Stöd för distribution av Hyper-V-utökad port ACL i VMM System Center 2012 R2 med Samlad uppdatering 8

Definiera ny port ACL: er och deras ACL portregler

Du kan nu skapa ACL: er och deras ACL regler direkt från i VMM med hjälp av PowerShell-cmdlets.

Skapa en ny ACL

Följande nya PowerShell cmdlets läggs till:

Ny SCPortACL – namnet <sträng> [– beskrivning <sträng>]

– Namn: Namnet på porten ACL

– Beskrivning: Beskrivning av port ACL (valfri parameter)

Hämta SCPortACL

Hämtar alla port-ACL

– Namn: Du kan också filtrera efter namn

– ID: du kan också filtrera efter ID

Exempelkommandon

New-SCPortACL -Name Samplerule -Description SampleDescription 

$acl = Get-SCPortACL -Name Samplerule 

Nya PowerShell-cmdlets har lagts till

Ny SCPortACLrule - PortACL <PortACL>-namnet <sträng> [-beskrivning < sträng >]-typen < ankommande | Utgående >-åtgärden < tillåta | Neka >-prioritet < uint16 >-protokollet < Tcp | UDP | Alla > [-SourceAddressPrefix < sträng: IP-adress | IPSubnet >] [-SourcePortRange < sträng: X | X-Y | Alla >] [-DestinationAddressPrefix < sträng: IP-adress | IPSubnet >] [-DestinationPortRange < sträng: X | X-Y | Alla >]

Hämta SCPortACLrule

Hämtar alla ACL portreglerna.

• Namn: Du kan också filtrera efter namn

• ID: Du kan också filtrera efter ID

• PortACL: Du kan också filtrera efter port ACL

Exempelkommandon

New-SCPortACLrule -Name AllowSMBIn -Description "Allow inbound TCP Port 445" -Type Inbound -Protocol TCP -Action Allow -PortACL $acl -SourcePortRange 445 -Priority 10 

New-SCPortACLrule -Name AllowSMBOut -Description "Allow outbound TCP Port 445" -Type Outbound -Protocol TCP -Action Allow -PortACL $acl -DestinationPortRange 445 -Priority 10 

New-SCPortACLrule -Name DenyAllIn -Description "All Inbould" -Type Inbound -Protocol Any -Action Deny -PortACL $acl -Priority 20 

New-SCPortACLrule -Name DenyAllOut -Description "All Outbound" -Type Outbound  -Protocol Any -Action Deny -PortACL $acl -Priority 20

Ansluta och koppla från port ACL: er

ACL-listor kan kopplas till följande:

• Globala inställningar (gäller alla nätverkskort för VM. Endast gör administratörer fullständig.)

• VM-nätverk (fullständig admins/arrendator administratörer/SSUs kan göra detta.)

• VM-undernät (fullständig admins/arrendator administratörer/SSUs kan göra detta.)

• Virtuella nätverkskort (fullständig admins/arrendator administratörer/SSUs kan göra detta.)

Globala inställningar

Dessa ACL portregler gälla alla VM virtuella nätverkskort i infrastrukturen.

Befintliga PowerShell-cmdlets har uppdaterats med nya parametrar för att ansluta och koppla från port ACL: er.

Set-SCVMMServer – VMMServer <VMMServer> [-PortACL <NetworkAccessControlList> | - RemovePortACL]

• PortACL: Ny valfri parameter som konfigurerar den angivna porten ACL på globala inställningar.

• RemovePortACL: Ny valfri parameter som tar bort alla konfigurerade port ACL från globala inställningar.

Get-SCVMMServer: returnerar den konfigurerade porten ACL i det returnerade objektet.

Exempelkommandon

Set-SCVMMServer -VMMServer "VMM.Contoso.Local" -PortACL $acl 

Set-SCVMMServer -VMMServer "VMM.Contoso.Local" -RemovePortACL 

VM-nätverk

Dessa regler kommer att gälla alla VM virtuella nätverkskort som är anslutna till nätverket VM.

Befintliga PowerShell-cmdlets har uppdaterats med nya parametrar för att ansluta och koppla från port ACL: er.

Nya SCVMNetwork [– PortACL <NetworkAccessControlList>] [resten av parametrarna]

-PortACL: ny valfri parameter som gör att du kan ange en port ACL till VM-nätverk under skapandet.

Ställ in SCVMNetwork [– PortACL <NetworkAccessControlList> | - RemovePortACL] [resten av parametrarna]

-PortACL: ny valfri parameter som gör att du kan ange en port ACL till VM-nätverk.

-RemovePortACL: ny valfri parameter som tar bort alla konfigurerade port ACL från VM-nätverk.

Get-SCVMNetwork: returnerar den konfigurerade porten ACL i det returnerade objektet.

Exempelkommandon

Get-SCVMNetwork -name VMNetworkNoIsolation | Set-SCVMNetwork -PortACL $acl 

Get-SCVMNetwork -name VMNetworkNoIsolation | Set-SCVMNetwork -RemovePortACL 

VM-undernät

Dessa regler kommer att gälla alla VM virtuella nätverkskort som är anslutna till den här VM-undernät.

Befintliga PowerShell-cmdlets har uppdaterats med ny parameter för att ansluta och koppla från port ACL: er.

Nya SCVMSubnet [– PortACL <NetworkAccessControlList>] [resten av parametrarna]

-PortACL: ny valfri parameter som gör att du kan ange en port ACL till VM-undernät under skapandet.

Ställ in SCVMSubnet [– PortACL <NetworkAccessControlList> | - RemovePortACL] [resten av parametrarna]

-PortACL: ny valfri parameter som gör att du kan ange en port ACL till VM-undernät.

-RemovePortACL: ny valfri parameter som tar bort alla konfigurerade port ACL från VM-undernät.

Get-SCVMSubnet: returnerar den konfigurerade porten ACL i det returnerade objektet.

Exempelkommandon

Get-SCVMSubnet -name VM2 | Set-SCVMSubnet -PortACL $acl 

Get-SCVMSubnet -name VM2 | Set-SCVMSubnet-RemovePortACL 

Virtuella nätverkskort för VM (vmNIC)

Befintliga PowerShell-cmdlets har uppdaterats med nya parametrar för att ansluta och koppla från port ACL: er.

Nya SCVirtualNetworkAdapter [– PortACL <NetworkAccessControlList>] [resten av parametrarna]

-PortACL: ny valfri parameter som gör att du kan ange en port ACL till det virtuella nätverkskortet när du skapar en ny vNIC.

Ställ in SCVirtualNetworkAdapter [– PortACL <NetworkAccessControlList> | - RemovePortACL] [resten av parametrarna]

-PortACL: ny valfri parameter som gör att du kan ange en port ACL till det virtuella nätverkskortet.

-RemovePortACL: ny valfri parameter som tar bort alla konfigurerade port ACL från det virtuella nätverkskortet.

Get-SCVirtualNetworkAdapter: returnerar den konfigurerade porten ACL i det returnerade objektet.

Exempelkommandon

Get-SCVirtualMachine -Name VM0001 | Get-SCVirtualNetworkAdapter | Set-SCVirtualNetworkAdapter -PortACL $acl 

Get-SCVirtualMachine -Name VM0001 | Get-SCVirtualNetworkAdapter | Set-SCVirtualNetworkAdapter –RemovePortACL 

Använda ACL portregler

När du uppdaterar de virtuella maskiner när du koppla port-ACL: er märker du att VMs status visas som "Inte kompatibla" i vyn Virtual Machine Fabric arbetsytan. (Om du vill växla till vyn för Virtual Machine, du måste först gå till noden Logiska nätverk eller noden Logiska växlar i Fabric arbetsytan). Tänk på att VM-uppdatering sker automatiskt i bakgrunden (enligt schema). Därför, även om du inte uppdaterar VMs uttryckligen de försätts i ett tillstånd som inte uppfyller kraven så småningom.



Nu har port ACL ännu inte gälla på VMs och deras aktuella virtuella nätverkskort. Om du vill använda port-ACL: er har att utlösa en process som kallas reparation. Detta aldrig sker automatiskt och uttryckligen ska startas när en användare begär.

Om du vill starta justering du klickar Remediate på menyfliken eller köra cmdlet Reparera SCVirtualNetworkAdapter . Det finns inga särskilda ändringar i cmdlet syntax för den här funktionen.

Reparera-SCVirtualNetworkAdapter - VirtualNetworkAdapter <VirtualNetworkAdapter>

Göra dessa VMs markerar dem som kompatibla och säkerställer att ACL: er för utökade port tillämpas. Tänk på att porten ACL: er inte gäller för alla VMs i scope förrän du Efterbehandla dem uttryckligen.

Visa ACL portregler

Visa ACL: er och ACL regler, du kan använda följande PowerShell-cmdlets.

Uppdatera portregler ACL

När du uppdaterar ACL som är kopplad till nätverkskort återspeglas ändringarna i alla nätverkskort instanser som använder denna ACL. För en ACL som är kopplad till en VM undernät eller VM nätverk uppdateras alla network adapter instanser som är anslutna till undernätet med ändringarna.

Obs! Uppdaterar ACL regler på enskilda nätverkskort utförs parallellt i ett färgschema för bästa ett försök. Kort som inte kan uppdateras av någon anledning är märkta "security incompliant" och aktiviteten avslutas med ett felmeddelande som säger att nätverkskorten inte har uppdaterats. "Security incompliant" avser här ett matchningsfel för förväntat jämfört med faktiska ACL regler. Kortet har ett efterföljande tillstånd för "Inte kompatibla" tillsammans med relevanta felmeddelanden. Finns i föregående avsnitt för mer information om hälsostatus uppfyller virtuella datorer.

Ta bort port ACL: er och portregler ACL

En ACL kan tas bort om det finns inga beroenden som är kopplade till den. Beroenden är VM nätverk/VM undernät för virtuella nätverkskort för globala nätverksinställningar som är kopplade till Åtkomstkontrollistan. När du försöker ta bort en port ACL med PowerShell-cmdlet identifierar cmdlet om porten ACL är kopplad till någon av beroenden och att ge felmeddelanden.

Ta bort port ACL: er

Nya PowerShell-cmdlets har lagts till:

Ta bort SCPortACL - PortACL <NetworkAccessControlList>

Ta bort ACL portregler

Nya PowerShell-cmdlets har lagts till:

Ta bort SCPortACLRule - PortACLRule <NetworkAccessControlListRule>

Tänk på att om du tar bort en VM undernät/VM nätverk/nätverkskort automatiskt tar bort associationen med den ACL.

En ACL kan också kopplas från VM undernät/VM nätverk/nätverkskortet genom att ändra respektive nätverk VMM-objektet. Gör detta genom att använda cmdlet Set- tillsammans med växeln - RemovePortACL enligt beskrivningen i tidigare avsnitt. I det här fallet porten ACL är frånkopplad från respektive nätverksobjekt men inte tas bort från VMM-infrastruktur. Därför kan den återanvändas senare.

Out-of-band ändrar ACL regler

Om vi gör ändringar för out-of-band (OOB) till ACL regler från Hyper-V virtuell switch-port (med inbyggd Hyper-V-cmdlets som Lägg till-VMNetworkAdapterExtendedAcl), visas uppdatera VM nätverkskortet som "Security Incompliant." Nätverkskortet kan sedan åtgärdas från VMM som beskrivs i avsnittet "Använda port ACL: er". Hjälpåtgärder skrivs alla ACL portreglerna som definieras utanför VMM med dem som förväntas av VMM.

Grundbegrepp

Varje port ACL-regel i en hamn ACL har en egenskap som heter "Prioritet." Regler tillämpas i ordning baserat på deras prioritet. Följande grundläggande principer definierar regler prioritet:

• Ju lägre prioritet nummer, desto högre är prioriteten. Det vill säga om flera portregler ACL motsäger varandra, vinner regeln med lägre prioritet.

• Åtgärden påverkar inte prioritet. Som är till skillnad från NTFS-ACL: er är (till exempel) här inte ett begrepp som "Neka alltid företräde framför Tillåt".

• På samma prioritet (samma numeriska värde), du kan inte ha två regler med samma riktning. Den här funktionen förhindrar en hypotetiska situation där någon kan definiera "Neka" och "Tillåt" regler med samma prioritet, eftersom detta leder till tvetydighet eller en konflikt.

• En konflikt kan definieras som två eller flera regler som har samma prioritet och samma riktning. En konflikt kan uppstå om det finns två ACL portregler med samma prioritet och riktning i två åtkomstkontrollistor som tillämpas på olika nivåer och om dessa nivåer delvis överlappar varandra. Det vill säga kan det finnas ett objekt (till exempel vmNIC) som faller inom tillämpningsområdet för båda nivåerna. Ett vanligt exempel på överlappande är ett VM-nätverk och VM-undernät i samma nätverk.

Använda flera port ACL-listor till en enda enhet

Eftersom port åtkomstkontrollistor kan gälla för olika VMM nätverk objekt (eller på olika nivåer som beskrivs ovan), kan en enda virtuell VM-nätverkskort (vmNIC) är indelade i omfattningen av flera port ACL: er. I det här scenariot används ACL portregler från port åtkomstkontrollistor. Prioritet för dessa regler kan dock vara olika, beroende på flera nya VMM finjustera inställningarna som nämns senare i den här artikeln.

Registerinställningar

Dessa inställningar definieras som DWORD-värden i Windows-registret under följande nyckel i VMM management server:

HKLM\Software\Microsoft\Microsoft System Center Virtual Machine Manager Server\Settings
Tänk på att dessa inställningar kommer att påverka beteendet port ACL: er över hela infrastrukturen för VMM.

Prioriteten för effektiv port ACL

I den här diskussionen beskriver vi verkliga prioriteten för ACL portregler när flera ACL-port används för en enda enhet som effektivt regelprioriteringen. Tänk på att det finns ingen separat inställning eller objekt i VMM om du vill definiera eller visa effektiva regelprioriteringen. Den beräknas i körtidsbiblioteket.

Det finns två globala lägen som effektivt regelprioriteringen kan beräknas. Lägen som slås av registerinställningen:

PortACLAbsolutePriority
Acceptabla värden för den här inställningen är 0 (noll) eller 1, där 0 anger standardbeteende.

Relativ prioritet (standardinställning)

Ange egenskapen PortACLAbsolutePriority i registret till ett värde av 0 (noll) om du vill aktivera det här läget. Det här läget gäller även om inställningen inte är definierad i registret (om egenskapen skapas).

Följande principer skall tillämpas utöver grundbegrepp som beskrivs tidigare i det här läget:

• Prioritet inom samma port ACL bevaras. Prioritetsvärden som definieras i varje regel behandlas därför som relativa i Åtkomstkontrollistan.

• När du använder flera port ACL regler sina i buckets. Regler från samma ACL (kopplade till ett visst objekt) används tillsammans i samma åldersgrupp. Prioriteten för viss buckets beror på objektet som port ACL är kopplad.

• Här är företräde de regler som definieras i de globala inställningarna ACL (oavsett deras egen prioritet enligt port ACL) alltid framför regler som definieras i ACL som används till vmNIC och så vidare. Med andra ord upprätthålls lager åtskillnad.
  
  

Slutligen, effektiv regelprioriteringen kan skilja sig från det numeriska värde som du anger i regel Portegenskaper ACL. Mer information om hur detta tillämpas och hur du kan ändra sin logik följer.

1. Du kan ändra ordern som "objektspecifika" tre nivåer (dvs vmNIC, VM undernät och VM-nätverk) har högre prioritet.
   
   

   1. Det går inte att ändra ordningen på globala inställningar. Det tar alltid högsta prioritet (eller ordning = 0).

   2. Du kan ange följande inställningar till ett numeriskt värde mellan 0 och 3, där 0 är den högsta prioriteten (lika med globala inställningar) och 3 är den lägsta prioriteten för de andra tre nivåerna:
      
      

      • PortACLVMNetworkAdapterPriority (standardvärdet är 1)

      • PortACLVMSubnetPriority (standard är 2)

      • PortACLVMNetworkPriority (standard är 3)

   3. Om du tilldelar flera registerinställningarna samma värde (0 till 3), eller om du tilldelar ett värde utanför intervallet 0 till 3, går VMM tillbaka till standardinställningen.

2. På sätt att beställa aktiveras är effektiva regelprioriteringen ändras så att ACL regler som har angetts på en högre nivå får högre prioritet (som är ett numeriskt värde). När effektiv ACL beräknas är varje regel relativ prioritetsvärde "stötar" nivå-specifika värde eller "steg".

3. Nivå-specifika värdet är "step" som avgränsar olika nivåer. Storleken på "step" är 10000 och konfigureras i följande registerinställning:
   

   PortACLLayerSeparation

4. Detta innebär att varje enskild regel prioritet inom ACL (det vill säga en regel som behandlas som relativ) i det här läget inte får överstiga värdet för följande inställning:
   

   PortACLLayerSeparation (som standard 10000)

Relativ prioritet

Ange egenskapen PortACLAbsolutePriority i registret till värdet 1 om du vill aktivera det här läget.

Följande principer skall tillämpas utöver grundläggande begrepp som beskrivs tidigare i det här läget:

• Om ett objekt som faller inom tillämpningsområdet för flera ACL-listor (t ex VM nätverk och VM-undernät), tillämpas alla regler som definieras i de bifogade åtkomstkontrollistorna i enhetlig ordning (eller som en enda bucket). Det finns ingen nivå separation och ingen "Stöta" över huvud taget.

• Alla prioriteter behandlas som absolut, exakt så som de definieras i varje regel prioritet. Med andra ord är effektiva prioriteten för varje regel detsamma som vad som definieras i själva regeln och ändras inte av VMM motorn innan den används.

• Alla andra registerinställningar som beskrivs i föregående avsnitt har ingen effekt.

• I det här läget kan inte prioriteter som enskild regel i en ACL (d.v.s. en regel prioritet som behandlas som absolut) överskrida 65535.