SDN VMware NSX网络原理与实践- NSX 与 OpenStack【3.9】

9.6.3 安全 Profile 与访问控制列表

        NSX-MH 还可以通过部署与传统物理网络设备中类似的访问控制列表（ACL），实现工作 流之间的安全交互。在 NSX-MH 中， 由于访问控制列表是配置在网络虚拟化环境中，因此配 置方式与传统物理设备中的配置还是有所不同的。 NSX-MH 提供了两种配置方法。

         在连接逻辑交换机端口（VIF）的虚拟工作流之间部署三、四层过滤，一般使用名 为“安全 Profile” 的逻辑结构。  将三、四层过滤应用到 NSX 二/三层网关连接的逻辑交换端口的时候，其配置模式 与传统的 ACL 非常类似。 图 9.37 简单说明了安全 Profile 和 ACL 的部署位置。随后会详细讨论这两种配置方法。 与通过大多数 CMS/CMP（比如 OpenStack）创建的安全组功能非常类似，安全 Profile 可 以提供一基于角色的模型，以定义一组过滤规则，并应用到一个特定的逻辑交换机端口。

         每个安全 Profile 会定义一组出向规则（虚拟机的流量通过逻辑交换机端口去往别的虚 拟机）和入向规则（抵达逻辑交换机的流量，并希望进入逻辑交换机端口连接的虚拟机）。 一个逻辑交换机端口可以关联多个安全 Profile，安全过滤规则会匹配每个 Profile 中的任何 一个条目。对于匹配的安全规则，流量被放行，反之就会丢弃。当逻辑交换机端口没