel služeb
- Sledování
- Správa NSX
Table of Contents
Základní koncepty NSX
#1. Co je oddělení?
Důležitým konceptem síťové virtualizace je oddělení softwaru a síťového hardwaru. Software funguje nezávisle na síťovém hardwaru, který fyzicky propojuje infrastrukturu. Jakýkoli síťový hardware, který může spolupracovat se softwarem, vždy zlepší funkčnost, ale není to nutné. Pamatujte, že výkon vašeho síťového hardwaru bude vždy omezovat vaši propustnost na drátě.
#2. Co je Control Plane?
Oddělení softwaru a síťového hardwaru vám umožní lépe řídit vaši síť, protože veškerá logika spočívá v softwaru. Tento řídicí aspekt vaší sítě se nazývá řídicí rovina. Řídicí rovina poskytuje prostředky pro konfiguraci, monitorování, odstraňování problémů a umožňuje automatizaci vůči síti.
#3. Co je datová rovina?
Síťový hardware tvoří datovou rovinu, kde jsou všechna data předávána ze zdroje do cíle. Správa dat spočívá v řídicí rovině; datová rovina se však skládá ze veškerého síťového hardwaru, jehož primární funkcí je předávat provoz po drátě ze zdroje do cíle.
#4. Co je řídicí rovina?
Řídící rovinu primárně tvoří manažer NSX. Správce NSX je součástí centralizované správy sítě a primárně umožňuje jeden bod správy. Poskytuje také REST API, které může uživatel použít k provádění všech funkcí a akcí NSX. Během fáze nasazení se při nasazení a konfiguraci zařízení NSX vytvoří rovina správy. Tato rovina správy přímo spolupracuje s rovinou řízení a také datovou rovinou.
#5. Co je to logické přepínání?
NSX umožňuje vytvářet logické přepínání L2 a L3, které umožňuje izolaci pracovní zátěže a oddělení prostoru IP adres mezi logickými sítěmi. NSX může ve virtuálním prostoru vytvářet logické broadcast domény, které zabraňují nutnosti vytvářet jakékoli logické sítě na fyzických přepínačích. To znamená, že již nejste omezeni na 4096 fyzických vysílacích domén (VLAN).
#6. Co jsou služby brány NSX?
Služby brány Edge propojují vaše logické sítě s vašimi fyzickými sítěmi. To znamená, že virtuální počítač připojený k logické síti může odesílat a přijímat provoz přímo do vaší fyzické sítě prostřednictvím brány.
#7. Co je to logické směrování?
Pomocí NSX lze vytvořit více domén virtuálního vysílání (logických sítí). Vzhledem k tomu, že se k odběru těchto domén přihlásí více virtuálních počítačů, je klíčové, aby bylo možné směrovat provoz z jednoho logického přepínače do druhého.
#8. Co je to východo-západní provoz v logickém směrování?
Provoz mezi východem a západem je provoz mezi virtuálními stroji v datovém centru. V současném kontextu to bude obvykle provoz mezi logickými přepínači v prostředí VMware.
#9. Co je to severojižní provoz?
Severojižní provoz je provoz pohybující se dovnitř a ven z vašeho datového centra. Jedná se o jakýkoli provoz, který buď vstupuje do vašeho datového centra, nebo opouští vaše datové centrum.
#10. Co je to logický firewall?
Logické firewally jsou dvou typů: distribuovaný firewall a Edge firewall. Distribuovaný firewall je ideálně nasazen k ochraně jakéhokoli provozu z východu na západ, zatímco firewall Edge chrání jakýkoli provoz ze severu na jih. Distribuovaný logický firewall vám umožňuje vytvářet pravidla na základě atributů, které zahrnují IP adresy, VLAN, názvy virtuálních strojů a objekty vCenter. Brána Edge obsahuje službu brány firewall, kterou lze použít k zavedení zabezpečení a omezení přístupu na provoz ze severu na jih.
#11. Co je Load Balancer?
Logický nástroj pro vyrovnávání zátěže rozděluje příchozí požadavky mezi více serverů, aby umožnil rozložení zátěže a zároveň tuto funkci abstrahoval od koncových uživatelů. Logický nástroj pro vyrovnávání zátěže lze také použít jako mechanismus vysoké dostupnosti (HA), který zajistí, že vaše aplikace bude mít maximální dobu provozuschopnosti. Aby bylo možné povolit službu vyrovnávání zatížení, musí být nasazena instance brány služeb Edge.
#12. Co je Service Composer?
Skladatel služeb vám umožňuje přidělit síť a více bezpečnostních služeb do skupin zabezpečení. Virtuálním počítačům, které jsou součástí těchto skupin zabezpečení, jsou automaticky přiděleny služby.
#13. Co je zabezpečení dat?
Zabezpečení dat NSX poskytuje přehled o citlivých datech, zajišťuje ochranu dat a podává zprávy o jakémkoli porušení předpisů. Kontrola zabezpečení dat na určených virtuálních strojích umožňuje NSX analyzovat a hlásit všechna porušení na základě bezpečnostní politiky, která se na tyto virtuální stroje vztahuje.
#14. Maximální konfigurace NSX 6.2
Popis
Omezit
vCenter
1
Manažeři NSX
1
Klastry DRS
12
Ovladače NSX
3
Hostitelé na klastr
32
Hostitelé na dopravní zónu
256
Logické spínače
10 000
Porty pro logické přepínače
50 000
DLR na hostitele
1 000
DLR pro NSX
1 200
Brány služeb Edge podle správce NSX
2000
Základní komponenty NSX
#15. Definovat NSX Manager?
Správce NSX nám umožňuje vytvářet, konfigurovat a spravovat komponenty NSX v prostředí. Správce NSX poskytuje grafické uživatelské rozhraní a rozhraní REST API, která umožňují interakci s různými komponentami NSX. NSX Manager je virtuální stroj, který si můžete stáhnout jako OVA a nasadit jej na libovolném hostiteli ESX spravovaném vCenter.
#16. Definovat NSX Controller Cluster?
Řadič NSX poskytuje funkci řídicí roviny pro distribuci logického směrování a informací o síti VXLAN do základního hypervizoru. Řadiče jsou nasazeny jako virtuální zařízení a měly by být nasazeny ve stejném správci vCenter, ke kterému je připojen NSX. V produkčním prostředí se doporučuje nasadit minimálně tři řadiče. Musíme zajistit, aby pravidla afinity DRS byla nakonfigurována pro nasazení řadičů na samostatném hostiteli ESXi pro lepší dostupnost a škálovatelnost.
#17. Co je VXLAN?
VXLAN je tunelovací protokol vrstvy 2 přes vrstvu 3, který umožňuje segmentům logické sítě rozšířit se na směrovatelné sítě. Toho je dosaženo zapouzdřením ethernetového rámce dalšími hlavičkami UPD, IP a VXLAN. V důsledku toho se zvětší velikost paketu o 50 bajtů. VMware proto doporučuje zvýšit velikost MTU na minimálně 1 600 bajtů pro všechna rozhraní ve fyzické infrastruktuře a všechny související vSwitche.
#18. Co je VTEP?
Když virtuální stroj generuje provoz určený pro jiný virtuální stroj ve stejné virtuální síti, hostitelé, na kterých běží zdrojové a cílové virtuální stroje, se nazývají koncové body tunelu VXLAN (VTEP). VTEP jsou na hostitelích konfigurovány jako samostatná rozhraní VMKernel.
Vnější blok hlavičky IP v rámci VXLAN obsahuje zdrojové a cílové adresy IP, které obsahují zdrojový hypervizor a cílový hypervizor. Když paket opustí zdrojový virtuální počítač, je zapouzdřen ve zdrojovém hypervizoru a odeslán do cílového hypervizoru. Po přijetí tohoto paketu cílový hypervizor dekapsuluje ethernetový rámec a předá jej cílovému virtuálnímu počítači.
Jakmile NSX Manager připraví hostitele ESXi, musíme nakonfigurovat VTEP. NSX podporuje více VXLAN vmknic na hostitele pro funkce vyrovnávání zátěže uplinku. Kromě toho je podporováno také značkování Guest VLAN.
#19. Popište dopravní zónu?
Transportní zóna definuje rozšíření logického přepínače přes více klastrů ESXi, které pokrývají více virtuálních distribuovaných přepínačů. Transportní zóna umožňuje, aby se logický přepínač rozšířil přes více virtuálních distribuovaných přepínačů. Všichni hostitelé ESXi, kteří jsou součástí této transportní zóny, mohou mít virtuální počítače jako součást této logické sítě. Logický přepínač je vždy vytvořen jako součást transportní zóny a hostitelé ESXi se jich mohou účastnit.
#20. Co je univerzální dopravní zóna?
Univerzální transportní zóna umožňuje logickému přepínači pokrýt více hostitelů napříč více vCenter. Univerzální transportní zónu vždy vytváří primární server NSX a je synchronizována se sekundárními správci NSX.
#21. Co je brána služeb NSX Edge?
NSX Edge Services Gateway (ESG) nabízí funkčně bohatou sadu služeb, které zahrnují NAT, směrování, firewall, vyvažování zátěže, L2/L3 VPN a DHCP/DNS relay. NSX API umožňuje každou z těchto služeb nasadit, konfigurovat a využívat na vyžádání. NSX Edge můžete nainstalovat jako ESG nebo jako DLR.
Počet zařízení Edge, včetně ESG a DLR, je omezen na 250 na hostiteli. Brána Edge Services Gateway je nasazena jako virtuální počítač ze správce NSX, ke kterému se přistupuje pomocí webového klienta vSphere.
Poznámka: Bránu služeb Edge může nasadit pouze role podnikového administrátora, která umožňuje provoz NSX a správu zabezpečení:
#22. Popište distribuovaný firewall v NSX?
NSX poskytuje služby stavového firewallu L2-L4 pomocí distribuovaného firewallu, který běží v jádře hypervizoru ESXi. Vzhledem k tomu, že firewall je funkcí jádra ESXi, nabízí masivní propustnost a pracuje rychlostí blízkou lince. Když NSX zpočátku připraví hostitele ESXi, služba distribuovaného firewallu se nainstaluje do jádra nasazením jádra VIB—VMware internetworking service insertion platform (VSIP). VSIP je odpovědný za monitorování a vynucování bezpečnostních politik u veškerého provozu procházejícího datovou rovinou. Propustnost a výkon distribuovaného firewallu (DFW) se horizontálně škálují s přibývajícími hostiteli ESXi.
#23. Co je Cross-vCenter NSX?
Počínaje NSX 6.2 můžete spravovat více prostředí vCenter NSX pomocí funkce cross-vCenter. To vám umožní spravovat více prostředí vCenter NSX z jediného primárního správce NSX. V nasazení napříč vCenter je několik vCenter spárováno se svým vlastním NSX Managerem na vCenter. Jeden manažer NSX je přiřazen jako primární, zatímco ostatní správci NSX se stávají sekundárními. Tento primární správce NSX nyní může nasadit univerzální řadičový cluster, který poskytuje řídicí rovinu. Na rozdíl od samostatného nasazení vCenter-NSX sekundární správci NSX nenasazují své vlastní clustery řadičů.
# 24. Co je to VPN?
Virtuální privátní sítě (VPN) vám umožňují bezpečně připojit vzdálené zařízení nebo web k vaší podnikové infrastruktuře. NSX Edge podporuje tři typy připojení VPN. SSL VPN-Plus, IP-SEC VPN a L2 VPN.
#25. Co je SSL VPN-Plus?
SSL VPN-Plus umožňuje vzdáleným uživatelům bezpečný přístup k aplikacím a serverům v privátní síti. Existují dva režimy, ve kterých lze nakonfigurovat SSL VPN-Plus: režim přístupu k síti a režim přístupu na web. V režimu síťového přístupu může vzdálený uživatel bezpečně přistupovat k interní privátní síti. To se provádí klientem VPN, který si vzdálený uživatel stáhne a nainstaluje do svého operačního systému. V režimu webového přístupu může vzdálený uživatel přistupovat k privátním sítím bez jakéhokoli klientského softwaru VPN.
#26. Co je IPSec VPN?
Brána služeb NSX Edge podporuje síť IPSEC VPN typu site-to-site, která vám umožňuje připojit síť podporovanou bránou služeb NSX Edge k jinému zařízení na vzdáleném místě. NSX Edge dokáže vytvořit zabezpečené tunely se vzdálenými lokalitami, které umožní bezpečný tok provozu mezi lokalitami. Počet tunelů, které může brána Edge vytvořit, závisí na velikosti nasazené brány Edge. Před konfigurací IPsec VPN se ujistěte, že je na uplinku Edge zakázáno dynamické směrování, aby byly povoleny specifické trasy definované pro jakýkoli provoz VPN.
Poznámka: Certifikáty s vlastním podpisem nelze použít s IPSEC VPN.
#27. Co je L2 VPN
L2 VPN vám umožňuje roztáhnout více logických sítí na více míst. Sítě mohou být jak tradiční VLAN, tak VXLAN. V takovém nasazení se virtuální stroj může pohybovat mezi weby, aniž by měnil svou IP adresu. L2 VPN je nasazena jako klient a server, kde cílový Edge je server a zdrojový Edge je klient. Klient i server se učí MAC adresy místních i vzdálených míst. Pro všechny weby, které nejsou podporovány prostředím NSX, lze nasadit samostatnou bránu NSX Edge.
Funkční služby NSX
#28. Kolik správců NSX lze nainstalovat a nakonfigurovat v prostředí NSX napříč vCenter?
Může existovat pouze jeden primární manažer NSX a až sedm sekundárních manažerů NSX. Můžete vybrat jednoho primárního správce NSX, poté můžete začít vytvářet univerzální objekty a nasazovat také clustery univerzálních řadičů. Univerzální cluster řadičů bude poskytovat řídicí rovinu pro prostředí cross-vCenter NSX. Pamatujte, že v prostředí cross-vCenter nemají sekundární správci NSX své vlastní clustery řadičů.
#29. Co je fond ID segmentů a jak jej přiřadit?
Každý tunel VXLAN má ID segmentu (VNI) a pro každého správce NSX musíte zadat fond ID segmentu. Veškerý provoz bude vázán na jeho ID segmentu, což umožňuje izolaci.
#30. Co je L2 Bridge?
Logický přepínač lze připojit k fyzickému přepínači VLAN pomocí mostu L2. To vám umožňuje rozšířit vaše virtuální logické sítě o přístup ke stávajícím fyzickým sítím propojením logické VXLAN s fyzickou VLAN. Toto přemostění L2 se provádí pomocí logického směrovače NSX Edge, který se mapuje na jedinou fyzickou VLAN ve fyzické síti.
Mosty L2 by se však neměly používat k propojení dvou různých fyzických sítí VLAN nebo dvou různých logických přepínačů. Také nemůžete použít univerzální logický směrovač ke konfiguraci přemostění a most nelze přidat k univerzálnímu logickému přepínači. To znamená, že v prostředí multi-vCenter NSX nemůžete rozšířit logický přepínač na fyzickou VLAN v jiném datovém centru pomocí L2 bridge.
Brána služeb Edge
#31. Co je to směrování ECMP (Equal Cost Multi-Path)?
ECMP umožňuje, aby paket dalšího skoku byl předán do jednoho cíle několika nejlepšími cestami, které lze přidat staticky nebo dynamicky pomocí směrovacích protokolů, jako jsou OSPF a BGP. Tyto vícenásobné cesty jsou přidány jako hodnoty oddělené čárkami při definování statických tras.
#32. Jaké jsou výchozí rozsahy pro přímo připojené, statické, externí BGP atd.?
Rozsah hodnot je od 1 do 255 a výchozí rozsahy jsou: Připojeno (0), Statické (1), Externí BGP (20), OSPF intra-area (30), OSPF inter-area (110) a Interní BGP (200) .
Poznámka: Jakákoli z výše uvedených hodnot bude vložena do „Vzdálenost správce“ úpravou konfigurace výchozí brány v konfiguraci směrování.
#33. Co je otevřená nejkratší cesta nejprve (OSPF)?
OSPF je směrovací protokol, který používá směrovací algoritmus link-state a funguje v rámci jednoho autonomního systému.
#34. Co je Graceful Restart v OSPF?
Graceful Restart umožňuje nepřetržité předávání paketů, i když je proces OSPF restartován. To pomáhá při nerušivém směrování paketů.
#35. Co je Not-So-Stubby Area (NSSA) v OSPF?
NSSA zabraňuje zahlcení externích reklam o stavu propojení autonomního systému tím, že se spoléhá na výchozí trasy k externím cílům. NSSA jsou obvykle umístěny na okraji směrovací domény OSPF.
#36. Co je BGP?
BGP je protokol vnější brány určený k výměně informací o směrování mezi autonomními systémy (AS) na internetu. BGP je relevantní pro správce sítí velkých organizací, kteří se připojují ke dvěma nebo více ISP, a poskytovatele internetových služeb, kteří se připojují k jiným poskytovatelům sítí. Pokud jste správce malé podnikové sítě nebo koncový uživatel, pak pravděpodobně nemusíte vědět o BGP.
#37. Co je distribuce trasy?
V prostředí, kde se používá více směrovacích protokolů, redistribuce směrování umožňuje sdílení směrování napříč protokoly.
#38. Co je Layer 4 Load Balancer?
Nástroj pro vyrovnávání zatížení vrstvy 4 přijímá rozhodnutí o směrování na základě IP a portů TCP nebo UDP. Má paketový pohled na provoz vyměňovaný mezi klientem a serverem a přijímá rozhodnutí paket po paketu. Spojení vrstvy 4 je vytvořeno mezi klientem a serverem.
#39. Co je Layer 7 load balancer?
Nástroj pro vyrovnávání zatížení vrstvy 7 přijímá rozhodnutí o směrování na základě IP, TCP nebo UDP portů nebo jiných informací, které může získat z aplikačního protokolu (hlavně HTTP). Nástroj pro vyrovnávání zatížení vrstvy 7 funguje jako proxy a udržuje dvě TCP spojení: jedno s klientem a jedno se serverem.
#40. Co je aplikační profil při konfiguraci nástroje Load Balancer?
Než vytvoříme virtuální server pro mapování do fondu, musíme definovat profil aplikace, který definuje chování konkrétního typu síťového provozu. Když je přijat provoz, virtuální server zpracuje provoz na základě hodnot definovaných v profilu. To umožňuje větší kontrolu nad správou síťového provozu:
#41. Co je podrozhraní?
Dílčí rozhraní neboli interní rozhraní je logické rozhraní, které je vytvořeno a namapováno na fyzické rozhraní. Dílčí rozhraní jsou jednoduše rozdělením fyzického rozhraní na více logických rozhraní. Toto logické rozhraní používá k přesunu dat nadřazené fyzické rozhraní. Pamatujte, že pro HA nemůžete používat dílčí rozhraní, protože srdeční tep musí procházet fyzickým portem z jednoho hypervizoru do druhého mezi zařízeními Edge.
#42. Proč je Force Sync NSX Edge nezbytný pro vaše prostředí?
Force sync je funkce, která synchronizuje konfiguraci Edge ze správce NSX se všemi jeho součástmi v prostředí. Synchronizační akce je zahájena z NSX Manager do NSX Edge, která obnoví a znovu načte konfiguraci Edge.
#43. Proč je ve vašem virtuálním prostředí nutný vzdálený server Syslog?
VMware doporučuje nakonfigurovat servery Syslog, aby se zabránilo zahlcení protokolů na zařízeních Edge. Když je povoleno protokolování, protokoly se ukládají lokálně na zařízení Edge a zabírají místo. Pokud není zaškrtnuto, může to mít dopad na výkon zařízení Edge a může to také vést k zastavení zařízení Edge z důvodu nedostatku místa na disku.
Skladatel služeb
#44. Co jsou bezpečnostní zásady?
Zásady zabezpečení jsou sady pravidel, která platí pro virtuální počítač, síť nebo služby brány firewall. Zásady zabezpečení jsou opakovaně použitelné sady pravidel, které lze použít na skupiny zabezpečení. Bezpečnostní zásady vyjadřují tři typy sad pravidel:
- Endpoint Services: Služby založené na hostech, jako jsou antivirová řešení a správa zranitelnosti
- Pravidla brány firewall: Distribuované zásady brány firewall
- Služby introspekce sítě: Síťové služby, jako jsou systémy detekce narušení a šifrování
Tato pravidla se použijí na všechny objekty a virtuální počítače, které jsou součástí skupiny zabezpečení, ke které je tato zásada přidružena.
Sledování
#44. Co je Endpoint Monitoring v NSX?
Endpoint Monitor poskytuje přehled a viditelnost aplikací spuštěných v rámci operačního systému, aby bylo zajištěno správné vynucování zásad zabezpečení. Endpoint Monitoring vyžaduje instalaci introspekce hosta. Na virtuálních počítačích budete muset nainstalovat ovladač pro introspekci hosta, který je součástí instalace nástrojů VMware.
#45. Co je sledování toku?
NSX Flow monitoring je funkce, která umožňuje podrobné sledování provozu do az chráněných virtuálních strojů. Sledování toku dokáže jednoznačně identifikovat různé stroje a služby, které si vyměňují data, a pokud je povoleno, dokáže identifikovat, které stroje si vyměňují data přes konkrétní aplikace. Flow monitoring také umožňuje živé monitorování TCP a UDP spojení a lze jej použít jako efektivní forenzní nástroj.
Poznámka: Sledování toku lze zapnout pouze pro nasazení NSX, kde je povolena brána firewall.
#46. Co je Traceflow?
Traceflow je zajímavý nástroj vytvořený tak, aby správcům umožnil bezproblémově odstraňovat problémy s jejich virtuálním síťovým prostředím sledováním toku paketů podobným způsobem jako starší aplikace Packet Tracer. Traceflow vám umožňuje vložit paket do sítě a sledovat jeho tok po síti. Tento tok vám umožňuje monitorovat vaši síť a identifikovat problémy, jako jsou úzká místa nebo přerušení.
Správa NSX
#48. Jak funguje server Syslog v NSX?
Konfigurace NSX Manager se vzdáleným serverem Syslog vám umožní shromažďovat, prohlížet a ukládat všechny soubory protokolu do centrálního umístění. To vám umožňuje ukládat protokoly pro účely dodržování předpisů; když používáte nástroj, jako je VMware vRealize Log insight, můžete vytvářet alarmy a používat vestavěný vyhledávač k prohlížení protokolů.
#49. Jak funguje zálohování a obnova v NSX?
Zálohy jsou kritické pro prostředí NSX, které vám umožňuje jejich vhodnou obnovu během selhání systému. Kromě vCenter můžete také provádět operace zálohování na NSX Manager, clusterech řadičů, NSX Edge, pravidlech brány firewall a Service Composer. To vše lze jednotlivě zálohovat a obnovit.
#50. Co je to SNMP trap?
Depeše SNMP (Simple Network Management Protocol) jsou výstražné zprávy zasílané ze vzdáleného zařízení s podporou SNMP do kolektoru. Agenta SNMP můžete nakonfigurovat tak, aby předával depeše SNMP.
Ve výchozím nastavení je mechanismus depeše SNMP zakázán. Pokud je depeše SNMP povolena, do správce SNMP se odesílají pouze kritická a vysoce závažná oznámení.
Doufám, že se vám čtení tohoto příspěvku líbilo. Hodně štěstí při pohovoru! 👍