在谈及NSX的光阴，不少人都邑感慨这可是一个产物，完备假造化防火墙大概是软件界说网络的功用，却粗心了NSX也是一个网络与平安平台，倘使带上平台的标签再去看NSX，NSX的价格便不再是隔断个假造机，做做网络主动化如此简略。这篇文章便来梳理一下做为平台，NSX能够供应甚么功用，有甚么价格。
一、概览
提到假造化的平安，不少人料到的关键词即是：防火墙、IPS、防病毒软件等产物，每个产物都有本身特长的周围，行使特定的功用来保证平安。即便产物功用变幻无穷，但有一些东西恒定稳定，即怎样去爱护。
时常来讲，平安的宗旨是避免数据败露，数据起因于职掌系统中，败露的途径主借使网络，因而爱护方法也有两种：
在数据泉源布置平安装备举行爱护：在供应效劳的假造机中布置Agent举行防备
在数据传输途径中布置平安装备举行爱护：在网络途径中串连平安装备举行防备
以上两种方法各有优弱点：
Agent的方法离数据近来，能够在数据被发送出去畴昔就举行爱护，能够探测职掌系统过程、网络、IO读写等特别多的讯息，巩固辨认度。但Agent普遍都须要装在职掌系统中，倘使须要爱护的目标数目多，则运维会有必然承当，会占用较多的策画资本，大概会拖慢系统运转速率，Agent无奈和歹意软件等隔断开，存在被“干掉”的大概。
串连在网络中普遍对根本架构影响较小，只要要举行网络割接，统统网络的设置不须要改动，透亮串接的方法关于受爱护的目标来讲是透亮的，因而能够无声地举行爱护。但倘使与Agent的方法比，能获得到的讯息更少(惟有经历网络传输的体例)，爱护力度也差一些，时常串接是会合式责罚，也大概会影响责罚本能。
上头两种方法并不好坏此即彼，因两者功用注中心稍不同，时常企业会同时采取两种防备方法，：Agent的方法更多用于爱护职掌系统过程、运用、数据；网络的方法普遍用于隔断（根本的基于端口的隔断，基于运用的隔断）、发觉及抑制进攻举动。
但如此的组兼并非完备，两者自己存在的一些毛病仍旧存在，并且所谓的组合更多是一个产物加另一个产物，而不是两个产物构成的处分计划。
那怎样去取舍适宜的架洽商计划？上面归纳了一些关键词：
1
看来性
一个项目普遍有三个阶段，策画、践诺和运维，关于平安项目，看来性是须要超出统统项目阶段的：
在策画阶段，务必熟练受爱护的目标，再依据爱护目标去取舍怎样爱护，终归“你无奈爱护看不见的东西”；
践诺阶段则须要行使策画阶段的数据来举行平安装备的设置，譬喻防火墙准则，防病毒政策等；
运维阶段更是须要监控，网络拜访是不是依据预期举行的？有没有弱点？有没有反常？
2
保证平安
平安软件最首要的自然是践诺的政策能够被施行，倘使采取的平安产物无奈灵验隔断/爱护受爱护目标，那如此的处分计划就形同虚设。
3
可扩充
时常做一个平安计划并不是天真一个厂商的一个产物就能够处分，各家有各家的特长，有本身的优弱点。而倘使在一个计划中采取多个功用叠加但又不同样的防备软件，则又大概呈现相杀的情形，也大概呈现本能下落等题目。因而计划须要有必然的可扩充性，不能由于产物而束缚架构。
4
统一政策
保守的平安处分计划更多是本身自力成体制，产物间很少大概无奈同享讯息，而不少光阴咱们须要平安产物间的联动。
5
性命周期治理和主动化
畴昔有本讲假造化运维的书，说到：“不要策画一个你不肯意运维的架构，即便这个架构果然很棒”。在不少光阴，好不好用比功用强不强壮更首要。
如今不少平安防备办法都须要去革新特性库，也须要依据每每曝出的平安弱点、歹意软件去实时加固平安政策，倘使有交易改动，平安政策也须要举行窜改，倘使交易转移，平安政策也须要能随从。倘使将这些职掌主动化则能够极大低落运维承当。
面临上述各式须要，NSX的处分思绪很简略，即是建设假造化平安根本平台（相同文章：NSX从初学到通晓(5)：NSX带来的平安转型-下篇），经历怒放的平安接口保证自己供应的平安效劳和第三方平安效劳能够无缝集成，同享高低文，经历效劳编排实行跨处分计划的统一平安政策，经历怒放的API接口与主动化器材集成实行主动化及性命周期治理。
NSX完备的平安架构如下：
上图的架构须要从左到右，由上至下看：
NSX平安的中心功用是散布式防火墙（DFW），前方曾经有不少篇幅讲怎样劳动、怎样布置、怎样哄骗，这边不再赘述。
NSX除了DFW具备防火墙的功用外，其路由组件EdgeServiceGateway也有防火墙功用，不过务必完备哄骗NSX网络假造化功用才气哄骗。ESG在假造化处境中很相同于保守物理处境的界限防火墙，首要用于隔断不同住客之间的网络，但时常来讲，DFW也能够实行这一部份功用。在某些场景下，ESG还会供应一些高档效劳，譬喻VPN、负载平衡等，此时ESG的防火墙即可用于保证自己的平安。
ESG的简介见：NSX从初学到通晓(22)：假造化网络的最好处分计划-NSX
NSX援助保守平安的两种布置方法，将其称为末端平安和网络平安，前者负责与职掌系统干系的平安，后者负责与网络干系的平安。
两种布置方法即便自力，但能够同享高低文，供应两类产物间讯息同享的通道。
末端平安的中心是GuestIntrospection，它能够供应一些根本的平安功用(譬喻行动监控、系统事变)，借助GI效劳假造机，第三方末端平安处分计划能够实行假造化无代劳末端防备。
网络平安的中心是DFW、效劳编排、NetX接口、VSIP等组件，经历这些功用能够实行跨平安产物的把持层面及数据层面的统一治理、平安串接。
上面详细讲解下架构中中心的两大模块：末端平安和网络平安
二、末端平安
GuestIntrospection是NSX中对比不起眼的一个小脚色，然而不少功用都要依赖于它，譬喻畴昔提到的基于身份认证的防火墙(详见：NSX从初学到通晓(10)：NSX微分段的哄骗途景之末端用户平安)、无代劳防病毒(详见：NSX+趋向DeepSecurity布置手册-视频版)，总的来讲GI供应如下功用：
然而很悲惨这些功用并不能直接托付，须要其余产物来做集成。
GI的存在情势是一台假造机，每台ESXi上都须要布置一台，在布置GI的同时，每台主机上也会安设epsec-mux启动，为了保证GI平常劳动，在受爱护的假造机上也须要安设VMwareTools。
借助NSX末端平安的框架，第三方产物能够轻便实行假造化无代劳防病毒。
在可靠临盆处境中，借助以上架构实行无代劳防病毒也是最罕见的用法。
时常在假造化中做防病毒时有两种情势：有代劳防病毒和无代劳防病毒。
有代劳防病毒须要在统统受爱护的假造机上安设Agent，全体策画资本开消会很大；布置和运维劳动量都较大；新上线的假造机无奈主动设置平安政策；而倘使有按期扫描职责，很简略形成多个假造机同时移用底层资本(CPU、内存、保存)，形成淤塞，即常说的杀毒风暴。
无代劳防病毒情势下，从来多个Agent被“会合”放在了一同，由特意的效劳假造机来施行查杀毒职掌，资本占用较小、治理节点减小，行使NSX的架构能够便利实行一次性布置、主动化集成平安政策(详见：NSX+趋向DeepSecurity布置手册-视频版)。
除了无代劳防病毒以外，也有一些产物借用GI架构实行无代劳弱点扫描，安设设置与无代劳防病毒相同，较保守处分计划，在治理、运维上有不少上风。
经历VMware兼容列表能够盘问如今有哪些平安产物能够与NSXGI集成来做末端平安(复制后在阅读器中翻开)：