網管人雜誌

本文刊載於網管人雜誌第 248 期 - 2026 年 9 月 1 日出刊，NetAdmin 網管人雜誌為一本介紹 Trend Learning 趨勢觀念、Solution Learning 解決方案、Technology Learning 技術應用的雜誌，下列筆記為本站投稿網管人雜誌獲得刊登的文章，網管人雜誌於每月份 1 日出刊您可於各大書店中看到它，或透過城邦出版人讀者服務網進行訂閱。

本文目錄

前言

Flow Network Security 運作架構

FNS 安全原則狀態

實戰 – Flow Network Security（FNS）

為 VM 虛擬主機指派標籤

為 VM 套用 Quarantine 安全原則

為 VM 套用 Isolation 安全原則

為 VM 套用 Application 安全原則

結語

前言

在傳統的資料中心裡，不少企業和組織習慣依靠外圍的邊界防火牆來阻擋外部威脅。然而，隨著雲原生應用與混合雲架構的普及，資料中心內部的各類伺服器與 VM 虛擬主機之間的互動變得極其頻繁，一旦某一台 VM 虛擬主機遭到惡意攻擊並入侵成功後，傳統的外圍防火牆根本無法察覺，惡意攻擊已經在內部伺服器之間相互擴散。

因此，為了落實零信任架構（Zero Trust Architecture）與最小權限原則，並將資安威脅的影響範圍降到最低，導入「微分段」（Microsegmentation）機制，已經成為現代化資料中心標準中不可缺少的一環。

傳統網路環境管理，是以 VLAN 或 Subnet 為單位進行分段管理，而微分段則利用 SDN 網路虛擬化技術，將網路流量的安全隔離精細化到「個別工作負載」或「單台 VM 虛擬主機」，在資料中心內部為每個對象建立專屬的安全邊界，確保即便某個節點被攻陷，企業和組織的整體關鍵資產和機敏資料依然受到保護。

在 Nutanix 虛擬化基礎架構中，便是透過 Flow Network Security（FNS）機制，達成微分段及過濾東西向網路流量的目的。傳統網路環境，最讓 IT 維運團隊頭痛的，就是如何有效管理多層次應用服務，舉例來說，一組具備不同類型包含 Web、App、DB 的營運服務，為了每項服務的高可用性和網段規劃，必須橫跨不同的 VLAN 以及實體網路環境，導致傳統南北向的防火牆規則變得無比臃腫且難以維護，一旦某個網段因為專案內容而進行變更後，所有的 ACL 存取控制清單都要重新進行組態設定。

Nutanix FNS 安全機制，則是將安全原則直接與 VM 虛擬主機的中繼資料（Metadata）與標籤（Categories）綁定，企業和組織的維運團隊只需要在 Prism 管理介面上，直接依據應用服務的邏輯角色，例如，加上 AppType: Web、AppType: DB 等標籤，就能夠直接定義 VM 虛擬主機之間的存取權限（如圖 1 所示）。

圖 1、Nutanix Flow Network Security 安全機制運作示意圖

圖片來源： Flow Network Security - Microsegmentation & Data Protection | Nutanix

Flow Network Security 運作架構

在開始應用 Nutanix FNS 安全機制之前，管理人員必須先瞭解 FNS 的環境需求與核心元件，因為 FNS 並非獨立運作的防火牆設備，而是與整個 Nutanix 基礎架構整合的資安機制。

首先，在運作環境方面，FNS 的核心管理大腦為 Prism Central（PC），所有的資安政策制定、標籤分類、流量視覺化監控以及維運管理，都必須透過 Prism Central 進行統一的管理與組態設定，當維運團隊部署完安全原則之後，這些安全原則會自動套用至其下 Prism Element（PE）管理的 AHV 叢集，確保安全原則管理集中化。

在實際組態設定 FNS 微分段安全防護機制前，維運團隊需要了解 FNS 如何透過下列兩個核心元件，達成微分段安全機制：

標籤（Categories）：這是 FNS 識別工作負載的唯一方式，維運團隊無須手動輸入 VM 虛擬主機的 IP 位址或主機名稱，而是透過中繼資料為 VM 虛擬主機貼上邏輯標籤，例如，定義服務應用的類型 AppType: Billing，或者是應用程式的層級 AppTier: Web、AppTier: Database 等。
安全原則（Security Policies）：定義完服務的標籤之後，維運團隊便能接著建立安全原則，例如，常見的 Application Policy，用來定義特定標籤之間的存取權限與阻斷邏輯（如圖 2 所示）。

圖 2、Nutanix FNS 安全機制運作示意圖

圖片來源： Flow Network Security | The Nutanix Cloud Bible

如圖 2 所示，在這個 Nutanix FNS 安全原則示意圖中，清楚展示一個標準應用程式安全原則的邏輯設計，圖中灰色虛線方框代表套用生效的 FNS 安全規則，透過這種視覺化呈現的安全規則示意圖，企業和組織便能輕鬆理解安全規則，除非安全原則明確允許，否則預設全面阻擋的零信任微分段原則。示意圖中的 FNS 安全原則，主要由三個區塊所組成：

受保護主體（Secured Entities）：在 Application Policy 方框內，定義被保護的應用類型為AppType: Billing，並且進一步細分為 AppTier: Web 網頁伺服器層級，和 AppTier: Database 後端資料庫層級。
來源端規則（Inbound）：在圖中左側，管理人員可以精確指定「只有」哪些來源，可以存取受保護的 AppTier: Web 網頁伺服器層級，例如，允許來源端是網際網路（0.0.0.0/0），透過 TCP協定的 Port 443 進行連線，或是允許企業內部（Location: HQ）網段，透過 TCP 協定的 Port 22、80、443 進行維運管理。
目的端規則（Outbound）：在圖中右側，管理人員可以定義受保護的主機，可以主動向外連線至何處，在該範例中，歸類於 AppTier: Web 網頁伺服器層級的主機，允許向外連線至任意目的地（0.0.0.0/0）。

FNS 安全原則狀態

當管理人員組態設定標籤與安全原則之後，準備在 Prism Central 執行部署作業時，可能會面臨安全原則狀態（Policy State）的選擇兩難，是要直接套用生效進行阻擋，還是先放行避免錯誤阻擋造成營運損失。

因此，Nutanix FNS 提供兩種運作模式，讓企業和組織在導入零信任架構時能有彈性的緩衝空間：

監控模式（Monitor）：在監控模式下，安全原則處於「唯讀模擬」狀態，FNS 僅會針對網路流量進行觀察與記錄，即便發現未在允許清單中的連線行為，系統依然會予以放行，以便管理人員在不影響線上營運服務的前提下，進行網路流量收集與安全原則微調。
強制模式（Enforce）：一旦安全原則套用於強制模式時，系統便會嚴格執行已套用的安全原則，任何未被明確允許的網路連線都視為異常連線，FNS 將會直接阻擋該網路連線。

簡單來說，一旦管理人員套用安全原則至強制模式後，網路封包的攔截與過濾機制，會在底層 AHV 主機的 Open vSwitch（OVS）虛擬交換機核心中完成，當網路封包由 VM 虛擬主機流出或流入時，會依序通過 AHV 主機內部的 OVS 虛擬交換機，其中位於核心關鍵節點的，便是專屬安全檢查層 br.microseg（如圖 3 所示），一旦網路封包進入 br.microseg 時，系統便會透過 OpenFlow 規則，進行一連串的安全原則比對，由 Rule 1 一路比對至 Rule N，並且在單一原則中執行的比對與邏輯如下：

狀態檢查比對（Stateful Match）：系統會動態檢查封包是否符合已建立的連線狀態，並且比對安全原則。
首條匹配即停止（First-Match）：封包會由 Rule 1 第一條規則開始比對，一旦成功匹配規則後，便會直接執行該規則所定義的動作，例如，Deny 阻擋或 Allow 放行，然後不再繼續往下比對，倘若不匹配的話，則移往向下一條規則繼續進行比對作業。

圖 3、FNS 安全原則比對邏輯示意圖

圖片來源： Flow Network Security | The Nutanix Cloud Bible

實戰 – Flow Network Security（FNS）

在正式透過 Prism Central（PC）組態設定各項安全原則之前，管理人員必須先確認 AHV 叢集中的Flow Network Security（FNS）微分段服務已經順利啟用。 FNS 的控制層內建於 PC 之中，負責集中管理分散式防火牆規則的指派以及 IPAM 機制，在啟用過程中，系統會自動檢查每個 AHV 叢集的硬體資源，例如，記憶體剩餘容量，是否符合運作 FNS 機制的前置條件。

請登入 PC 管理介面後，依序點選「Prism Central Settings > Flow > Microsegmentation」，確認 Microsegmentation 狀態是否已經啟用，以及叢集相容性區塊中是否顯示目前運作的 AHV 叢集（如圖 4 所示），確認微分段功能順利啟用後，接著就能開始為 VM 虛擬主機打上標籤（Categories），作為後續建立安全原則的基礎。

圖 4、確認 Microsegmentation 功能是否啟用

為 VM 虛擬主機指派標籤

在 FNS 安全機制環境中，標籤（Categories）是 PC 管理機制中的核心元件之一，也是 FNS 安全機制建立安全原則時，用來選取與套用對象的唯一依據。

在 FNS 安全機制中，管理人員可以為同一台 VM 虛擬主機同時套用多個標籤，在本文實作環境中，將會為 2 台不同的 VM 虛擬主機，分別套用名稱為 Dev 和 Production 的標籤，搭配後續套用的安全原則進行實作。

在 PC 管理介面中，管理人員可透過下列三種方式為 VM 虛擬主機指派標籤：

右鍵選單：在 VM 虛擬主機列表中，針對目標主機點擊滑鼠右鍵，選擇「Other Actions > Manage Categories」。
頂部動作選單：點選目標 VM 虛擬主機的勾選框後，點擊上方選單的「Actions > Other Actions > Manage Categories」，即可為 VM 虛擬主機指派標籤（如圖 5 所示）。
主機詳細頁面：點擊 VM 虛擬主機名稱進入詳細頁面，切換至 Categories 分頁並點擊 Manage Categories 。

圖 5、為指定的 VM 虛擬主機指派標籤

理解後，將為名稱為 Client1 的 VM 虛擬主機，指派套用 Environment: Dev 的標籤，而名稱為 Client2 的 VM 虛擬主機，指派套用 Environment: Production 的標籤。

請在 PC 管理介面中，依序點選「Infrastructure > Compute > VMs」，進入 VM 虛擬主機管理列表，勾選名稱為 Client1 的 VM 虛擬主機，點擊上方選單「Actions > Other Actions > Manage Categories」項目後，在自動開啟的 Manage VM Categories 視窗中，於搜尋框輸入「envir」關鍵字後，系統便會過濾並自動顯示標籤名稱為 Environment 的標籤，本文實作環境請為 Client1 虛擬主機，點選加號套用「Environment : Dev」標籤，確認無誤後點選 Save 儲存組態設定（如圖 6 所示）。

圖 6、為 Client1 虛擬主機指定套用 Environment : Dev 標籤

和 Client1 同樣的操作步驟，請為 Client2 虛擬主機，點選加號套用「Environment : Production」標籤，確認無誤後點選 Save 儲存組態設定。

為 VM 套用 Quarantine 安全原則

在開始組態設定安全原則之前，管理人員必須先了解 FNS 安全防護架構，對於日常維運的工作任務中，將透過下列三種安全原則類型，來管理資料中心內部的南北向與東西向的網路流量：

Quarantine Policy（隔離原則）：防護層級最高的安全機制，當 VM 虛擬主機疑似遭到惡意入侵、感染病毒或發生資安事件時，能夠立即切斷指定主機的所有進出網路流量，達到即時隔離和避免危害擴散的目的。
Isolation Policy（環境隔離原則）：用於建立運作環境之間的隔離邊界，能夠有效阻擋兩個或多個主機群之間所有的網路流量，經常用於隔離 Dev 開發環境，與 Prod 正式生產環境之間的東西向網路通訊。
Application Policy（應用程式原則）：提供更精細的應用程式層級防護原則，管理人員可以針對特定應用程式群組，例如，前端 Web 服務層與後端 DB 資料庫層，明確定義允許進行網路通訊的來源端和目的端，包括通訊協定 TCP/UDP、IP 位址和專屬服務埠號，例如，TCP Port 80 。

當企業和組織的管理人員，發現資料中心內有 VM 虛擬主機疑似受感染或發生資安威脅時，管理人員可以在發現當下執行「隔離」（Quarantine）的動作，將該台主機從網路環境中完全隔離。在本文實作環境中，將以 Client1 虛擬主機擔任資安事件的受害主機進行模擬測試。

請在 PC 管理介面中，依序點選「Infrastructure > Network & Security > Security Policies」，進入安全原則管理列表，可以看到 PC 預設內建的 2 項安全隔離原則的管理列表（如圖 7 所示）：

Quarantine Strict Policy：徹底隔離所有進出該台特定主機的網路流量。
Quarantine Forensic Policy：阻斷一般連線，但是允許預先定義的資安鑑識工具進行存取，以便後續進行資安事件根本原因調查作業。

圖 7、查看 PC 內建的 2 項預設安全隔離原則列表

現在，準備針對 Client1 虛擬主機，執行隔離套用和連線阻斷的驗證測試。請在 PC 管理介面中，依序點選「Infrastructure > Compute > VMs」，在虛擬主機清單中找到 Client1 後，點擊滑鼠右鍵選擇Quarantine VMs 項目，在彈出的 Quarantine VM 視窗中，將會請管理人員選擇採用 Strict 或 Forensic 模式，在本文實作環境中請選擇 Strict 模式後，點選 Quarantine 鈕套用生效，此時在 VM 虛擬主機清單中，可以看到 Client1 虛擬主機名稱旁邊，將會出現紅色隔離圖示（如圖 8 所示）。

圖 8、為 Client1 虛擬主機套用 Strict 徹底隔離模式

現在，請點選 Client1 虛擬主機，在右鍵選單中選擇 Launch Console，在 Client1 主機的 Terminal 視窗中，執行「ping client2」指令，可以看到由於 Client1 虛擬主機已經被徹底隔離，所以網路封包無法到達 Client2 主機（如圖 9 所示），證明東西向網路流量已經被徹底隔離，Client1 虛擬主機所有對外的網路連線都被封鎖。

圖 9、驗證 Client1 虛擬主機所有對外的網路連線都被封鎖

當管理人員確認資安危機解除或資安威脅清除完成後，管理人員即可將主機進行解除隔離的動作。請在 PC 管理介面中，在 VM 虛擬主機清單中，點選 Client1 右鍵選單中的 Unquarantine VMs 項目，在彈出的 Unquarantine 1 VM 視窗中，系統再次詢問勾選的 VM 虛擬主機，將會被解除強制隔離狀態，確認無誤後點選 Unquarantine 鈕套用生效。

切換至 Client1 主機的 Console 畫面後，原本無法 ping client2 的指令，會立即恢復並收到 ICMP 回應訊息，表示東西向網路的強制隔離已經解除，並且 VM 虛擬主機清單中，Client1 虛擬主機旁的紅色隔離圖示也會同步消失，表示 Client1 主機的對外所有連線已經恢復正常運作（如圖 10 所示）。

圖 10、Client1 虛擬主機強制隔離模式順利解除

為 VM 套用 Isolation 安全原則

在企業和組織的維運架構中，為了防止未授權的橫向移動或資安風險交叉感染，明確劃分開發環境（Dev）與正式生產環境（Prod）是必要的防護措施，在 FNS 安全機制中的環境隔離原則（Isolation Policy），便能協助管理人員快速在不同環境群組之間，部署安全又具備彈性的隔離邊界。

在本文實作環境中，將會模擬建立一條隔離 Dev 與 Prod 環境的安全原則，並且透過監控模式（Monitor）與強制生效模式（Enforce）的功能性切換，觀察網路流量與隔離阻斷驗證。

首先，請在 PC 管理介面中，依序點選「Infrastructure > Network & Security > Security Policies」，點擊左上角的 + Create Security Policy 按鈕，在 Policy Name 欄位輸入名稱為「isolateProdDev」，然後下方區塊選擇採用 Isolate Environments（Isolation Policy）隔離類型，點擊Next 鈕，準備選擇套用的隔離標籤。

在 Configure Entities 頁面中，在第一組 Entity 欄位輸入並選擇 Environment:Production 標籤，在第二組 Entity 欄位選擇 Environment:Dev 標籤，確認無誤後點擊 Next 鈕。在 Review 頁面中，選擇 Apply（Monitor）模式後點擊 Confirm 鈕套用生效（如圖 11 所示）。在目前的 Monitor 模式中，系統僅會被動記錄與監控環境之間的網路流量，並不會針對任何網路封包進行阻斷或隔離的動作，非常適合用於正式環境上線前的網路流量通訊風險評估。

圖 11、監控 Prod 和 Dev 運作環境的網路流量

進入剛建立好的 isolateProdDev 安全原則頁面，此時上方狀態顯示為 Status: Monitoring，請點選 Client1 的 Launch Console 開啟 Terminal，執行 ping client2 指令可以成功收到 ICMP 回應訊息，同時切換至背景的 PC 拓撲圖觀察，在 Environment:Production 與 Environment:Dev 的運作環境之間，系統會自動繪製出一條黃色虛線（Discovered Traffic），代表 FNS 安全機制已經成功偵測到這兩個環境之間，正在發生的網路通訊流量（如圖 12 所示）。

圖 12、Monitor 監控模式下，ping 指令通訊正常且拓撲圖即時繪製出黃色流量偵測線

確定運作環境符合隔離預期之後，即可將安全原則由監控模式正式切換為「強制執行」（Enforce）模式。請在 isolateProdDev 原則頁面上方點擊 Apply 選單後，選擇 Apply（Enforce）項目，系統會彈出確認視窗，要求管理人員在文字框中輸入 ENFORCE 字串，然後點擊 Confirm 鈕進行再次驗證，確保隔離原則不會錯誤套用。

現在，左上角的原則狀態將轉換為 Status: Enforced，原本連結兩邊運作環境的黃色虛線，將會同步轉換為紅色阻斷虛線（Blocked Traffic），切換回 Client1 的 Terminal 視窗，原先運作正常的 ping client2 指令會瞬間中斷，然後顯示 Destination Host Unreachable 訊息（如圖 13 所示），表示隔離原則一旦切換至 Enforce 模式之後，Prod 正式營運環境與 Dev 開發環境之間的東西向網路通訊，正式被 FNS 安全機制完全阻斷並且隔離。

圖 13、Enforce 模式正式套用生效，拓撲圖轉為紅色阻斷線且網路連線被徹底阻斷

為 VM 套用 Application 安全原則

事實上，FNS 安全架構最核心防線為應用程式原則（Application Policy）。 FNS 安全機制能夠針對多層級應用程式，例如，Web 網頁伺服器與資料庫伺服器，定義更精細的安全隔離原則，僅放行必要的通訊埠與通訊協定，貫徹「預設拒絕」（Default Deny）的零信任原則。在本文實作環境中，將為 TaskMan 應用程式建立專屬的安全原則 AppTaskMan，首先定義 Web 層與 DB 層的進站流量規則，並驗Monitor 與 Enforce 模式下的存取控制效果。

在 PC 管理介面中，依序點選「Infrastructure > Network & Security > Security Policies」，點擊+ Create Security Policy，在 Policy Name 欄位輸入 AppTaskMan，並選擇 Secure Entities（Application Policy）類型後點擊 Next 鈕。

在 Secure Application 頁面中，點擊 + Add Security Entity，搜尋並選擇AppTier:DB後點擊 Add，再次點擊 + Add Security Entity，搜尋並選取AppTier:Web 後點擊 Add，在左側 Inbounds區塊點擊 + Add Source，輸入並選擇 Environment:Production 後點擊 Add，點擊 AppTier:Web 旁邊的 + 號，選擇 Select a Service 並新增 Protocol/Service 為 TCP Port 80，點擊 Save 完成新增 Web 層規則，點擊 AppTier:DB 旁邊的 + 號，設定選取 Allow all traffic，以便允許 Web 層對 DB 層的所有通訊，點擊 Save 完成新增 DB 層規則，最後在 Review 頁面，選擇 Apply（Monitor）模式後點擊 Confirm 啟用監控模式（如圖 14 所示）。

圖 14、設定進站流量來源與 TCP Port 80 特定通訊埠許可規則

現在，進入 AppTaskMan 安全原則頁面，左上角狀態顯示為 Status: Monitoring，請開啟 Client1 的主機控制台，啟動 Firefox 瀏覽器並連結 http://TaskWeb 網址，可以發現 Client1 能夠成功開啟 Task Manager 應用程式網頁，代表營運服務運作不受影響，同樣的背景拓撲圖呈現 Discovered 流量，並以黃色虛線繪製出從 Client1 到 AppTier:Web 及 AppTier:DB 的實際通訊路徑（如圖 15 所示）。

圖 15、Monitor 模式下應用程式正常運作，拓撲圖即時回報流量狀態

同樣的，確認正常流量已經涵蓋需要的許可規則之後，管理人員便能放心將安全原則，切換為 Enforce 強制模式，以落實企業或組織的安全原則隔離管控。請在 AppTaskMan 原則頁面上方點擊 Apply 選單，選擇 Apply（Enforce）項目，並於彈出視窗輸入 ENFORCE 後點擊 Confirm 鈕套用生效。

此時，左上角的安全原則狀態轉換為 Status: Enforced，左側未符合專屬放行規則的來源，例如，非 Production 環境或未授權的網路連線，全部會被系統列入需要 Blocked 的狀態，連線顯示為紅色阻斷虛線。

切換至 Client1 的控制台重新整理頁面，未獲得授權的存取行為或非允許的 Port 連線作業，將會立即被切斷無法順利載入網頁（如圖 16 所示）。