Apache CloudStack Official Document 翻译节选（九）

关于 Apache CloudStack 的最佳实践（三）

配置云外的防火墙与交换机

对Cisco VNMC（Cisco Virtual Network Management Center）设备集成云外的客户机网路防火墙：

思科虚拟网络管理中心为思科网络虚拟服务提供了中心化的多设备和多策略管理能力。你可以把思科VNMC集成到Apache CloudStack中以充分利用由思科ASA 1000v云防火墙提供的防火墙服务能力和网络地址转换能力。在集成了Cisco Nexus 1000v 分布式虚拟交换机集群的Apache CloudStack中，你将能够：

给每个客户及网路都配置一个Cisco ASA 1000v防火墙
用Cisco ASA 1000v 创建和应用包含设定了进出口流量的安全控制列表策略的安全轮廓
用Cisco ASA 1000v 创建和应用源网络地址转换、端口转发静态网络地址转换等

Apache CloudStack也支持在集成了Cisco Nexus 1000v分布式虚拟交换机集群的VMware虚拟化引擎上的Cisco VNMC。

向Apache CloudStack集成Cisco ASA 1000v 防火墙、Cisco Nexus 1000v 分布式虚拟交换机和Cisco 虚拟网络管理中心的操作指南：

预知

·Cisco ASA 1000v 防火墙仅在隔离的客户机网络中受支持

·Cisco ASA 1000v 防火墙在虚拟私有云业务上不受支持

·Cisco ASA 1000v 防火墙不支持负载均衡

·如果使用Cisco 虚拟网络管理中心下的防火墙创建了客户机网络，那么伴随源网络地址转换IP的那个额外公网IP就是必须的。源网络地址转换IP被防火墙规则所使用，然而这个额外的公网IP则用于Cisco ASA 1000v 防火墙的外置网卡（请确保这个额外的IP不被释放）。一旦网络处于生效状态且在获取其他公网IP之前，你便可识别到这个额外的公网IP。这个额外的公网IP是没有被标记为源网络地址转换IP的。你可以通过查看应用于你客户机网络的Cisco 虚拟网络管理中心来查找被Cisco ASA 1000v 防火墙外置网卡所使用的那个IP地址。

·只能使用单个分支网络中的IP范围，不能添加来自不同分支网路的IP地址。

·每个VALN中只允许通过一个Cisco ASA 1000v 防火墙实例，因为多路VLAN无法被汇聚到Cisco ASA 1000v 防火墙端口。因此，每个客户机网路中只能使用一个Cisco ASA 1000v 防火墙实例。

·每个Apache CloudStack专职地带中至允许存在一个Cisco 虚拟网络管理中心。

·仅支持带有负载均衡的内联模式部署。

·Cisco ASA 1000v 防火墙的规则适用于客户机网路中的全部公网IP。不像虚拟路由器上的防火墙规则那样，Cisco ASA 1000v 防火墙创建的规则不会绑定到特定的公网IP上。

·要使用支持 vservice command的Cisco Nexus 1000v分布式虚拟交换机，例如“nexus-1000v.4.2.1.SV1.5.2b.bin”。Cisco 虚拟网络管理中心需要vservice command在Nexus交换机上可用，以便在Apache CloudStack中创建客户机网络。

前置条件

·在一个VMware vCenter中配置Cisco Nexus 1000v分布式虚拟交换机。在Cisco Nexus 1000v分布式虚拟交换机上配置云的内外网的端口策略，记下对内的端口策略，向Apache CloudStack添加Cisco ASA 1000v 防火墙时需要使用它。

·部署并配置Cisco 虚拟网络管理中心。

·注册Cisco Nexus 1000v分布式虚拟交换机和Cisco 虚拟网络管理中心。

·在Cisco Nexus 1000v分布式虚拟交换机上创建内外端口策略。

·部署Cisco ASA 1000v 防火墙装置。你需要创建一个Cisco ASA 1000v 防火墙实例装置池、并把他们注册到Apache CloudStack（你需要提供Cisco 虚拟网络管理中心的宿主机IP地址、通过Cisco 虚拟网络管理中心添加Cisco ASA 1000v 防火墙实例、提前在Cisco Nexus 1000v分布式虚拟交换机上创建好给管理网口和高可用网口的端口策略、内外网端口策略、给Cisco ASA 1000v 防火墙的管理IP、Cisco 虚拟网络管理中心可达的网路关口、管理员凭证）。

·向Cisco 虚拟网络管理中心注册Cisco ASA 1000v 防火墙。

使用Cisco ASA 1000v 防火墙

·确保前置条件已满足。

·添加Cisco 虚拟网络管理中心实例。

·添加Cisco ASA 1000v 防火墙实例。

·创建一个网络并使用Cisco 虚拟网络管理中心实例作为服务提供者。

·使用你刚创建的网络生成一个隔离的客户机网络。

添加一个Cisco 虚拟网络管理中心实例

·以管理员身份登录到Apache CloudStack的web-Portal。

·点击左侧的导航栏、选中“基础设施”

·点击“专职地带”查看更多内容。

·选择你想要使用的“专职地带”。

·点击“实体网络”。

·选择网络服务提供者并点击“配置”。

·选中“Cisco 虚拟网络管理中心”。

·点击查看Cisco 虚拟网络管理中心下属的设备。

·选择添加Cisco 虚拟网络管理中心设备（需要提供Cisco 虚拟网络管理中心实例的IP、Cisco 虚拟网络管理中心账户的用户名、Cisco 虚拟网络管理中心账户的用户密码）。

·点击“确认”

添加Cisco ASA 1000v 防火墙

·以管理员身份登录到Apache CloudStack的web-Portal。

·点击左侧的导航栏、选中“基础设施”。

·点击“专职地带”查看更多内容。

·选择你想要使用的“专职地带”。

·点击“实体网络”。

·选择网络服务提供者并点击“配置”。

·选中“Cisco 虚拟网络管理中心”。

·点击查看“Cisco ASA 1000v 防火墙”。

·添加Cisco ASA 1000v 防火墙资源信息（需要Cisco ASA 1000v 防火墙实例的管理IP、配置在Cisco Nexus 1000v分布式虚拟交换机上的内向网口策略、目标VMware集群）。

·点击“确认”

通过Cisco ASA 1000v 防火墙添加网络服务

通过以下操作实现Cisco ASA 1000v 防火墙供应客户机网络：

·以管理员身份登录到Apache CloudStack的web-Portal。

·导航到网络服务。

·点击添加网络。

·依次填入：网络服务名称、网络服务简述、网络传输速率、网络服务所承载的网络流量类型、客户机网路是隔离的还是共享的、客户机网络是否为持久网络、客户机网络是否启用VPC、在隔离的客户机网络中是否启用特定VLAN、是否启用网络资源保护模式等

·点击“确认”。

网络服务至此创建完毕。

在新的客户机网络中复用Cisco ASA 1000v 防火墙实例

Cisco ASA 1000v 防火墙实例中的必要信息清除后，可以把它复用到新的客户机网络中。通常，从Cisco 虚拟网络管理中心中删除一个逻辑的边缘防火墙就意味着一个Cisco ASA 1000v 防火墙实例被清除了。如果这种被清除行为没有发生，那就需要把Cisco ASA 1000v 防火墙实例重置为初始状态才能在新的客户机网络中使用。为进行此操作，你需要在Cisco ASA 1000v 防火墙实例上启用SSH、并把SSH凭证存储到Cisco 虚拟网络管理中心。

S1 打开Cisco ASA 1000v 防火墙实例的命令行，执行：