Juurutamist Hyper-V laiendatud port ACL System Center 2012 R2 VMM värskenduskomplekt 8 tugi

Uue pordi ACL-ide ja nende port ACL reeglid

Nüüd saate luua ACL-ide ja nende ACL reeglite otse VMM-is PowerShelli cmdlet-käskude abil.

Looge uus ACL

Lisatakse järgmised uued PowerShelli cmdlet-käsud:

Uus-SCPortACL – nimi <stringi> [– Kirjeldus <stringi>]

-Nimi: Pordi ACL nimi

– Kirjeldus: Pordi ACL (soovi korral parameeter) kirjeldus

Get-SCPortACL

Toob port ACL

-Nimi: Soovi korral filtreerige nime

-ID: soovi korral filtreerida ID

Proovi käsud

New-SCPortACL -Name Samplerule -Description SampleDescription 

$acl = Get-SCPortACL -Name Samplerule 

Uus PowerShelli cmdlet-käsud on lisatud

Uus SCPortACLrule - PortACL <PortACL>-nimi <stringi> [-Kirjeldus < stringi >]-tüüpi < Sissetulev | Väljaminev >-toimingu < luba | Keela >-prioriteet < uint16 >-protokolli < Tcp | UDP | Mis tahes > [-SourceAddressPrefix < string: sordib | IPSubnet >] [-SourcePortRange < string: X | X-Y | Mis tahes >] [-DestinationAddressPrefix < string: sordib | IPSubnet >] [-DestinationPortRange < string: X | X-Y | Mis tahes >]

Get-SCPortACLrule

Toob kõik port ACL-i reeglid.

• Nimi: Soovi korral filtreerige nime

• ID: Soovi korral filtreerida ID

• PortACL: Soovi korral filtreerida port ACL

Proovi käsud

New-SCPortACLrule -Name AllowSMBIn -Description "Allow inbound TCP Port 445" -Type Inbound -Protocol TCP -Action Allow -PortACL $acl -SourcePortRange 445 -Priority 10 

New-SCPortACLrule -Name AllowSMBOut -Description "Allow outbound TCP Port 445" -Type Outbound -Protocol TCP -Action Allow -PortACL $acl -DestinationPortRange 445 -Priority 10 

New-SCPortACLrule -Name DenyAllIn -Description "All Inbould" -Type Inbound -Protocol Any -Action Deny -PortACL $acl -Priority 20 

New-SCPortACLrule -Name DenyAllOut -Description "All Outbound" -Type Outbound  -Protocol Any -Action Deny -PortACL $acl -Priority 20

Ühendamine ja lahtiühendamine ACL-ide port

ACL-ide võivad olla seotud järgmisega:

• Globaalsätted (kehtib kõigi VM võrguadapterid. Ainult täielik administraatoritel saate seda teha.)

• VM-i võrgu (täielik administraatoritel/rentniku administraatoritel/SSUs, saate seda teha.)

• VM alamvõrgu (täielik administraatoritel/rentniku administraatoritel/SSUs, saate seda teha.)

• Virtuaalse võrgu adapter (täielik administraatoritel/rentniku administraatoritel/SSUs, saate seda teha.)

Globaalsätted

Nende port ACL reeglid kehtivad kõigi VM virtuaalse võrgu adapter infrastruktuur.

Olemasoleva PowerShelli cmdletid värskendati uue parameetritega ühendamine ja lahtiühendamine ACL-ide porti.

Set-SCVMMServer – VMMServer <VMMServer> [-PortACL <NetworkAccessControlList> | - RemovePortACL]

• PortACL: Uus vabatahtlik parameeter konfigureerib määratud pordi ACL Globaalsätted.

• RemovePortACL: Uus vabatahtlik parameeter, mis eemaldab kõik konfigureeritud port ACL Globaalsätted.

Get-SCVMMServer: annab konfigureeritud port ACL tagastatud objekt.

Proovi käsud

Set-SCVMMServer -VMMServer "VMM.Contoso.Local" -PortACL $acl 

Set-SCVMMServer -VMMServer "VMM.Contoso.Local" -RemovePortACL 

VM-i võrgu

Need reeglid rakendatakse kõik VM virtuaalne võrguadapterid VM võrguga ühendatud.

Olemasoleva PowerShelli cmdletid värskendati uue parameetritega ühendamine ja lahtiühendamine ACL-ide porti.

Uus SCVMNetwork [-PortACL <NetworkAccessControlList>] [ülejäänud parameetrid]

-PortACL: uus vabatahtlik parameeter, mis võimaldab teil määrata pordi ACL VM võrgu loomise ajal.

Set-SCVMNetwork [-PortACL <NetworkAccessControlList> | - RemovePortACL] [ülejäänud parameetrid]

-PortACL: uus vabatahtlik parameeter, mis võimaldab määratud pordi ACL VM võrgu.

-RemovePortACL: uus vabatahtlik parameeter, mis eemaldab kõik konfigureeritud port ACL VM võrgu kaudu.

Get-SCVMNetwork: annab konfigureeritud port ACL tagastatud objekt.

Proovi käsud

Get-SCVMNetwork -name VMNetworkNoIsolation | Set-SCVMNetwork -PortACL $acl 

Get-SCVMNetwork -name VMNetworkNoIsolation | Set-SCVMNetwork -RemovePortACL 

VM alamvõrgu

Need reeglid rakendatakse kõik VM virtuaalne Võrguadapterid, mis on seotud selle VM alamvõrgu.

Olemasoleva PowerShelli cmdletid värskendati uue parameetri ühendamine ja lahtiühendamine ACL-ide porti.

Uus SCVMSubnet [-PortACL <NetworkAccessControlList>] [ülejäänud parameetrid]

-PortACL: uus vabatahtlik parameeter, mis võimaldab teil määrata pordi ACL VM alamvõrgu loomise ajal.

Set-SCVMSubnet [-PortACL <NetworkAccessControlList> | - RemovePortACL] [ülejäänud parameetrid]

-PortACL: uus vabatahtlik parameeter, mis võimaldab määratud pordi ACL VM alamvõrgu.

-RemovePortACL: uus vabatahtlik parameeter, mis eemaldab kõik konfigureeritud port ACL VM alamvõrgu.

Get-SCVMSubnet: annab konfigureeritud port ACL tagastatud objekt.

Proovi käsud

Get-SCVMSubnet -name VM2 | Set-SCVMSubnet -PortACL $acl 

Get-SCVMSubnet -name VM2 | Set-SCVMSubnet-RemovePortACL 

VM virtual network adapter (vmNIC)

Olemasoleva PowerShelli cmdletid värskendati uue parameetritega ühendamine ja lahtiühendamine ACL-ide porti.

Uus SCVirtualNetworkAdapter [-PortACL <NetworkAccessControlList>] [ülejäänud parameetrid]

-PortACL: uus vabatahtlik parameeter, mis võimaldab teil määrata pordi ACL virtuaalne võrguadapter uue vNIC loomise ajal.

Set-SCVirtualNetworkAdapter [-PortACL <NetworkAccessControlList> | - RemovePortACL] [ülejäänud parameetrid]

-PortACL: uus vabatahtlik parameeter, mis võimaldab määratud pordi ACL virtuaalne võrguadapter.

-RemovePortACL: uus vabatahtlik parameeter, mis eemaldab kõik konfigureeritud port ACL virtuaalne võrguadapter.

Get-SCVirtualNetworkAdapter: annab konfigureeritud port ACL tagastatud objekt.

Proovi käsud

Get-SCVirtualMachine -Name VM0001 | Get-SCVirtualNetworkAdapter | Set-SCVirtualNetworkAdapter -PortACL $acl 

Get-SCVirtualMachine -Name VM0001 | Get-SCVirtualNetworkAdapter | Set-SCVirtualNetworkAdapter –RemovePortACL 

Pordi ACL reeglite rakendamine

Vms-süsteemi värskendamisel pärast seda, kui manustate ACL-ide port märkate, et vms-süsteemi olek kuvatakse "Ei ole nõuetele vastav" virtuaalarvuti vaates struktuuri tööruumi. (Virtuaalarvuti vaate aktiveerimiseks peate esmalt sirvige Loogilised võrgud sõlm või Loogiline lülitub struktuuri tööruumi sõlme). Pange tähele, et VM-i värskendamine toimub automaatselt taustal (ajakava) kohta. Seega isegi juhul, kui te ei värskenda VMs selgesõnaliselt nad lähevad olekusse lõpuks.



Sellest hetkest ACL-ide port on pole veel seotud VMs ja nende asjakohane virtuaalse võrgu adapter. ACL-ide port rakendamiseks peate protsessi, mida nimetatakse parandamisest. See kunagi toimub automaatselt ja peaks algama selgesõnaliselt kasutaja taotluse.

Parandamise käivitamiseks võite kas klõpsake lindil Remediate või Parandamise SCVirtualNetworkAdapter cmdlet-käsu käivitada. On see funktsioon cmdlet-käsu süntaks konkreetse võrgusätteid.

Parandamise SCVirtualNetworkAdapter - VirtualNetworkAdapter <VirtualNetworkAdapter>

Remediating need VMs märkida nende nõuetele vastavaks ja tagab, et laiendatud port ACL rakendatakse. Pange tähele, et pordi ACL-ide ei kehti ühtegi VMs ulatust seni, kuni te need otseselt remediate.

Pordi ACL-i reeglite

ACL-ide ja ACL-i reeglid, saate kasutada järgmisi PowerShelli cmdletid.

Värskendamine port ACL reeglid

ACL, mis on ühendatud võrguadapterite värskendamisel muudatused kajastuvad kõik network adapter eksemplarid kasutavad seda ACL. Jaoks sellist Pääsureguleerimisloendit, mille VM alamvõrgu või VM võrku ühendatud, uuendatakse kõik network adapter eksemplarid ühendatud selle alamvõrgu muudatused.

Märkus. ACL-i reeglid üksikute network adapters värskendamine toimub paralleelselt üks proovida parimaid jõupingutusi kava. Adapterid, mida ei saa värskendada mingil põhjusel on märgitud "turvalisuse incompliant" ja ülesanne lõpeb tõrketeate, mis ütleb, et võrgukaart ei värskendamine õnnestus. "Turvalisuse incompliant" viitab siin vastuolu oodata võrrelduna tegelik ACL-i reeglid. Adapter on vastavus seisukorra "Ei ole nõuetele vastav" koos asjakohaste tõrketeated. Lisateabe saamiseks remediating pärast virtuaalarvutid eelmise jaotisest.

ACL-ide port ja port ACL reeglite kustutamine

Pääsureguleerimisloendi saab kustutada ainult juhul, kui pole manustatud sõltuvused. Sõltuvuste hulka kuuluvad VM võrgu/VM alamvõrgu/virtual network adapter/Globaalsätted ACL seotud. Kustuta port ACL-i, kasutades PowerShelli cmdlet-käsk katsel cmdlet-i tuvastada kas pordi ACL on ühendatud mõni sõltuvused ja viskavad sobiv tõrketeated.

Pordi ACL-ide eemaldamine

Lisatud uus PowerShelli cmdlet-käsud:

Eemalda SCPortACL - PortACL <NetworkAccessControlList>

Eemaldamine port ACL reeglid

Lisatud uus PowerShelli cmdlet-käsud:

Eemalda SCPortACLRule - PortACLRule <NetworkAccessControlListRule>

Pange tähele, et kustutamine VM alamvõrgu/VM Network/Network adapter eemaldab automaatselt koos seda ACL.

Pääsureguleerimisloendi saab lahtiseostatud ka VM alamvõrgu/VM network/network adapter, muutes vastava VMM võrgu objekti. Selleks kasutage koos lülitiga - RemovePortACL cmdlet Set - varasemate jaotistes kirjeldatud. Sel juhul port ACL-i ei saa lahutada vastava võrgu objekti, kuid ei kustutata VMM infrastruktuuri. Seetõttu seda saab uuesti hiljem.

Out-of-band muudab ACL-i reeglid

Kui me teeme out-of-band (OOB) muudatused ACL-i reeglid Hyper-V virtuaalne lüliti pordist (kohalikud nagu Add-VMNetworkAdapterExtendedAclHyper-V cmdlet-käskude abil), VM-i värskendada kuvatakse võrguadapteri nii, nagu "Turvalisuse Incompliant." Võrguadapteri saab alates VMM tervendama siis siis, "Applying port ACL" kirjeldatud viisil. Kuid parandamisest üle kõik port ACL reeglid ja neid, mis on kavandatud VMM VMM väljaspool määratletud.

Core mõisted

Iga pordi ACL reegli pordi ACL on atribuut nimega "Prioriteet." Reeglid rakendatakse nende prioriteet tellimuse. Järgmisi põhilisi põhimõtteid Määratlege reeglid järjestus:

• Madalam prioriteet number, seda suurem on järjestus on. See tähendab, kui mitut porti ACL reeglit on vastuolus üksteist, wins reegli madalam prioriteet.

• Reegli toiming ei mõjuta see järjestus. See tähendab, erinevalt NTFS-i ACL-ide (näiteks) siin meil ei ole mõiste nagu "Keela alati ülimuslik luba".

• Sama prioriteedi (sama numbriline väärtus), ei saa olla sama suunaga kaks reeglid. Selline käitumine takistab olukorras, kus üks määratleda "Deny" ja "Allow" reeglid võrdne prioriteet, kuna see põhjustaks ebaselgus või konflikt.

• Konflikt on määratletud kahe või enama reeglid pakutavale ja samas suunas. Konflikt võib ilmneda juhul, kui on kaks porti ACL reeglid sama prioriteet ja kaks ACL-ide, mida rakendatakse eri suunas ja tasemest osaliselt kattuvad. See tähendab, võib objekt (nt vmNIC), mis kuulub nii. Kattuvate näide on VM võrgu- ja VM alamvõrgu samasse võrku.

Ühele üksusele mitu porti ACL-ide rakendamine

Kuna port ACL-ide rakendada erinevaid VMM networking objektid (või erinevad, nagu eespool kirjeldatud), ühe VM virtual network adapter (vmNIC) võib sattuda mitut porti ACL-ide ulatus. Selle stsenaariumi puhul pordi ACL-i reeglid, port ACL rakendatakse. Need reeglid järjestus võib olla erinevad, sõltuvalt sellest, mitu uut VMM-i kohandada sätteid, mis on nimetatud käesoleva artikli lõpupoole.

Registrisätted

Need sätted on määratletud Dword-väärtusi Windowsi registris VMM management server järgmise võtme alt:

HKLM\Software\Microsoft\Microsoft System Center Virtual Machine Manageri Server\Settings
Pidage meeles, et need sätted mõjutavad port ACL-ide käitumise üle kogu VMM infrastruktuuri.

Tõhus port ACL reegli prioriteet

Seda arutelu kirjeldatakse port ACL reeglid tegelik järjestus mitut porti ACL-ide rakendamisel ühe üksuse tõhus reegli prioriteet. Pidage meeles, et on eraldi säte või objekti VMM-i määratlemiseks või vaatamiseks tõhus reegli prioriteet. See arvutatakse pikkus.

On kaks globaalne režiimi, kus saab arvutada tõhus reegli prioriteet. Registri säte on sisse lülitatud režiimid:

PortACLAbsolutePriority
See säte lubatud väärtused on 0 (null) või 1, kus 0 tähistab vaikekäitumise.

Suhteline prioriteet (vaikekäitumine)

Selles režiimis lubamiseks atribuudi PortACLAbsolutePriority registri väärtus 0 (null). Selles režiimis kehtib ka siis, kui seade ei määratleta registris (st kui atribuuti pole loodud).

Selles režiimis core mõisted, mida kirjeldati eespool Lisaks kohaldatakse järgmisi põhimõtteid:

• Prioriteet jooksul samasse porti ACL-i ei säilitata. Seetõttu töödeldakse nii suhteline jooksul ACL prioriteet väärtused, mis on määratletud iga reegel.

• Mitut porti ACL-ide rakendamisel oma reeglid rakendatakse jääkfailihulgad. Jooksul sama bucket rakendatakse koos reeglid sama ACL (on seotud konkreetse objekti). Konkreetse jääkfailihulgad järjestus sõltub objekti ACL-i pordi külge.

• Siin on reeglid, mis on määratletud Globaalsätted ACL (olenemata oma prioriteedi määratletud port ACL) alati ülimuslik reeglid, mis on määratletud ACL, mis on seotud vmNIC ja nii edasi. Teiste sõnadega, jõustatakse kihi eraldamine.
  
  

Lõpuks tõhus reegli prioriteet võib erineda numbriline väärtus, mille määrate pordi ACL reegli atribuudid. Lisateabe saamiseks kuidas selline käitumine on jõustatav ja kuidas saab muuta oma loogikat järgmiselt.

1. Kolm "objektiga seotud" taset (st vmNIC, VM alamvõrgu ja VM võrk) ülimuslikud järjestust saab muuta.
   
   

   1. Globaalsätted järjestuses ei saa muuta. See alati ülimuslik kõrgeim (või tellimuse = 0).

   2. On kolm taset, saate seada numbriline väärtus vahemikus 0 kuni 3, kus 0 on suurim järjestus (võrdne Globaalsätted) ja 3 on väikseima järjestus järgmisi sätteid:
      
      

      • PortACLVMNetworkAdapterPriority (vaikimisi 1)

      • PortACLVMSubnetPriority (vaikimisi 2)

      • PortACLVMNetworkPriority (vaikimisi 3)

   3. Kui sama väärtusega (0 kuni 3) määramiseks nende mitme registrisätete või määrake väärtus vahemikus 0 – 3 väljaspool VMM ei õnnestu tagasi selle vaikekäitumise.

2. Tellimine jõustatav viis on tõhus reegli prioriteet muudetakse nii, et ACL-i reeglid, mis on määratletud kõrgemal tasemel saada kõrgema prioriteedi (st väiksemaid numbriline väärtus). Tõhus ACL arvutamisel iga suhteline reegli prioriteet väärtus on "bumped" taseme täpne väärtus või "samm."

3. Taseme täpne väärtus on "samm", mis eraldab erineva. Vaikimisi "samm" suurus 10000 ja on konfigureeritud järgmine registri säte:
   

   PortACLLayerSeparation

4. See tähendab, et selles režiimis ei saa ühtegi reegel prioriteet jooksul ACL (st reegel, mis on saanud nii suhteline) ületada järgmisi sätte väärtus:
   

   PortACLLayerSeparation (vaikimisi 10000)

Suhteline prioriteet

Selles režiimis lubamiseks atribuudi PortACLAbsolutePriority väärtuseks 1 registrit.

Selles režiimis Lisaks core mõistete eespool kirjeldatud kohaldatakse järgmisi põhimõtteid:

• Kui objekt kuulub mitme ACL-ide (näiteks VM võrgu ja alamvõrgu VM) ulatus, rakendatakse kõik reeglid, mis on määratletud ühtegi ühendatud ACL-ide ühendatud järjestuses (või ühe bucket). Ei ole taseme vahe ja no "keemistsentrid" üldse.

• Kõik reegli prioriteetide käsitletakse absolute, täpselt nii, nagu need on määratletud iga reegli prioriteet. Teiste sõnadega, tõhus prioriteetsed iga reegli jaoks on sama, mis on määratletud reegli ise ja ei muutu VMM mootor enne seda rakendatakse.

• Kõik muud registrisätete eelmises jaotises kirjeldatud need ei toimi.

• Selles režiimis ei saa ühtegi reegel prioriteet Pääsureguleerimisloendi (st on reegli eesmärk, mis on saanud nii absoluutne) ületada 65535.