SDN VMware NSX网络原理与实践- NSX-V 安全【2.6】

        在传统的解决方案中，这个功能是通过防火墙（也可以是路由器）在网络层级或子网之间 设置 allow 或 deny 的策略来实现的。比如说， Web 层中的哪些应用能访问到 App 层的哪些后台 软件，进而可以调用数据库层的哪些数据。但是，当应用特别多，数据库特别庞大的时候，通过 传统方式建立安全策略往往非常耗时、难于维护，且容易发生人为配置错误—因为在安全架 构的搭建中，需要配置大量复杂的命令，实现基于网络地址、应用的端口和协议的安全防护。 在 NSX 网络虚拟化环境中，分段技术与隔离技术一样，都是 NSX 安全的核心功能。 前文提到的 NSX 分布式防火墙基于“微分段” 技术，其实质就是在这种所谓的“分段” 功能上实现颗粒度更细的安全防护的一种方式。 由于 NSX 网络虚拟化环境可以支持多层网络环境，即具有多个网段的环境（见图 6.9 的左图），或单一网段的环境（见图 6.9 的右图），其中的工作负载全部使用分布式防火墙 规则连接到单个二层子网。在这两种情况下，通过微分段技术实现了相同的目标—在逻 辑网络中为工作负载到工作负载的东西向流量提供保护。

        传统的物理防