Palaikymo diegti Hyper-V išplėstinio prievado ACL, System Center 2012 R2 VMM 8 naujinimų paketą

Naują prievadą ACL ir savo prievadų ACL taisyklės

Dabar galite kurti ACL ir jų ACL taisykles tiesiai iš naudojant VMM naudodami "PowerShell" cmdlet.

Sukurkite naują ACL

Papildomas šį naują "PowerShell" cmdlet:

Naujas SCPortACL -pavadinimas <eilutės> [-Aprašymas <eilutės>]

– Vardas: Prievado ACL

– Aprašymas: Prievado ACL (pasirenkamas parametras) Aprašymas

Get-SCPortACL

Nuskaito visus prievado ACL

– Pavadinimas: Jei norite filtruoti pagal pavadinimą

-ID: jei norite filtruoti pagal ID

Komandų pavyzdžius

New-SCPortACL -Name Samplerule -Description SampleDescription 

$acl = Get-SCPortACL -Name Samplerule 

Naujas "PowerShell" cmdlet, įtrauktų

New-SCPortACLrule - PortACL <PortACL>-pavadinimas <eilutės> [-Aprašymas < eilutės >]-įveskite < įeinanti | Siuntimo >-veiksmų < leisti | Atmesti >-prioriteto < uint16 >-protokolo < Tcp | UDP | Bet > [-SourceAddressPrefix < eilutė: IPAddress | IPSubnet >] [-SourcePortRange < eilutė: X | X – Y | Bet >] [-DestinationAddressPrefix < eilutė: IPAddress | IPSubnet >] [-DestinationPortRange < eilutė: X | X-Y | Bet >]

Get-SCPortACLrule

Nuskaito visus prievado ACL taisyklės.

• Vardas: Jei norite filtruoti pagal pavadinimą

• ID: Jei norite filtruoti pagal ID

• PortACL: Jei norite filtruoti pagal prievado ACL

Komandų pavyzdžius

New-SCPortACLrule -Name AllowSMBIn -Description "Allow inbound TCP Port 445" -Type Inbound -Protocol TCP -Action Allow -PortACL $acl -SourcePortRange 445 -Priority 10 

New-SCPortACLrule -Name AllowSMBOut -Description "Allow outbound TCP Port 445" -Type Outbound -Protocol TCP -Action Allow -PortACL $acl -DestinationPortRange 445 -Priority 10 

New-SCPortACLrule -Name DenyAllIn -Description "All Inbould" -Type Inbound -Protocol Any -Action Deny -PortACL $acl -Priority 20 

New-SCPortACLrule -Name DenyAllOut -Description "All Outbound" -Type Outbound  -Protocol Any -Action Deny -PortACL $acl -Priority 20

Pridėjimas ir atsiejimas prievado ACL

ACL galima pridėti į šiuos veiksmus:

• Visuotiniai parametrai (taikoma VM tinklo adapterių. Tik visą administratoriai gali tai padaryti.)

• VM tinklo (visos administratoriai/nuomotojo administratoriai/SSUs galite tai padaryti.)

• VM potinklio (visos administratoriai/nuomotojo administratoriai/SSUs galite tai padaryti.)

• Virtualiojo tinklo adapteriai (visos administratoriai/nuomotojo administratoriai/SSUs galite tai padaryti.)

Visuotiniai parametrai

Prievado ACL taisyklės taikomos visos VM virtualaus tinklo adapterių infrastruktūra.

Esamą "PowerShell" cmdlet buvo atnaujinta ir joje naujus parametrus pridėjimas ir atsiejimas prievado ACL.

Set-SCVMMServer -VMMServer <VMMServer> [-PortACL <NetworkAccessControlList> | - RemovePortACL]

• PortACL: Naujas pasirenkamas parametras, kuris konfigūruoja nurodyto prievado ACL Visuotiniai parametrai.

• RemovePortACL: Naujas pasirenkamas parametras, kuris pašalina nors sukonfigūruotas prievado ACL iš Visuotiniai parametrai.

Get-SCVMMServer: objektas grąžina sukonfigūruotas prievado ACL.

Komandų pavyzdžius

Set-SCVMMServer -VMMServer "VMM.Contoso.Local" -PortACL $acl 

Set-SCVMMServer -VMMServer "VMM.Contoso.Local" -RemovePortACL 

VM tinklo

Šios taisyklės bus taikomas visus VM virtualaus tinklo adapterius, kad esate prisijungę prie šio tinklo VM.

Esamą "PowerShell" cmdlet buvo atnaujinta ir joje naujus parametrus pridėjimas ir atsiejimas prievado ACL.

Naujas SCVMNetwork [-PortACL <NetworkAccessControlList>] [parametrų poilsio]

-PortACL: naujas pasirenkamas parametras, kuris leidžia jums nurodyti prievado ACL VM tinklo kuriant.

Set-SCVMNetwork [-PortACL <NetworkAccessControlList> | - RemovePortACL] [parametrų poilsio]

-PortACL: naujas pasirenkamas parametras, kuris leidžia jums nustatyti prievado ACL VM tinklo.

-RemovePortACL: naujas pasirenkamas parametras, kuris pašalina nors sukonfigūruotas ACL VM tinklo prievado.

Get-SCVMNetwork: objektas grąžina sukonfigūruotas prievado ACL.

Komandų pavyzdžius

Get-SCVMNetwork -name VMNetworkNoIsolation | Set-SCVMNetwork -PortACL $acl 

Get-SCVMNetwork -name VMNetworkNoIsolation | Set-SCVMNetwork -RemovePortACL 

VM potinklio

Šios taisyklės bus taikomas visus VM virtualaus tinklo adapterius, kad esate prisijungę prie šio potinklio VM.

Esamą "PowerShell" cmdlet buvo atnaujinta ir joje naują parametrą pridėjimas ir atsiejimas prievado ACL.

Naujas SCVMSubnet [-PortACL <NetworkAccessControlList>] [parametrų poilsio]

-PortACL: naujas pasirenkamas parametras, kuris leidžia jums nurodyti prievado ACL VM potinklio kuriant.

Set-SCVMSubnet [-PortACL <NetworkAccessControlList> | - RemovePortACL] [parametrų poilsio]

-PortACL: naujas pasirenkamas parametras, kuris leidžia jums nustatyti prievado ACL VM potinklio.

-RemovePortACL: naujas pasirenkamas parametras, kuris pašalina nors sukonfigūruotas iš VM potinklio ACL prievadą.

Get-SCVMSubnet: objektas grąžina sukonfigūruotas prievado ACL.

Komandų pavyzdžius

Get-SCVMSubnet -name VM2 | Set-SCVMSubnet -PortACL $acl 

Get-SCVMSubnet -name VM2 | Set-SCVMSubnet-RemovePortACL 

VM virtualaus tinklo adapteris (vmNIC)

Esamą "PowerShell" cmdlet buvo atnaujinta ir joje naujus parametrus pridėjimas ir atsiejimas prievado ACL.

Naujas SCVirtualNetworkAdapter [-PortACL <NetworkAccessControlList>] [parametrų poilsio]

-PortACL: naujas pasirenkamas parametras, kuris leidžia jums nurodyti prievado ACL virtualaus tinklo adapterį, kai kuriate naują vNIC.

Set-SCVirtualNetworkAdapter [-PortACL <NetworkAccessControlList> | - RemovePortACL] [parametrų poilsio]

-PortACL: naujas pasirenkamas parametras, kuris leidžia jums nustatyti prievado ACL virtualaus tinklo adapterį.

-RemovePortACL: naujas pasirenkamas parametras, kuris pašalina nors sukonfigūruotas prievado ACL virtualaus tinklo adapterį.

Get-SCVirtualNetworkAdapter: objektas grąžina sukonfigūruotas prievado ACL.

Komandų pavyzdžius

Get-SCVirtualMachine -Name VM0001 | Get-SCVirtualNetworkAdapter | Set-SCVirtualNetworkAdapter -PortACL $acl 

Get-SCVirtualMachine -Name VM0001 | Get-SCVirtualNetworkAdapter | Set-SCVirtualNetworkAdapter –RemovePortACL 

Taikyti prievado ACL taisyklės

Kai atnaujinate į VM, po to, galite pridėti prievadą ACL, pastebite, kad VM būsena rodoma kaip "Neatitinka" virtualiosios mašinos rodinyje medžiaga darbo srities. (Pereiti prie virtualiosios mašinos peržiūrėti, turite pirmiausia atsidaryti Loginiai tinklai mazgo arba Loginis jungiklių mazgas medžiaga darbo srities). Turėkite omenyje, kad VM atnaujinimo kyla automatiškai fone (pagal tvarkaraštį). Todėl, net jei nebus atnaujinti VM aiškiai, jie bus eiti į jį netinkamai galiausiai.



Šiuo metu, prievadas ACL yra dar netaikoma VM ir jų atitinkamų virtualaus tinklo adapteriai. Taikyti prievado ACL, turite suaktyvinti procesą, kuris vadinamas atnaujinimo. Tai niekada vyksta automatiškai ir turėtų būti pradėtas aiškiai pagal vartotojo pageidavimą.

Norėdami paleisti atnaujinimo, galite spustelėkite Remediate juostelės arba vykdyti Atkūrimo-SCVirtualNetworkAdapter cmdlet. Nėra konkrečios keitimų cmdlet sintaksės šios priemonės.

Atkūrimo-SCVirtualNetworkAdapter - VirtualNetworkAdapter <VirtualNetworkAdapter>

Atkuriant šių VM pažymi juos reikalavimus ir įsitikinkite, kad taikyti išplėstinio prievado ACL. Turėkite omenyje, kad prievado ACL netaikomas bet VM apimties tol, kol jų eksploatavimo aiškiai.

Peržiūrėti prievado ACL taisyklės

ACL ir ACL taisykles, galite naudoti šį "PowerShell" cmdlet.

Naujinimas prievado ACL taisyklės

Atnaujinus ACL, kuris prijungtas prie tinklo adapterius, pakeitimai parodomi visais atvejais į tinklo adapterio, naudoti tą ACL. Dėl ACL, kuris prijungtas prie VM potinklio arba VM tinklo, visas tinklo adapteris kopijas, kad esate prisijungę prie tos potinklio atnaujinamos pakeitimus.

Pastaba. Atnaujinus ACL taisyklės atskirų tinklo adapterių atliekamas tuo pat metu vienas pabandyti geriausių pastangų schemą. Adapterius, kurie negali būti atnaujintas dėl kokių nors priežasčių pažymėtos "Saugos incompliant", o užduotis bus parodomas klaidos pranešimas, kuriame nurodoma, kad tinklo adapterių nebuvo sėkmingai atnaujinti. "Saugos incompliant" čia reiškia neatitikimo tikėtasi ir tikrasis ACL taisyklės. Adapteris turi atitikties būklę "Neatitinka" kartu su atitinkamų klaidų pranešimai. Peržiūrėkite ankstesniame skyriuje daugiau informacijos apie atkuriant jį netinkamai virtualiųjų mašinų kopiją.

Prievado ACL ir prievado ACL taisyklės naikinimas

Tik tada, jei nėra priklausomybės būtų galima panaikinti ACL. Priklausomybės yra VM tinklo/VM potinklio/virtualiojo tinklo adapteris/Visuotiniai parametrai, pridėtų prie ACL. Kai bandote panaikinti ACL prievadą, naudodami "PowerShell" cmdlet, cmdlet aptiks, ar prievado ACL pridedamas prie bet kurio iš ir bus išmesti atitinkamų klaidų pranešimai.

Pašalinus prievado ACL

Buvo įtraukti naują "PowerShell" cmdlet:

Pašalinti-SCPortACL - PortACL <NetworkAccessControlList>

Pašalinus prievado ACL taisyklės

Buvo įtraukti naują "PowerShell" cmdlet:

Pašalinti-SCPortACLRule - PortACLRule <NetworkAccessControlListRule>

Atminkite, kad panaikinus VM potinklio/VM tinklo/tinklo adapterio automatiškai pašalina kartu su tą ACL.

ACL gali taip pat atsieti VM potinklio/VM tinklo/tinklo adapterio, pakeisdami atitinkamus VMM tinklo objektą. Norėdami tai padaryti, naudokite cmdlet Set - su - RemovePortACL jungiklį, kaip aprašyta anksčiau skyriuose. Tokiu atveju prievado ACL bus atskirtas nuo atitinkamų tinklo objektą, tačiau bus panaikinti iš VMM infrastruktūra. Todėl ji gali būti pakartotinai vėliau.

ACL taisyklių pakeitimų iš juostos

Jei mes daro iš juostos (OOB) pakeitimai ACL taisyklės iš Hyper-V virtual perjungtuvo prievadas (naudojant pirminio Hyper-V cmdlet, pvz., Pridėti VMNetworkAdapterExtendedAcl), VM atnaujinti, bus rodomi tinklo plokštė "Saugos Incompliant." Tinklo plokštės tada išvalomi iš VMM kaip aprašyta skyriuje "Taikymas uosto ACL". Tačiau atnaujinimo perrašys visos prievado ACL taisyklės, kurios yra nustatytos ne VMM su numatytų VMM.

Pagrindines sąvokas

Kiekvieno prievado ACL taisyklė uoste ACL turi ypatybę, pavadintą "Prioritetas." Taisyklės taikomos atsižvelgiant į jų prioritetas tvarka. Šie principai nurodyti taisyklės pirmenybę:

• Kuo mažiau dėmesio numeris, kuo didesnis yra pirmumo teisę. Tai yra, jei kelis prievado ACL taisyklės prieštarauja viena su kita, mažiau dėmesio įprasta wins.

• Taisyklės veiksmas neturi įtakos pirmumo teisę. Tai yra, naudojant NTFS ACL (pvz.), čia mes neturime sąvoka kaip "Atsisakyti suteikti visada pirmenybę leisti".

• Dėl to paties prioriteto (pačiame skaitinė reikšmė), negali būti dviejų taisyklių su ta pačia kryptimi. Taip neleidžia hipotetinę situaciją, kai vienas gali nustatyti taisykles, "Uždrausti" ir "Leisti" lygus prioritetas, nes tai gali atsirasti neaiškumų, ar konfliktas.

• Konfliktas apibrėžiamas kaip du arba daugiau taisyklių patį prioritetą ir ta pačia kryptimi. Jei yra dvi prievadas ACL taisyklės su tuo pačiu prioriteto ir krypties į du ACL, taikomi skirtingi lygiai, ir jei tas lygis iš dalies sutampa, gali kilti konfliktas. Tai yra, gali būti objektas (pvz., vmNIC), kuris patenka į sritį, abu lygius. Bendra, pavyzdžiui, sutampa yra VM tinklo ir VM potinklio, tame pačiame tinkle.

Kelių prievado ACL taikomas vienas subjektas

Dėl to, kad prievadas ACL galite taikyti kitą VMM tinklo objektai (arba kitą lygį, kaip aprašyta anksčiau), viename VM virtualaus tinklo adapteris (vmNIC) gali patekti į kelis prievado ACL sritį. Tokiu atveju taikomi prievado ACL taisykles iš visas prievado ACL. Tačiau šios taisyklės eilės gali skirtis, atsižvelgiant į keletą naujų VMM pritaikyti parametrus, nurodytus šiame straipsnyje.

Registro parametrai

Šie parametrai apibrėžiami kaip Dword reikšmes Windows registro rakte VMM valdymo serveryje:

HKLM\Software\Microsoft\Microsoft System Center Virtual Machine Manager Server\Settings
Turėkite omenyje, kad visi šie parametrai turės įtakos prievado ACL veikimo per visą VMM infrastruktūrą.

Efektyvus prievado ACL taisyklės prioritetą

Diskusijos aprašoma, tikrasis pirmenybę prievado ACL taisyklių kelių prievado ACL taikant vieną objektą kaip efektyvus taisyklės prioritetą. Turėkite omenyje, kad nėra atskirų parametrą arba objekto VMM apibrėžti arba peržiūrėti galiojančias taisyklės prioritetą. Apskaičiuota, kad runtime.

Yra du pasaulio režimai gali būti apskaičiuotas galiojančias taisyklės prioritetą. Būdai yra įjungiamas registro parametrą:

PortACLAbsolutePriority
Priimtina šio parametro reikšmės yra 0 (nulis) arba 1, kur 0 reiškia numatytuosius parametrus.

Santykinis prioriteto (numatytasis veikimas)

Norėdami įjungti šį režimą, ypatybę PortACLAbsolutePriority registro reikšmė yra 0 (nulis). Šis būdas taip pat taikomas registro parametrą nenurodytas (tai yra, jei ypatybės nėra sukuriama).

Šiuo režimu, be to, pagrindines sąvokas, kurios aprašomos anksčiau taikomi šie principai:

• Per tą patį prievadą, išsaugomas ACL prioritetą. Todėl prioritetas reikšmes, kurios yra nustatytos kiekvienos taisyklės traktuojami kaip santykinis per ACL.

• Kai taikote keletą prievado ACL, jų taisyklės taikomos tikslinės atminties sritys. Nuo pat ACL (prie objekto) taisyklės taikomos kartu patį atminties. Pirmumo teisę konkrečios tikslinės atminties sritys priklauso nuo objekto, prie kurio prijungtas prievado ACL.

• Čia, bet taisyklės, kurie nurodomi Visuotiniai parametrai ACL (nepriklausomai nuo jų prioritetas, kaip nurodyta prievado ACL) visada pirmenybę taisyklės, kurie nurodomi ACL, kuriai taikomas vmNIC ir t. t. Kitaip tariant, vykdomas lygmens atskyrimą.
  
  

Galiausiai, efektyvus taisyklės prioritetą gali skirtis nuo skaitinė reikšmė, galite nustatyti prievado ACL taisyklės ypatybes. Daugiau informacijos apie tai, kaip šią problemą būtų vykdomas ir kaip galite pakeisti savo logika taip.

1. Kai pirmenybė trys "objekto būdingas" lygiai (t. y. vmNIC, VM potinklio ir VM tinklo) tvarką galima keisti.
   
   

   1. Visuotiniai parametrai tvarka keisti negalima. Visada reikia didžiausią pirmenybę (arba tvarka = 0).

   2. Kitus tris lygius, galite nustatyti šiuos parametrus ir nuo 0 iki 3, kur 0 yra didžiausią pirmenybę (lygus Visuotiniai parametrai) ir 3 yra mažiausia pirmenybę:
      
      

      • PortACLVMNetworkAdapterPriority (numatytasis yra 1)

      • PortACLVMSubnetPriority (numatytasis yra 2)

      • PortACLVMNetworkPriority (numatytasis yra 3)

   3. Jei šiuos kelis registro parametrus (nuo 0 iki 3) reikšmė tokia pati, arba galite priskirti reikšmę nuo 0 iki 3 ne, VMM nepavyks grįžti į numatytuosius parametrus.

2. Taip, kad užsakymas yra vykdomas yra, kad efektyvus taisyklės prioritetą pakeičiamas, kad ACL taisyklės, kurios yra nustatytos aukštesnio lygio gauti daugiau dėmesio (t. y. mažesnis skaitinė reikšmė). Apskaičiuojant efektyvus ACL, kiekviena santykinis taisyklė prioriteto reikšmė yra "Iškilioji" lygis būdingas reikšmės ar "žingsnis."

3. Lygis būdingas reikšmė yra "žingsnis", kuris atskiria skirtingų lygių. Pagal numatytuosius nustatymus "žingsnis" dydis yra 10000 ir sukonfigūruotas pagal šį registro parametrą:
   

   PortACLLayerSeparation

4. Tai reiškia, kad šiuo režimu, bet atskirų taisyklės prioritetą ACL (t. y. taisyklę, yra traktuojami kaip santykinis) per negali viršyti šį parametrą:
   

   PortACLLayerSeparation (pagal numatytuosius nustatymus 10000)

Santykinis prioriteto

Norėdami įjungti šį režimą, ypatybę PortACLAbsolutePriority registro reikšmę 1.

Šiuo režimu, be to, pagrindines sąvokas, ankstesniame taikomi šie principai:

• Jei objektą patenka į kelis ACL (pvz., VM tinklo ir VM potinklio), visos taisyklės, kurios yra nustatytos bet pridėtas ACL taikomos bendroji tvarka (arba kaip vienas atminties). Yra lygio atskyrimas ir nėra "virimui" kokia.

• Visos taisyklės prioritetai yra laikomi absolute, taip pat, kaip jie yra apibrėžti kiekvienos taisyklės prioritetą. Kitaip tariant, efektyvus prioritetas kiekviena taisyklė yra tas pats, kas nurodyta taisyklė pati ir nėra pakeičiamas VMM variklio prieš tai taikoma.

• Visus registro parametrus, anksčiau šiame skyriuje aprašytas neturi jokios įtakos.

• Šiuo režimu, bet atskirų taisyklės prioritetą ACL (t. y. taisyklė prioritetas, yra traktuojami kaip absoliutusis) negali viršyti 65535.