FortiGate-VM与FortiGate-VMX的关系.pdfVIP

FortiGate-VM 与FortiGate-VMX 的关系 版本 1.0 时间 2015 年4 月 Fortios: v5.0.x,v5.2.x 支持的版本 Fortimanager: 5.0.x,v5.2.x 作者 蒋晓 状态 待审核 反馈 support_cn@ © 2015 飞塔信息 - 1 - 密级：完全公开 FortiGate 架构的实质是把控制平面 （CPU 负责新老会话的建立拆除及不同层次的计算任务调度） 与数据计算平面 （FortiASIC 芯片负责网络及应用层次功能的高速处理）做了分离，这与SDN （软件定 义网络）中控制与数据双平面的设计理念不谋而合，因此我们试图在各种SDN 架构的应用场 景中 （如本文假定的VMware vSphere 及NSX 场景）中透过传统的FortiGate-VM 来分担数据运算负 载、而透过新开发的FortiGate-VMX 服务组件来负责诸如策略分发管理等控制负载。 1.1 FortiGate-VM （运算平面的角色--执法者） FortiGate-VM 是一个可运行在多种hypervisor 平台上的虚拟机（与业务服务的VM 地位相 同），一般通过网络协议（二层/三层）引流到FortiGate-VM 上来让其做五元组或包内容的安 全过滤，主要用来处理数据中心的【南北向】流量 （跨VLAN 间流量，也有说法指数据中心本地与外 界的交互流量） © 2015 飞塔信息 - 2 - 密级：完全公开 1.2 FortiGate-VMX （控制平面的角色--传令官） 由于有数据显示，数据中心76%的流量都是【东西向】（vm 与vm 之间的通信控制流量，也有 说法泛指数据中心内部的流量），于是如何做到对其可视化成为一种需要。我们通过在vSphere 中 嵌入一个安全服务代理组件（FortiGate-VMX ）来实施对FortiGate 各种安全功能vm 在SDN 环 境下的集中管控，每一个vSphere 集群中都需要至少部署一个FortiGate-VMX 服务组件，然后 用vmx 服务管理器（未来可能会演变为直接用FortiManager）作为它的管理工具来将配置策略下发， 它们之间的交互流程如下： © 2015 飞塔信息 - 3 - 密级：完全公开 图1.1 fortigate-vmx 服务管理器与vmx 组件间的交互过程 1.3 FortiGate-VMX 组件的作用 FortiGate-VMX 可透过NetX REST API 实现自动部署，在vmx 服务管理器上设定规则推送至 FortiGate-VMX 上来执行究竟什么样的数据包被接受、拒绝、发送或为了检查而镜像，规则可 以基于IP、MAC、服务端口号，还能在被保护的业务VM 的虚拟网卡与虚拟交换机之间插入过 滤器来监控通信（可通过vCNS 来实现）。 1.4 VMX 服务管理器的作用 (一) vmx 服务管理器已实现了与VMware vCNS Manager 组件的整合，可实现在VMware NSX 环境中添加Fortinet 安全解决方案 (二) vmx 服务管理器可被所有vCenter dbase 的对象更新 (三) vmx 服务管理器可批量部署FortiGate-VMX 安全服务组件 (四) vmx 服务管理器能方便地推送安全