Suporte para implementar ACLs de porta estendida Hyper-V no System Center 2012 R2 VMM com Update Rollup 8

Definir novas portas ACLs e as respetiva regras ACL de porta

Agora pode criar ACLs e as respetivos regras ACL diretamente a partir da VMM através de cmdlets do PowerShell.

Criar um novo ACL

Foram adicionados os seguintes novos cmdlets do PowerShell:

New-SCPortACL –Name <cadeia> [–Description <string>]

– Nome: Nome: Nome da porta ACL

– Descrição: Descrição da porta ACL (parâmetro opcional)

Get-SCPortACL

Obtém todas as ACLs

da porta – Nome:

filtrar opcionalmente por nome –ID: opcionalmente filtrar por comandos de Exemplo ID

New-SCPortACL -Name Samplerule -Description SampleDescription 

$acl = Get-SCPortACL -Name Samplerule 

Novos cmdlets do PowerShell adicionados

New-SCPortACLrule -PortACL <PortACL> -Name <cadeia> [-Description <string>] -Type <Inbound | Outbound> -Action <Allow | Negar> -Priority <uint16> -Protocol <Tcp | Udp | Qualquer> [-SourceAddressPrefix <cadeia: IPAddress | IpSubnet>] [-SourcePortRange <cadeia:X|X-Y| Any>] [-DestinationAddressPrefix <cadeia: IPAddress | IpSubnet>] [-DestinationPortRange <cadeia:X|X-Y| Qualquer>]

Get-SCPortACLrule

Recupera todas as regras ACL de porta.

• Nome: Opcionalmente, filtrar por nome

• ID: Opcionalmente, filtrar por ID

• PortACL: Opcionalmente, filtrar por porta ACL

Comandos de exemplo

New-SCPortACLrule -Name AllowSMBIn -Description "Allow inbound TCP Port 445" -Type Inbound -Protocol TCP -Action Allow -PortACL $acl -SourcePortRange 445 -Priority 10 

New-SCPortACLrule -Name AllowSMBOut -Description "Allow outbound TCP Port 445" -Type Outbound -Protocol TCP -Action Allow -PortACL $acl -DestinationPortRange 445 -Priority 10 

New-SCPortACLrule -Name DenyAllIn -Description "All Inbould" -Type Inbound -Protocol Any -Action Deny -PortACL $acl -Priority 20 

New-SCPortACLrule -Name DenyAllOut -Description "All Outbound" -Type Outbound  -Protocol Any -Action Deny -PortACL $acl -Priority 20

Anexar e desanecessar ACLs da porta

Os ACLs podem ser anexados ao seguinte:

• Definições globais (aplica-se a todos os adaptadores de rede VM. Apenas os administradores completos podem fazê-lo.)

• Rede VM (os administradores/administradores inquilinos completos/SSUs podem fazê-lo.)

• Sub-rede VM (Os administradores/administradores inquilinos completos/SSUs podem fazê-lo.)

• Adaptadores de rede virtuais (os administradores/administradores inquilinos/SSUs completos podem fazê-lo.)

Definições globais

Estas regras ACL de porta aplicam-se a todos os adaptadores de rede virtuais da VM na infraestrutura.

Os cmdlets existentes do PowerShell foram atualizados com novos parâmetros para anexar e desanecessar ACLs de porta.

Set-SCVMMServer –VMMServer <VMMServer> [-PortACL <NetworkAccessControlList> | -RemovePortACL ]

• PortACL: Novo parâmetro opcional que configura a porta especificada ACL para definições globais.

• RemovePortACL: novo parâmetro opcional que remove qualquer porta configurada ACL das definições globais.

Get-SCVMMServer: Devolve a porta configurada ACL no objeto devolvido.

Comandos de exemplo

Set-SCVMMServer -VMMServer "VMM.Contoso.Local" -PortACL $acl 

Set-SCVMMServer -VMMServer "VMM.Contoso.Local" -RemovePortACL 

Rede VM

Estas regras serão aplicadas a todos os adaptadores de rede virtuais de VM ligados a esta rede VM.

Os cmdlets existentes do PowerShell foram atualizados com novos parâmetros para anexar e desanecessar ACLs de porta.

New-SCVMNetwork [–PortACL <NetworkAccessControlList>] [resto dos parâmetros]

-PortACL: novo parâmetro opcional que permite especificar uma porta ACL para a rede VM durante a criação.

Set-SCVMNetwork [–PortACL <NetworkAccessControlList> | -RemovePortACL] [resto dos parâmetros]

-PortACL: Novo parâmetro opcional que lhe permite definir uma porta ACL para a rede VM.

-RemovePortACL: novo parâmetro opcional que remove qualquer porta configurada ACL da rede VM.

Get-SCVMNetwork: Devolve a porta configurada ACL no objeto devolvido.

Comandos de exemplo

Get-SCVMNetwork -name VMNetworkNoIsolation | Set-SCVMNetwork -PortACL $acl 

Get-SCVMNetwork -name VMNetworkNoIsolation | Set-SCVMNetwork -RemovePortACL 

Sub-rede VM

Estas regras serão aplicadas a todos os adaptadores de rede virtuais da VM ligados a esta sub-rede VM.

Os cmdlets existentes do PowerShell foram atualizados com um novo parâmetro para anexar e desanecessar ACLs de portas.

New-SCVMSubnet [–PortACL <NetworkAccessControlList>] [resto dos parâmetros]

-PortACL: novo parâmetro opcional que permite especificar uma porta ACL para a sub-rede VM durante a criação.

Set-SCVMSubnet [–PortACL <NetworkAccessControlList> | -RemovePortACL] [resto dos parâmetros]

-PortACL: Novo parâmetro opcional que lhe permite definir uma porta ACL para a sub-rede VM.

-RemovePortACL: novo parâmetro opcional que remove qualquer porta configurada ACL da sub-rede VM.

Get-SCVMSubnet: Devolve a porta configurada ACL no objeto devolvido.

Comandos de exemplo

Get-SCVMSubnet -name VM2 | Set-SCVMSubnet -PortACL $acl 

Get-SCVMSubnet -name VM2 | Set-SCVMSubnet-RemovePortACL 

VM virtual network adapter (vmNIC)

Os cmdlets existentes do PowerShell foram atualizados com novos parâmetros para anexar e desanecessar ACLs de porta.

New-SCVirtualNetworkAdapter [–PortACL <NetworkAccessControlList>] [resto dos parâmetros]

-PortACL: Novo parâmetro opcional que lhe permite especificar uma porta ACL para o adaptador de rede virtual enquanto cria um novo vNIC.

Set-SCVirtualNetworkAdapter [–PortACL <NetworkAccessControlList> | -RemovePortACL] [resto dos parâmetros]

-PortACL: Novo parâmetro opcional que lhe permite definir uma porta ACL para o adaptador de rede virtual.

-RemovePortACL: novo parâmetro opcional que remove qualquer porta configurada ACL do adaptador de rede virtual.

Get-SCVirtualNetworkAdapter: Devolve a porta configurada ACL no objeto devolvido.

Comandos de exemplo

Get-SCVirtualMachine -Name VM0001 | Get-SCVirtualNetworkAdapter | Set-SCVirtualNetworkAdapter -PortACL $acl 

Get-SCVirtualMachine -Name VM0001 | Get-SCVirtualNetworkAdapter | Set-SCVirtualNetworkAdapter –RemovePortACL 

Aplicar regras ACL de porta

Quando atualiza as VMs depois de anexar os ACLs de porta, repare que o estado das VMs é apresentado como "Não Em Compatibilidade" na vista de Máquina Virtual da área de trabalho de Tecido. (Para mudar para a vista Máquina Virtual, primeiro tem de navegar para o nó de Redes Lógicas ou para o nó Comutadores Lógicos da área de trabalho Tecido). Tenha em atenção que a atualização de VM ocorre automaticamente em segundo plano (dentro do prazo). Por essa razão, mesmo que não analise explicitamente as VMs, elas entrarão num estado de nãocompliável.

nesta

altura, os ACLs de porta ainda não se aplicaram às VMs e aos seus adaptadores de rede virtuais relevantes. Para aplicar os ACLs de porta, tem de ativar um processo que é conhecido como remediação. Isto nunca acontece automaticamente e deve ser iniciado explicitamente após um pedido do utilizador.

Para iniciar a remediação, tem de clicar em Remediar no Ribbon ou executar o Repair-SCVirtualNetworkAdapter cmdlet. Não existem alterações específicas à sintaxe do cmdlet para esta funcionalidade.

Repair-SCVirtualNetworkAdapter -VirtualNetworkAdapter <VirtualNetworkAdapter>

Remediating these VMs irá marcá-las como conforme e garantirá que são aplicados ACLs de porta extensa. Tenha em atenção que as ACLs de porta não serão aplicadas a VMs no âmbito até que as remediar explicitamente.

Regras ACL da porta de visualização

Para ver as regras ACLs e ACL, pode utilizar os seguintes cmdlets do PowerShell.

Atualizar regras de porta ACL

Quando atualiza o ACL que está anexado a adaptadores de rede, as alterações refletem-se em todas as instâncias do adaptador de rede que utilizam esse ACL. Para um ACL anexado a uma sub-rede VM ou rede VM, todas as instâncias do adaptador de rede que estiverem ligadas a essa sub-rede são atualizadas com as alterações.

Nota A atualização de regras ACL em adaptadores de rede individuais é efetuada em paralelo num esquema de melhor tentativa. Os adaptadores que não podem ser atualizados por qualquer motivo são marcados como "incomplientes de segurança" e a tarefa é concluída com uma mensagem de erro a indicar que os adaptadores de rede não foram atualizados com êxito. "Incompliente de segurança" aqui refere-se a uma incompreensão em versus regras ACL reais. O adaptador terá um estado de conformidade de "Não compatível" juntamente com mensagens de erro relevantes. Consulte a secção anterior para obter mais informações sobre a remediação de máquinas virtuais não comcomplientes.

Eliminar as regras ACLs de porta e ACL de porta

Um ACL só pode ser eliminado se não houver dependências associadas ao mesmo. As dependências incluem sub-rede VM/subnet VM/virtual network adapter/global settings que estão anexadas ao ACL. Quando tenta eliminar uma porta ACL através do cmdlet do PowerShell, o cmdlet deteta se a porta ACL está anexada a alguma das dependências e irá detetar as mensagens de erro adequadas.

Remover ACLs de porta

Foram adicionados novos cmdlets do PowerShell:

Remove-SCPortACL -PortACL <NetworkAccessControlList>

Remover regras ACL de porta

Foram adicionados novos cmdlets do PowerShell:

Remove-SCPortACLRule -PortACLRule <NetworkAccessControlListRule> Tenha em atenção

que eliminar uma sub-rede VM/VM Network/Network/Network remove automaticamente a associação com esse ACL.

Um ACL também pode ser desassociado da sub-rede VM/VM network/network adapter ao alterar o respetivo objeto de rede VMM. Para fazê-lo, utilize o cmdlet Set-cmdlet juntamente com o comutador -RemovePortACL, conforme descrito em secções anteriores. Neste caso, a porta ACL será desanecessada do respetivo objeto de rede, mas não será eliminada da infraestrutura VMM. Por essa razão, pode ser reutilizado mais tarde.

Alterações não apesas às regras ACL

Se estivermos a fazer alterações fora do grupo (OOB) alterações às regras ACL a partir da porta de mudança virtual Hyper-V (ao utilizar cmdlets nativos Hyper-V, como Add-VMNetworkAdapterExtendedAcl), a Atualização VM apresentará o adaptador de rede como "Incompliente de Segurança". O adaptador de rede pode então ser remediado a partir da VMM conforme descrito na secção "Aplicar ACLs de porta". No entanto, a remediação irá sobrescrever todas as regras ACL de porta definidas fora da VMM com as que são esperadas pela VMM.

Conceitos básicos

Cada regra ACL de porta numa porta O ACL tem uma propriedade com o nome "Prioridade". As regras são aplicadas por ordem com base na sua prioridade. Os seguintes princípios principais definem a precedência de regras:

• Quanto menor for o número de prioridade, maior será a precedência. Isto é, se múltiplas regras de porta ACL se aplicam mutumente, a regra com prioridade mais baixa ganha.

• A Ação de Regra não afeta a precedência. Isto é, ao contrário de ACLs NTFS (por exemplo), não temos um conceito como "Negar sempre precedência sobre Permitir".

• Na mesma prioridade (o mesmo valor numérico), não pode ter duas regras com a mesma direção. Este comportamento impede uma situação hipotética na qual se pode definir regras "Negar" e "Permitir" com prioridade igual, pois tal resultaria em ambiguidade ou em conflito.

• Um conflito é definido como duas ou mais regras com a mesma prioridade e a mesma direção. Poderá ocorrer um conflito se houver duas regras ACL de porta com a mesma prioridade e direção em dois ACLs aplicados em níveis diferentes e se esses níveis se sobrepstam parcialmente. Ou seja, poderá haver um objeto (por exemplo, vmNIC) que se incida no âmbito de ambos os níveis. Um exemplo comum de sobreposição é uma rede VM e uma sub-rede VM na mesma rede.

Aplicar acls de porta múltipla a uma única entidade 

Uma vez que as ACLs de porta podem ser aplicadas a diferentes objetos de rede VMM (ou em Níveis diferentes, conforme descrito anteriormente), um único adaptador de rede virtual VM (vmNIC) pode aderir ao âmbito de múltiplas ACLs de porta. Neste cenário, são aplicadas as regras ACL de porta de todos os ACLs de porta. No entanto, a precedência dessas regras pode ser diferente, dependendo de várias novas definições de obturação da VMM mencionadas mais à frente neste artigo.

Definições de registo

Essas definições são definidas como valores Dword no Windows Registo na seguinte chave no servidor de gestão VMM:

HKLM\Software\Microsoft\Microsoft System Center Virtual Machine Manager Server\Definições
Tenha em atenção que todas estas definições irão afetar o comportamento dos ACLs de porta em toda a infraestrutura VMM.

Prioridade de regras ACL de porta efetiva

Neste debate, iremos descrever a precedência real de regras ACL de porta quando são aplicadas múltiplas ACLs de porta a uma única entidade como Prioridade de Regra Eficaz. Tenha em atenção que não existe nenhum objeto ou definição separado na VMM para definir ou ver Prioridade De Regras Eficazes. É calculada no tempo de runtime.

Existem dois modos globais nos quais a Prioridade de Regras Eficazes pode ser calculada. Os modos são mudados pela definição de registo:

PortACLAbsolutePriority
Os valores aceitáveis para esta definição são 0 (zero) ou 1, em que 0 indica o comportamento predefinido.

Prioridade relativa (comportamento predefinido)

Para ativar este modo, defina a propriedade PortACLAbsolutePriority no registo para um valor de 0 (zero). Este modo também se aplica se a definição não estiver definida no registo (ou seja, se a propriedade não for criada).

Neste modo, aplicam-se os seguintes princípios para além dos conceitos principais que foram descritos anteriormente:

• A prioridade na mesma porta ACL é preservada. Por conseguinte, os valores de prioridade definidos em cada regra são tratados como relativos no ACL.

• Quando aplica ACLs de múltiplas portas, as respetivos regras são aplicadas em equipas. As regras do mesmo ACL (anexadas a um determinado objeto) são aplicadas em conjunto no mesmo conjunto. A precedência de determinadas equipas depende do objeto ao qual a porta ACL está anexada.

• Aqui, todas as regras que são definidas nas definições globais ACL (independentemente da sua própria prioridade, conforme definida no ACL da porta) têm sempre precedência sobre as regras definidas no ACL que são aplicadas à vmNIC, entre outras. Por outras palavras, a separação de camadas é impoda.
  
  

Em última instância, Prioridade Efetiva da Regra pode ser diferente do valor numérico definido nas propriedades da regra ACL da porta. Mais informações sobre como este comportamento é impossível e como pode alterar a sua lógica a seguir.

1. A ordem pela qual três níveis "objeto-específico" (ou seja, vmNIC, sub-rede VM e rede VM) têm precedência podem ser alterados.
   
   

   1. A ordem das definições globais não pode ser alterada. Tem sempre uma precedência mais elevada (ou ordenação = 0).

   2. Para os outros três níveis, pode definir as seguintes definições para um valor numérico entre 0 e 3, em que 0 é a precedência mais elevada (igual às definições globais) e 3 é a precedência mais baixa:
      
      

      • PortACLVMNetworkAdapterPriority (a predefinição é 1)

      • PortACLVMSubnetPriority (a predefinição é 2)

      • PortACLVMNetworkPriority (a predefinição é 3)

   3. Se atribuir o mesmo valor (0 a 3) a estas múltiplas definições de registo ou se atribuir um valor fora do intervalo de 0 a 3, a VMM irá falhar no comportamento predefinido.

2. A forma de impor a ordenação é que a Prioridade Eficaz da Regra é alterada para que as regras ACL definidas num nível mais elevado recebam uma prioridade mais elevada (ou seja, um valor numérico mais pequeno). Quando o ACL efetivo é calculado, cada valor de prioridade da regra relativa é "contras" pelo valor ou "passo" específicos do nível.

3. O valor específico do nível é o "passo" que separa níveis diferentes. Por predefinição, o tamanho do "passo" é 10 000 e é configurado pela seguinte definição de registo:
   

   PortACLLayerSeparation

4. Isto significa que, neste modo, qualquer prioridade de regra individual dentro de ACL (ou seja, uma regra que é tratada como relativa) não pode exceder o valor da seguinte definição:
   

   PortACLLayerSeparation(por predefinição, 10000)

Prioridade relativa

Para ativar este modo, defina a propriedade PortACLAbsolutePriority no registo para um valor de 1.

Neste modo, aplicam-se os seguintes princípios, para além dos conceitos principais descritos anteriormente:

• Se um objeto se insere no âmbito de múltiplas ACLs (por exemplo, rede VM e sub-rede VM), todas as regras definidas em ACLs anexados são aplicadas por ordem unificada (ou como um único campo). Não existe separação de nível nem "contras".

• As prioridades de todas as regras são tratadas como absolutas, exatamente como são definidas em cada prioridade de regra. Por outras palavras, a prioridade efetiva para cada regra é igual à definida na própria regra e não é alterada pelo motor VMM antes de ser aplicada.

• Todas as outras definições de registo descritas na secção anterior não têm qualquer efeito.

• Neste modo, qualquer prioridade de regra individual num ACL (ou seja, uma prioridade de regra que é tratada como absoluta) não pode exceder 65535.