\u00dcber NSX-T Policy API<\/h6>\n\n\n\n
Policy API ist die “neue” API die in der Version NSX-T 2.4 eingef\u00fchrt wurde und steuert die Objekte in der sogenannten simplified UI um die Objekte einfacher verwalten zu k\u00f6nnen.<\/p>\n\n\n\n
Es unterscheidet sich von der “alten” API (aka NSX -T Management Plane API) die Objekte in der Advanced Networking & Security UI verwaltet.<\/p>\n\n\n\n
Die meisten Systeme (wie vRA, Kubernetes, etc.) k\u00f6nnen sowohl beide APIs bedienen aber es ist ein Trend zu erkennen dass die neue API immer mehr an Bedeutung gewinnt.<\/p>\n\n\n\n
\u00dcber SDK Toolkit und PowerCLI<\/h6>\n\n\n\n
VMware NSX-T generiert die CMDLETS mit dem SDK Toolkit und sobald eine neue Version von NSX verf\u00fcgbar ist, ist auch eine neue Version von PowerCLI verf\u00fcgbar. Dadurch stehen nach einem Update alle Funktionen als CMDLETS zur Verf\u00fcgung.<\/p>\n\n\n\n
Disclaimer<\/h6>\n\n\n\n
Wenn Sie mit PowerCLI starten wollen gibt es eine Vielzahl von Blog Artikeln in denen erkl\u00e4rt wird, wie PowerCLI auf Windows, Mac oder Linux eingesetzt werden kann. In meinem Blog gehe ich daher nicht auf die Eirichtung von PowerCLI ein sondern nur auf das Zusammenspiel zwischen PowerCLI und NSX.<\/p>\n\n\n\n
Wenn Sie PowerCLI in Verbindug mit NSX-T in Produktiv Umgebungen verwenden wollen, sprechen Sie bitte Ihren Ansprechpartner bei VMware an um mehr \u00fcber die Support M\u00f6glichkeiten zu erfahren!<\/p>\n\n\n\n
Lasst und mit PowerCLI f\u00fcr NSX-T<\/h4>\n\n\n\n- Allgemeine Informationen<\/a><\/li>
- <\/a>Erstellen eines T1 Routers<\/a><\/li>
- Erstellen eines logischen Segments<\/a><\/li>
- Erstellen von Groups<\/a><\/li>
- Erstellen von Firewall Sections und Rules<\/a><\/li><\/ul>\n\n\n\n
Allgemeine Informationen<\/h4>\n\n\n\n
Es gibt vier CMDLETS, wenn man nach NSX-T sucht.<\/p>\n\n\n\n
Get-Module \"VMware.VimAutomation.Nsx*\" -ListAvailable<\/code><\/pre>\n\n\n\nConnect-NsxtServer\nDisconnect-NsxtServer\nGet-NsxtPolicyService\nGet-NsxtService<\/pre>\n\n\n\nAber mit diesen vier Modulen k\u00f6nnen alle Objekte im NSX Manager verwaltet werden….wenn man wei\u00df wie;-)<\/p>\n\n\n\n
Da wir Objekte in der Policy API anlegen wollen ben\u00f6tigen wir CMDLET “Get-NsxtPolicyService”<\/p>\n\n\n\n
Login auf den NSX Manager and auslesen der Module<\/h6>\n\n\n\n
Um alle m\u00f6glichen Module von NSX-T anzeigen zu lassen m\u00fcssen wir uns erst einmal an unserem NSX Manager anmelden.<\/p>\n\n\n\n
Connect-NsxtServer -Server IP-Address\/DNS-Name -User Username -Password password<\/code><\/pre>\n\n\n\nWenn die Anmeldung erfolgreich war sollten Sie eine \u00e4hnliche Anzeige erhalten:<\/p>\n\n\n\n![\"Connect](\"https:\/\/www.vrealize.it\/wp-content\/uploads\/2019\/11\/ServerConnect.png\")
<\/figure>\n\n\n\nJetzt k\u00f6nnen wir uns alle Module anzeigen lassen. Das Auslesen dauert einen moment um alle Module anzuzeigen (Momentan sind 286 Module vorhanden). Ich habe mir die Module Informationen in einer Text Datei gespeichet um nicht jedes mal eine Abfrage zu starten, wenn ich nach einem Module suche. Der Befehl zum auslesen ist wie folgt:<\/p>\n\n\n\n
Get-NsxtPolicyService<\/pre>\n\n\n\n<\/p>\n\n\n\n
Erstellen eines T1 Routers<\/h4>\n\n\n\n
Das nachfolgende Scriopt erstellt einen T1 Router<\/p>\n
#Variables for NSX Manager Connection\n$nsxmanagerip = \"IP_OR_DNS_NAME\"\n$nsxuser = \"USERNAME\"\n$nsxpasswd = \"PASSWORD\"\n#General Variables\n$description = \"Created with VMware PowerCLI\"\n$tag = \"powercli\"\n#Variables for T1 Router\n$t1routerid = \"NAME_OF_NEW_T1_ROUTER\"\n$t1routerpath_to_t0_rtr = \"\/infra\/tier-0s\/NAME_OF_NEW_T0_ROUTER\"\n$t1routeradvertisement = @(\"TIER1_IPSEC_LOCAL_ENDPOINT\",\"TIER1_CONNECTED\")\n#Connect to NSX Manager\nConnect-NsxtServer -Server $nsxmanagerip -User $nsxuser -Password $nsxpasswd\n#Retrieve Router Information\n$t1routerdata = Get-NsxtPolicyService -Name com.vmware.nsx_policy.infra.tier1s\n#Set Variables\n$t1routerspecification = $t1routerdata.Help.patch.tier1.Create()\n$t1routerspecification.description = $description\n$t1routerspecification.id = $t1routerid\n$t1routerspecification.display_name = $t1routerid\n$t1routerspecification.tier0_path = $t1routerpath_to_t0_rtr\n$t1routerspecification.route_advertisement_types = $t1routeradvertisement\n#Add Tag to the Router\n$t1routertag = $t1routerdata.Help.patch.tier1.tags.Element.Create()\n$t1routertag.tag = $tag\n$t1routerspecification.tags.Add($t1routertag) | Out-Null\n#Create T1 Router\n$t1routerdata.patch($t1routerspecification.id, $t1routerspecification)<\/pre>\nJede Zeile die mit dem Dollarzeichen beginnt “$” wird von PowerShell als Variable erkannt. F\u00fcr eine einzelne Variable wird der Inhalt in Anf\u00fchrungszeichen oder Hochkommatas eingebettet. “inhalt”\u00a0<\/p>\n
Eine Liste von Variablen wird in Klammern, beginnend mit einem @ eingebettet. @(“inhalt1″,”inhalt2”)<\/p>\n
Als erstes m\u00fcssen die Variablen f\u00fcr die Verbindung zum NSX Manager gesetzt werden.<\/p>\n
\n$nsxmanagerip = \"IP_OR_DNS_NAME\" \n$nsxuser = \"USERNAME\" \n$nsxpasswd = \"PASSWORD\"<\/pre>\nAls n\u00e4chstes definieren wir Variablen, um die Objekte mit einer Beschreibung und einem TAG zu versehen. Das hilft dabei wenn man sp\u00e4ter nach diesen Objekten suchen m\u00f6chte.<\/p>\n
\n$description = \"Created with VMware PowerCLI\"\n$tag = \"powercli\"<\/pre>\nDamit der T1 Router auch an einen vorhandenen T0 Router angeschlossen werden kann be\u00f6tigen wir noch die folgenden Variablen.<\/p>\n
$t1routerid = \"NAME_OF_NEW_T1_ROUTER\" \n$t1routerpath_to_t0_rtr = \"\/infra\/tier-0s\/NAME_OF_NEW_T0_ROUTER\"\n$t1routeradvertisement = @(\"TIER1_IPSEC_LOCAL_ENDPOINT\",\"TIER1_CONNECTED\")<\/pre>\nFalls noch nicht geschehen wird \u00fcber das nachfolgende Kommando die verbindung zum NSX Manager aufgebaut. Wenn die Verbindung schon steht sollte diese Zeile mit einer Raute “#” auskommentiert werden.<\/p>\n
Connect-NsxtServer -Server $nsxmanagerip -User $nsxuser -Password <\/pre>\nWir setzen nun eine Variable mit den n\u00f6tigen Informationen die wir brauchen um den Router anlegen zu k\u00f6nnen. Die Infos f\u00fcr die Variable zeiehn wir aus den Modulen die wir als erstes ausgelesen haben.<\/p>\n
$t1routerdata = Get-NsxtPolicyService -Name com.vmware.nsx_policy.infra.tier1s<\/pre>\nJetzt k\u00f6nnen wir die Informationen \u00fcber alle bereits angelegten T1 Router anzeigen lassen und au\u00dferdem die Struktur verstehen.<\/p>\n
$t1routerdata.list().results<\/pre>\nBeispiel Output:<\/p>\n
![\"\"](\"https:\/\/www.vrealize.it\/wp-content\/uploads\/2019\/11\/T1example-567x600.png\")
<\/p>\n
Mit Get-Member werden kann angezeigt werden welche Pflichtinformationen vorhanden sein m\u00fcssen um ein neues Objekt anlegen zu k\u00f6nnen.<\/p>\n
$t1routerdata | Get-Member<\/pre>\nF\u00fcr uns ist das Feld “patch” wichtig. Es werden die Informationen tier1_id und tier1 ben\u00f6tigt um einen T1 Router zu erstellen oder die Kofniguration zu ver\u00e4ndern.<\/p>\n
![\"\"](\"https:\/\/www.vrealize.it\/wp-content\/uploads\/2019\/11\/T1GetMember-600x204.png\")
<\/p>\n
Wir erstellen jetzt eine Variable um die Router Specifikationen zu speichern.<\/p>\n
$t1routerspecification = $t1routerdata.Help.patch.tier1.Create()<\/pre>\nNachdem wir die Variable erstellt haben k\u00f6nnen wir auslesen welche Eingabe Informationen zur Verf\u00fcgung stehen und wie die Struktur sein muss.<\/p>\n
$t1routerspecification<\/pre>\n“String” hei\u00dft single input, “List<string>” hei\u00dft single oder multiple inputs and “boolean” hei\u00dft yes or no.<\/p>\n
Input Parameter\u00a0 bei denen in den eckigen Klammern “com.vmware.” steht sind\u00a0 child oderr nested Objekte und k\u00f6nnen ben\u00f6tigen weiterer Ma\u00dfnahmen um die Informationen richtig zu setzen. Dazu kommen wir sp\u00e4ter wenn wir einen TAG auf dem Router setzen.<\/p>\n
![\"\"](\"https:\/\/www.vrealize.it\/wp-content\/uploads\/2019\/11\/T1ObjectsBlank-600x284.png\")
<\/p>\n
Die folgenden Routervariablen werden ben\u00f6tigt:<\/p>\n
\n$t1routerspecification.description = $description
$t1routerspecification.id = $t1routerid
$t1routerspecification.display_name = $t1routerid
$t1routerspecification.tier0_path = $t1routerpath_to_t0_rtr
$t1routerspecification.route_advertisement_types = $t1routeradvertisement<\/pre>\nJetzt widmen wir uns den Child\/Nested objekten. Das Kommando sieht so \u00e4hnlich aus wie das Komando was wir f\u00fcr die Router Spezifikationen genutzt haben. Aber jetzt gehen wir einen Schritt tiefer in die Struktur was wir mit dem der Eingabe Element machen.<\/p>\n
\n$t1routertag = $t1routerdata.Help.patch.tier1.tags.Element.Create()<\/pre>\nJetzt k\u00f6nnen wir auch den Tag setzen.<\/p>\n
\n$t1routertag.tag = $tag<\/pre>\nDie Child Variable h\u00e4ngen wir jetzt an die Routerspezifikationen an. “| Out-Null” unterdr\u00fcckt die R\u00fcckmeldung wenn das Script ausgef\u00fchrt wird.<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n$t1routerspecification.tags.Add($t1routertag) | Out-Null<\/pre>\n<\/div>\n<\/div>\nNormalwerweise sollten jetzt alle ben\u00f6tigten Felder in der Variable ausgef\u00fcllt sein.<\/div>\n$t1routerspecification<\/pre>\nMit dem letzten Befehl wird der T1 Router erstellt und mit dem vorhandenen T0 Router verbunden.<\/p>\n
\n\n$t1routerdata.patch($t1routerspecification.id, $t1routerspecification)<\/pre>\n<\/div>\n<\/div>\n\n\n\nWenn das Kommando ohne Fehler durchgelaufen ist, wurde der T1 Router in NSX angelegt. Zur \u00dcberpr\u00fcfung verbinden Sie sich mit der NSX Manager UI und geben auf der Startseite in dem Suchfeld “powercli” ein.<\/p>\n\n\n
![\"\"](\"https:\/\/www.vrealize.it\/wp-content\/uploads\/2019\/11\/SearchT1RTR-600x335.png\")
<\/p>\n
Sie sollten folgende Informationen sehen k\u00f6nnen.<\/p>\n
![\"\"](\"https:\/\/www.vrealize.it\/wp-content\/uploads\/2019\/11\/SearchT1Result-600x313.png\")
<\/p>\n\n\n
Erstellen eines logischen Segments<\/h4>\n\n\n\n
Das Script erstellt ein logisches Segment (logischer Switch)<\/p>\n
\n#Variables for NSX Manager Connection\n$nsxmanagerip = \"IP_OR_DNS_NAME\"\n$nsxuser = \"USERNAME\"\n$nsxpasswd = \"PASSWORD\"\n#General Variables\n$description = \"Created with VMware PowerCLI\"\n$tag = \"powercli\"\n#Variables for Segment\n$segmentid = \"SEGMENTNAME\"\n$transportzone = \"\/infra\/sites\/default\/enforcement-points\/default\/transport-zones\/TRANSPORTZONEID\"\n$path_to_t1_rtr = \"\/infra\/tier-1s\/T1ROUTERNAME\"\n$defaultgateway = \"IP-ADDRESS\/MASK\"\n#Connect to NSX Manager\nConnect-NsxtServer -Server $nsxmanagerip -User $nsxuser -Password $nsxpasswd\n#Retrieve Segment Information\n$segmentdata = Get-NsxtPolicyService -Name com.vmware.nsx_policy.infra.segments\n#Set Variables\n$segmentdata = Get-NsxtPolicyService -Name com.vmware.nsx_policy.infra.segments\n$segmentspecification = $segmentdata.Help.patch.segment.Create()\n$segmentspecification.description = $description\n$segmentspecification.id = $segmentid\n$segmentspecification.transport_zone_path = $transportzone\n$segmentspecification.connectivity_path = $path_to_t1_rtr\n#Set Default Gateway Variables\n$subnetSpec = $segmentdata.help.patch.segment.subnets.Element.Create()\n$subnetSpec.gateway_address = $defaultgateway\n$segmentspecification.subnets.Add($subnetSpec) | Out-Null\n#Add Tag to the Segment\n$segmenttag = $segmentdata.help.patch.segment.tags.Element.Create()\n$segmenttag.tag = $tag\n$segmentspecification.tags.Add($segmenttag) | Out-Null\n#Create Segment\n$segmentdata.patch($segmentid, $segmentspecification)<\/pre>\nIch werde nur die Details erkl\u00e4ren die bei der Erstellung des Segments anders sind. Folgende Variablen werden f\u00fcr das Segment ben\u00f6tigt.<\/p>\n
$segmentid = \"SEGMENTNAME\"\n$transportzone = \"\/infra\/sites\/default\/enforcement-points\/default\/transport-zones\/TRANSPORTZONEID\"<\/pre>\nDie Transport Zone UUID kann in dem NSX Manager ausgelesen werden. System->Fabric->Transport Zones<\/p>\n
![\"\"](\"https:\/\/www.vrealize.it\/wp-content\/uploads\/2019\/11\/TZ-600x291.png\")
<\/p>\n
Das Segment verbinden wir mit dem zuvor erstellten T1 Router. Au\u00dferdem ben\u00f6tigen wir noch das Default Gateway f\u00fcr die VMs die sp\u00e4ter an diesem Segment angeschlossen werden sollen.<\/p>\n
$path_to_t1_rtr = \"\/infra\/tier-1s\/T1ROUTERNAME\"\n$defaultgateway = \"IP-ADDRESS\/MASK\"<\/pre>\nEs werden wieder die Informationen ausgelesen, aber diesmal f\u00fcr das Segment.<\/p>\n
$segmentdata = Get-NsxtPolicyService -Name com.vmware.nsx_policy.infra.segments<\/pre>\nMit den folgenden Komandos k\u00f6nnen wir wieder die Informationen \u00fcber die Struktur auslesen.<\/p>\n
$segmentdata.list().results
$segmentdata |<\/span> Get<\/span>-<\/span>Member<\/span><\/pre>\nAls n\u00e4chstes setzen wir die Variablen f\u00fcr das Segment.<\/p>\n
$segmentspecification = $segmentdata.Help.patch.segment.Create()\n$segmentspecification.description = $description\n$segmentspecification.id = $segmentid\n$segmentspecification.transport_zone_path = $transportzone\n$segmentspecification.connectivity_path = $path_to_t1_rtr<\/pre>\nUm die Default Gateway Information zu setzen m\u00fcssen wir wieder eine Ebene tiefer springen.<\/p>\n
$subnetSpec = $segmentdata.help.patch.segment.subnets.Element.Create()\n$subnetSpec.gateway_address = $defaultgateway\n$segmentspecification.subnets.Add($subnetSpec) | Out-Null<\/pre>\nDas gleiche gilt f\u00fcr den Segment Tag<\/p>\n
$segmenttag = $segmentdata.help.patch.segment.tags.Element.Create()\n$segmenttag.tag = $tag\n$segmentspecification.tags.Add($segmenttag) | Out-Null<\/pre>\nAbschlie\u00dfend wird das logische Segment erstellt.<\/p>\n
$segmentdata.patch($segmentid, $segmentspecification)<\/pre>\nLassen Sie uns pr\u00fcfen ob wir erfolgreich waren!<\/p>\n
![\"\"](\"https:\/\/www.vrealize.it\/wp-content\/uploads\/2019\/11\/Segment-600x263.png\")
<\/p>\n<\/div>\n\n\n\n
Erstellen von Groups<\/h4>\n
Dieses Script erstellt Groups und benutzt Group Member Attribute die die auf den VMs in Inventory gesetzt werden m\u00fcssen.<\/p>\n
\n#Variables for NSX Manager Connectionc\n$nsxmanagerip = \"IP_OR_DNS_NAME\"\n$nsxuser = \"USERNAME\"\n$nsxpasswd = \"PASSWORD\"\n#General Variables\n$description = \"Created with VMware PowerCLI\"\n$tag = \"powercli\"\n#Variables for Groups\n$groupdomain = \"default\"\n$groupid = \"GROUP_NAME\"\n$groupmember = \"SCOPE_NAME|TAG_NAME\"\n$groupmember_type = \"VirtualMachine\"\n#Connect to NSX Manager\nConnect-NsxtServer -Server $nsxmanagerip -User $nsxuser -Password $nsxpasswd\n#Retrieve Group Information\n$groupdata = Get-NsxtPolicyService -Name com.vmware.nsx_policy.infra.domains.groups\n#Set Group Variables\n$groupspecification = $groupdata.Help.patch.group.Create()\n$groupspecification.display_name = $groupid\n$groupspecification.description = $description\n#Add Group Member Variables\n$groupexpspecification = $groupdata.Help.patch.group.expression.Element.condition.Create()\n$groupexpspecification.member_type = $groupmember_type\n$groupexpspecification.value = $groupmember\n$groupexpspecification.key=\"Tag\"\n$groupexpspecification.operator = \"EQUALS\"\n$groupspecification.expression.Add($groupexpspecification) | Out-Null\n#Add TAG to Group\n$grouptag = $groupdata.Help.patch.group.tags.Element.Create()\n$grouptag.tag = $tag\n$groupspecification.tags.Add($grouptag) | Out-Null\n#Create Group\n$groupdata.patch($groupdomain, $groupid, $groupspecification)<\/pre>\nUm eine Gruppe zu erstellen werden wieder Variablen benutzt. Die Domain ist in der Regel “default”, wenn es nicht von Ihnen ver\u00e4ndert wurde. Domain und Member Type sind Case Sensitive!<\/p>\n
$groupdomain = \"default\"\n$groupid = \"GROUP_NAME\"\n$groupmember = \"SCOPE_NAME|TAG_NAME\"\n$groupmember_type = \"VirtualMachine\"<\/pre>\nEs wird wieder als erstes die Struktur ausgelesen.<\/p>\n
$groupdata = Get-NsxtPolicyService -Name com.vmware.nsx_policy.infra.domains.groups<\/pre>\nNun werden die Variablen f\u00fcr die Group gesetzt.<\/p>\n
$groupspecification = $groupdata.Help.patch.group.Create()\n$groupspecification.display_name = $groupid\n$groupspecification.description = $description<\/pre>\nDann noch die Group Kriterien<\/p>\n
$groupexpspecification = $groupdata.Help.patch.group.expression.Element.condition.Create()\n$groupexpspecification.member_type = $groupmember_type\n$groupexpspecification.value = $groupmember\n$groupexpspecification.key=\"Tag\"\n$groupexpspecification.operator = \"EQUALS\"\n$groupspecification.expression.Add($groupexpspecification) | Out-Null<\/pre>\nUnd auch hier setzten wir einen Tag<\/p>\n
$grouptag = $groupdata.Help.patch.group.tags.Element.Create()\n$grouptag.tag = $tag\n$groupspecification.tags.Add($grouptag) | Out-Null<\/pre>\nZum Abschluss erstellen wir die Gruppe mit der zus\u00e4tzlichen Information $groupdomain.<\/p>\n
$groupdata.patch($groupdomain, $groupid, $groupspecification)<\/pre>\n![\"\"](\"https:\/\/www.vrealize.it\/wp-content\/uploads\/2019\/11\/Group-600x350.png\")
<\/p>\n<\/div>\n
\u00a0<\/p>\n\n\n\n
Erstellen einer Firewall Section und Rule<\/h4>\n\nDieses Script erstellt die Firewall Section and eine Rule<\/div>\n#Variables for NSX Manager Connection\n$nsxmanagerip = \"IP_OR_DNS_NAME\"\n$nsxuser = \"USERNAME\"\n$nsxpasswd = \"PASSWORD\"\n#General Variables\n$description = \"Created with VMware PowerCLI\"\n$tag = \"powercli\"\n#Variables for Firewallentries\n$secdomain = \"default\"\n$policysectionid = \"FW_SECTION_NAME\"\n$rulename = \"FW_RULE_NAME\"\n$source = \"\/infra\/domains\/default\/groups\/GROUPNAME\"\n$destination = \"any\"\n$service = \"any\"\n$action = \"ALLOW\"\n#Connect to NSX Manager\nConnect-NsxtServer -Server $nsxmanagerip -User $nsxuser -Password $nsxpasswd\n#Retrieve Firewall Section and Rule Information\n$secpolicydata = Get-NsxtPolicyService -Name com.vmware.nsx_policy.infra.domains.security_policies\n#Set Firewall Variables\n$secpolicyspecification = $secpolicydata.Help.patch.security_policy.Create()\n$secpolicyspecification.description = $description\n$secpolicyspecification.display_name = $policysectionid\n#Set Rule Variables\n$secpolicyrule = $secpolicydata.Help.patch.security_policy.rules.Element.Create()\n$secpolicyrule.description = $description\n$secpolicyrule.display_name = $rulename\n$secpolicyrule.source_groups = @($source)\n$secpolicyrule.destination_groups = @($destination)\n$secpolicyrule.services = @($service)\n$secpolicyrule.action = $action\n$secpolicyspecification.rules.Add($secpolicyrule) | Out-Null\n#Add TAG to Firewall Section<\/span>\n$secpolicytag = $secpolicydata.Help.patch.security_policy.tags.Element.Create()\n$secpolicytag.tag = $tag\n$secpolicyspecification.tags.Add($secpolicytag) | Out-Null\n#Create Firewall Section and Rule\n$secpolicydata.patch($secdomain, $policysectionid, $secpolicyspecification)<\/pre>\nEs wird eine Firewall Section erstellt und in der Section dann die Regel.<\/p>\n
$secdomain = \"default\"\n$policysectionid = \"FW_SECTION_NAME\"\n$rulename = \"FW_RULE_NAME\"\n$source = \"\/infra\/domains\/default\/groups\/GROUPNAME\"\n$destination = \"any\"\n$service = \"any\"\n$action = \"ALLOW\"<\/pre>\nAuslesen der Firewall Informationen.<\/p>\n
$secpolicydata = Get-NsxtPolicyService -Name com.vmware.nsx_policy.infra.domains.security_policies<\/pre>\nSetzen der Variablen f\u00fcr die Firewall Section<\/p>\n
$secpolicyspecification = $secpolicydata.Help.patch.security_policy.Create()\n$secpolicyspecification.description = $description\n$secpolicyspecification.display_name = $policysectionid<\/pre>\nSetzen der Variablen f\u00fcr die Firewall Rule<\/p>\n
$secpolicyrule = $secpolicydata.Help.patch.security_policy.rules.Element.Create()\n$secpolicyrule.description = $description $secpolicyrule.display_name = $rulename\n$secpolicyrule.source_groups = @($source)\n$secpolicyrule.destination_groups = @($destination)\n$secpolicyrule.services = @($service)\n$secpolicyrule.action = $action\n$secpolicyspecification.rules.Add($secpolicyrule) | Out-Null<\/pre>\nTag der Firewall Section<\/p>\n
$secpolicytag = $secpolicydata.Help.patch.security_policy.tags.Element.Create()\n$secpolicytag.tag = $tag\n$secpolicyspecification.tags.Add($secpolicytag) | Out-Null<\/pre>\nErstellen der Firewall Section und der Rule<\/p>\n
$secpolicydata.patch($secdomain, $policysectionid, $secpolicyspecification)<\/pre>\n<\/div>\n\n\n\nIch hoffe das hilft Ihnen, um mit PowerCLI in Verbindung mit NSX zu starten.<\/p>\n","protected":false},"excerpt":{"rendered":"
Allgemeine Informationen<\/h4>\n\n\n\n
Es gibt vier CMDLETS, wenn man nach NSX-T sucht.<\/p>\n\n\n\n
Get-Module \"VMware.VimAutomation.Nsx*\" -ListAvailable<\/code><\/pre>\n\n\n\nConnect-NsxtServer\nDisconnect-NsxtServer\nGet-NsxtPolicyService\nGet-NsxtService<\/pre>\n\n\n\nAber mit diesen vier Modulen k\u00f6nnen alle Objekte im NSX Manager verwaltet werden….wenn man wei\u00df wie;-)<\/p>\n\n\n\n
Da wir Objekte in der Policy API anlegen wollen ben\u00f6tigen wir CMDLET “Get-NsxtPolicyService”<\/p>\n\n\n\n
Login auf den NSX Manager and auslesen der Module<\/h6>\n\n\n\n
Um alle m\u00f6glichen Module von NSX-T anzeigen zu lassen m\u00fcssen wir uns erst einmal an unserem NSX Manager anmelden.<\/p>\n\n\n\n
Connect-NsxtServer -Server IP-Address\/DNS-Name -User Username -Password password<\/code><\/pre>\n\n\n\nWenn die Anmeldung erfolgreich war sollten Sie eine \u00e4hnliche Anzeige erhalten:<\/p>\n\n\n\n<\/figure>\n\n\n\nJetzt k\u00f6nnen wir uns alle Module anzeigen lassen. Das Auslesen dauert einen moment um alle Module anzuzeigen (Momentan sind 286 Module vorhanden). Ich habe mir die Module Informationen in einer Text Datei gespeichet um nicht jedes mal eine Abfrage zu starten, wenn ich nach einem Module suche. Der Befehl zum auslesen ist wie folgt:<\/p>\n\n\n\n
Get-NsxtPolicyService<\/pre>\n\n\n\n<\/p>\n\n\n\n
Erstellen eines T1 Routers<\/h4>\n\n\n\n
Das nachfolgende Scriopt erstellt einen T1 Router<\/p>\n
#Variables for NSX Manager Connection\n$nsxmanagerip = \"IP_OR_DNS_NAME\"\n$nsxuser = \"USERNAME\"\n$nsxpasswd = \"PASSWORD\"\n#General Variables\n$description = \"Created with VMware PowerCLI\"\n$tag = \"powercli\"\n#Variables for T1 Router\n$t1routerid = \"NAME_OF_NEW_T1_ROUTER\"\n$t1routerpath_to_t0_rtr = \"\/infra\/tier-0s\/NAME_OF_NEW_T0_ROUTER\"\n$t1routeradvertisement = @(\"TIER1_IPSEC_LOCAL_ENDPOINT\",\"TIER1_CONNECTED\")\n#Connect to NSX Manager\nConnect-NsxtServer -Server $nsxmanagerip -User $nsxuser -Password $nsxpasswd\n#Retrieve Router Information\n$t1routerdata = Get-NsxtPolicyService -Name com.vmware.nsx_policy.infra.tier1s\n#Set Variables\n$t1routerspecification = $t1routerdata.Help.patch.tier1.Create()\n$t1routerspecification.description = $description\n$t1routerspecification.id = $t1routerid\n$t1routerspecification.display_name = $t1routerid\n$t1routerspecification.tier0_path = $t1routerpath_to_t0_rtr\n$t1routerspecification.route_advertisement_types = $t1routeradvertisement\n#Add Tag to the Router\n$t1routertag = $t1routerdata.Help.patch.tier1.tags.Element.Create()\n$t1routertag.tag = $tag\n$t1routerspecification.tags.Add($t1routertag) | Out-Null\n#Create T1 Router\n$t1routerdata.patch($t1routerspecification.id, $t1routerspecification)<\/pre>\nJede Zeile die mit dem Dollarzeichen beginnt “$” wird von PowerShell als Variable erkannt. F\u00fcr eine einzelne Variable wird der Inhalt in Anf\u00fchrungszeichen oder Hochkommatas eingebettet. “inhalt”\u00a0<\/p>\n
Eine Liste von Variablen wird in Klammern, beginnend mit einem @ eingebettet. @(“inhalt1″,”inhalt2”)<\/p>\n
Als erstes m\u00fcssen die Variablen f\u00fcr die Verbindung zum NSX Manager gesetzt werden.<\/p>\n
\n$nsxmanagerip = \"IP_OR_DNS_NAME\" \n$nsxuser = \"USERNAME\" \n$nsxpasswd = \"PASSWORD\"<\/pre>\nAls n\u00e4chstes definieren wir Variablen, um die Objekte mit einer Beschreibung und einem TAG zu versehen. Das hilft dabei wenn man sp\u00e4ter nach diesen Objekten suchen m\u00f6chte.<\/p>\n
\n$description = \"Created with VMware PowerCLI\"\n$tag = \"powercli\"<\/pre>\nDamit der T1 Router auch an einen vorhandenen T0 Router angeschlossen werden kann be\u00f6tigen wir noch die folgenden Variablen.<\/p>\n
$t1routerid = \"NAME_OF_NEW_T1_ROUTER\" \n$t1routerpath_to_t0_rtr = \"\/infra\/tier-0s\/NAME_OF_NEW_T0_ROUTER\"\n$t1routeradvertisement = @(\"TIER1_IPSEC_LOCAL_ENDPOINT\",\"TIER1_CONNECTED\")<\/pre>\nFalls noch nicht geschehen wird \u00fcber das nachfolgende Kommando die verbindung zum NSX Manager aufgebaut. Wenn die Verbindung schon steht sollte diese Zeile mit einer Raute “#” auskommentiert werden.<\/p>\n
Connect-NsxtServer -Server $nsxmanagerip -User $nsxuser -Password <\/pre>\nWir setzen nun eine Variable mit den n\u00f6tigen Informationen die wir brauchen um den Router anlegen zu k\u00f6nnen. Die Infos f\u00fcr die Variable zeiehn wir aus den Modulen die wir als erstes ausgelesen haben.<\/p>\n
$t1routerdata = Get-NsxtPolicyService -Name com.vmware.nsx_policy.infra.tier1s<\/pre>\nJetzt k\u00f6nnen wir die Informationen \u00fcber alle bereits angelegten T1 Router anzeigen lassen und au\u00dferdem die Struktur verstehen.<\/p>\n
$t1routerdata.list().results<\/pre>\nBeispiel Output:<\/p>\n
<\/p>\n
Mit Get-Member werden kann angezeigt werden welche Pflichtinformationen vorhanden sein m\u00fcssen um ein neues Objekt anlegen zu k\u00f6nnen.<\/p>\n
$t1routerdata | Get-Member<\/pre>\nF\u00fcr uns ist das Feld “patch” wichtig. Es werden die Informationen tier1_id und tier1 ben\u00f6tigt um einen T1 Router zu erstellen oder die Kofniguration zu ver\u00e4ndern.<\/p>\n
<\/p>\n
Wir erstellen jetzt eine Variable um die Router Specifikationen zu speichern.<\/p>\n
$t1routerspecification = $t1routerdata.Help.patch.tier1.Create()<\/pre>\nNachdem wir die Variable erstellt haben k\u00f6nnen wir auslesen welche Eingabe Informationen zur Verf\u00fcgung stehen und wie die Struktur sein muss.<\/p>\n
$t1routerspecification<\/pre>\n“String” hei\u00dft single input, “List<string>” hei\u00dft single oder multiple inputs and “boolean” hei\u00dft yes or no.<\/p>\n
Input Parameter\u00a0 bei denen in den eckigen Klammern “com.vmware.” steht sind\u00a0 child oderr nested Objekte und k\u00f6nnen ben\u00f6tigen weiterer Ma\u00dfnahmen um die Informationen richtig zu setzen. Dazu kommen wir sp\u00e4ter wenn wir einen TAG auf dem Router setzen.<\/p>\n
<\/p>\n
Die folgenden Routervariablen werden ben\u00f6tigt:<\/p>\n
\n$t1routerspecification.description = $description
$t1routerspecification.id = $t1routerid
$t1routerspecification.display_name = $t1routerid
$t1routerspecification.tier0_path = $t1routerpath_to_t0_rtr
$t1routerspecification.route_advertisement_types = $t1routeradvertisement<\/pre>\nJetzt widmen wir uns den Child\/Nested objekten. Das Kommando sieht so \u00e4hnlich aus wie das Komando was wir f\u00fcr die Router Spezifikationen genutzt haben. Aber jetzt gehen wir einen Schritt tiefer in die Struktur was wir mit dem der Eingabe Element machen.<\/p>\n
\n$t1routertag = $t1routerdata.Help.patch.tier1.tags.Element.Create()<\/pre>\nJetzt k\u00f6nnen wir auch den Tag setzen.<\/p>\n
\n$t1routertag.tag = $tag<\/pre>\nDie Child Variable h\u00e4ngen wir jetzt an die Routerspezifikationen an. “| Out-Null” unterdr\u00fcckt die R\u00fcckmeldung wenn das Script ausgef\u00fchrt wird.<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n$t1routerspecification.tags.Add($t1routertag) | Out-Null<\/pre>\n<\/div>\n<\/div>\nNormalwerweise sollten jetzt alle ben\u00f6tigten Felder in der Variable ausgef\u00fcllt sein.<\/div>\n$t1routerspecification<\/pre>\nMit dem letzten Befehl wird der T1 Router erstellt und mit dem vorhandenen T0 Router verbunden.<\/p>\n
\n\n$t1routerdata.patch($t1routerspecification.id, $t1routerspecification)<\/pre>\n<\/div>\n<\/div>\n\n\n\nWenn das Kommando ohne Fehler durchgelaufen ist, wurde der T1 Router in NSX angelegt. Zur \u00dcberpr\u00fcfung verbinden Sie sich mit der NSX Manager UI und geben auf der Startseite in dem Suchfeld “powercli” ein.<\/p>\n\n\n
<\/p>\n
Sie sollten folgende Informationen sehen k\u00f6nnen.<\/p>\n
<\/p>\n\n\n
Erstellen eines logischen Segments<\/h4>\n\n\n\n
Das Script erstellt ein logisches Segment (logischer Switch)<\/p>\n
\n#Variables for NSX Manager Connection\n$nsxmanagerip = \"IP_OR_DNS_NAME\"\n$nsxuser = \"USERNAME\"\n$nsxpasswd = \"PASSWORD\"\n#General Variables\n$description = \"Created with VMware PowerCLI\"\n$tag = \"powercli\"\n#Variables for Segment\n$segmentid = \"SEGMENTNAME\"\n$transportzone = \"\/infra\/sites\/default\/enforcement-points\/default\/transport-zones\/TRANSPORTZONEID\"\n$path_to_t1_rtr = \"\/infra\/tier-1s\/T1ROUTERNAME\"\n$defaultgateway = \"IP-ADDRESS\/MASK\"\n#Connect to NSX Manager\nConnect-NsxtServer -Server $nsxmanagerip -User $nsxuser -Password $nsxpasswd\n#Retrieve Segment Information\n$segmentdata = Get-NsxtPolicyService -Name com.vmware.nsx_policy.infra.segments\n#Set Variables\n$segmentdata = Get-NsxtPolicyService -Name com.vmware.nsx_policy.infra.segments\n$segmentspecification = $segmentdata.Help.patch.segment.Create()\n$segmentspecification.description = $description\n$segmentspecification.id = $segmentid\n$segmentspecification.transport_zone_path = $transportzone\n$segmentspecification.connectivity_path = $path_to_t1_rtr\n#Set Default Gateway Variables\n$subnetSpec = $segmentdata.help.patch.segment.subnets.Element.Create()\n$subnetSpec.gateway_address = $defaultgateway\n$segmentspecification.subnets.Add($subnetSpec) | Out-Null\n#Add Tag to the Segment\n$segmenttag = $segmentdata.help.patch.segment.tags.Element.Create()\n$segmenttag.tag = $tag\n$segmentspecification.tags.Add($segmenttag) | Out-Null\n#Create Segment\n$segmentdata.patch($segmentid, $segmentspecification)<\/pre>\nIch werde nur die Details erkl\u00e4ren die bei der Erstellung des Segments anders sind. Folgende Variablen werden f\u00fcr das Segment ben\u00f6tigt.<\/p>\n
$segmentid = \"SEGMENTNAME\"\n$transportzone = \"\/infra\/sites\/default\/enforcement-points\/default\/transport-zones\/TRANSPORTZONEID\"<\/pre>\nDie Transport Zone UUID kann in dem NSX Manager ausgelesen werden. System->Fabric->Transport Zones<\/p>\n
<\/p>\n
Das Segment verbinden wir mit dem zuvor erstellten T1 Router. Au\u00dferdem ben\u00f6tigen wir noch das Default Gateway f\u00fcr die VMs die sp\u00e4ter an diesem Segment angeschlossen werden sollen.<\/p>\n
$path_to_t1_rtr = \"\/infra\/tier-1s\/T1ROUTERNAME\"\n$defaultgateway = \"IP-ADDRESS\/MASK\"<\/pre>\nEs werden wieder die Informationen ausgelesen, aber diesmal f\u00fcr das Segment.<\/p>\n
$segmentdata = Get-NsxtPolicyService -Name com.vmware.nsx_policy.infra.segments<\/pre>\nMit den folgenden Komandos k\u00f6nnen wir wieder die Informationen \u00fcber die Struktur auslesen.<\/p>\n
$segmentdata.list().results
$segmentdata |<\/span> Get<\/span>-<\/span>Member<\/span><\/pre>\nAls n\u00e4chstes setzen wir die Variablen f\u00fcr das Segment.<\/p>\n
$segmentspecification = $segmentdata.Help.patch.segment.Create()\n$segmentspecification.description = $description\n$segmentspecification.id = $segmentid\n$segmentspecification.transport_zone_path = $transportzone\n$segmentspecification.connectivity_path = $path_to_t1_rtr<\/pre>\nUm die Default Gateway Information zu setzen m\u00fcssen wir wieder eine Ebene tiefer springen.<\/p>\n
$subnetSpec = $segmentdata.help.patch.segment.subnets.Element.Create()\n$subnetSpec.gateway_address = $defaultgateway\n$segmentspecification.subnets.Add($subnetSpec) | Out-Null<\/pre>\nDas gleiche gilt f\u00fcr den Segment Tag<\/p>\n
$segmenttag = $segmentdata.help.patch.segment.tags.Element.Create()\n$segmenttag.tag = $tag\n$segmentspecification.tags.Add($segmenttag) | Out-Null<\/pre>\nAbschlie\u00dfend wird das logische Segment erstellt.<\/p>\n
$segmentdata.patch($segmentid, $segmentspecification)<\/pre>\nLassen Sie uns pr\u00fcfen ob wir erfolgreich waren!<\/p>\n
<\/p>\n<\/div>\n\n\n\n
Erstellen von Groups<\/h4>\n
Dieses Script erstellt Groups und benutzt Group Member Attribute die die auf den VMs in Inventory gesetzt werden m\u00fcssen.<\/p>\n
\n#Variables for NSX Manager Connectionc\n$nsxmanagerip = \"IP_OR_DNS_NAME\"\n$nsxuser = \"USERNAME\"\n$nsxpasswd = \"PASSWORD\"\n#General Variables\n$description = \"Created with VMware PowerCLI\"\n$tag = \"powercli\"\n#Variables for Groups\n$groupdomain = \"default\"\n$groupid = \"GROUP_NAME\"\n$groupmember = \"SCOPE_NAME|TAG_NAME\"\n$groupmember_type = \"VirtualMachine\"\n#Connect to NSX Manager\nConnect-NsxtServer -Server $nsxmanagerip -User $nsxuser -Password $nsxpasswd\n#Retrieve Group Information\n$groupdata = Get-NsxtPolicyService -Name com.vmware.nsx_policy.infra.domains.groups\n#Set Group Variables\n$groupspecification = $groupdata.Help.patch.group.Create()\n$groupspecification.display_name = $groupid\n$groupspecification.description = $description\n#Add Group Member Variables\n$groupexpspecification = $groupdata.Help.patch.group.expression.Element.condition.Create()\n$groupexpspecification.member_type = $groupmember_type\n$groupexpspecification.value = $groupmember\n$groupexpspecification.key=\"Tag\"\n$groupexpspecification.operator = \"EQUALS\"\n$groupspecification.expression.Add($groupexpspecification) | Out-Null\n#Add TAG to Group\n$grouptag = $groupdata.Help.patch.group.tags.Element.Create()\n$grouptag.tag = $tag\n$groupspecification.tags.Add($grouptag) | Out-Null\n#Create Group\n$groupdata.patch($groupdomain, $groupid, $groupspecification)<\/pre>\nUm eine Gruppe zu erstellen werden wieder Variablen benutzt. Die Domain ist in der Regel “default”, wenn es nicht von Ihnen ver\u00e4ndert wurde. Domain und Member Type sind Case Sensitive!<\/p>\n
$groupdomain = \"default\"\n$groupid = \"GROUP_NAME\"\n$groupmember = \"SCOPE_NAME|TAG_NAME\"\n$groupmember_type = \"VirtualMachine\"<\/pre>\nEs wird wieder als erstes die Struktur ausgelesen.<\/p>\n
$groupdata = Get-NsxtPolicyService -Name com.vmware.nsx_policy.infra.domains.groups<\/pre>\nNun werden die Variablen f\u00fcr die Group gesetzt.<\/p>\n
$groupspecification = $groupdata.Help.patch.group.Create()\n$groupspecification.display_name = $groupid\n$groupspecification.description = $description<\/pre>\nDann noch die Group Kriterien<\/p>\n
$groupexpspecification = $groupdata.Help.patch.group.expression.Element.condition.Create()\n$groupexpspecification.member_type = $groupmember_type\n$groupexpspecification.value = $groupmember\n$groupexpspecification.key=\"Tag\"\n$groupexpspecification.operator = \"EQUALS\"\n$groupspecification.expression.Add($groupexpspecification) | Out-Null<\/pre>\nUnd auch hier setzten wir einen Tag<\/p>\n
$grouptag = $groupdata.Help.patch.group.tags.Element.Create()\n$grouptag.tag = $tag\n$groupspecification.tags.Add($grouptag) | Out-Null<\/pre>\nZum Abschluss erstellen wir die Gruppe mit der zus\u00e4tzlichen Information $groupdomain.<\/p>\n
$groupdata.patch($groupdomain, $groupid, $groupspecification)<\/pre>\n<\/p>\n<\/div>\n
\u00a0<\/p>\n\n\n\n
Erstellen einer Firewall Section und Rule<\/h4>\n\nDieses Script erstellt die Firewall Section and eine Rule<\/div>\n#Variables for NSX Manager Connection\n$nsxmanagerip = \"IP_OR_DNS_NAME\"\n$nsxuser = \"USERNAME\"\n$nsxpasswd = \"PASSWORD\"\n#General Variables\n$description = \"Created with VMware PowerCLI\"\n$tag = \"powercli\"\n#Variables for Firewallentries\n$secdomain = \"default\"\n$policysectionid = \"FW_SECTION_NAME\"\n$rulename = \"FW_RULE_NAME\"\n$source = \"\/infra\/domains\/default\/groups\/GROUPNAME\"\n$destination = \"any\"\n$service = \"any\"\n$action = \"ALLOW\"\n#Connect to NSX Manager\nConnect-NsxtServer -Server $nsxmanagerip -User $nsxuser -Password $nsxpasswd\n#Retrieve Firewall Section and Rule Information\n$secpolicydata = Get-NsxtPolicyService -Name com.vmware.nsx_policy.infra.domains.security_policies\n#Set Firewall Variables\n$secpolicyspecification = $secpolicydata.Help.patch.security_policy.Create()\n$secpolicyspecification.description = $description\n$secpolicyspecification.display_name = $policysectionid\n#Set Rule Variables\n$secpolicyrule = $secpolicydata.Help.patch.security_policy.rules.Element.Create()\n$secpolicyrule.description = $description\n$secpolicyrule.display_name = $rulename\n$secpolicyrule.source_groups = @($source)\n$secpolicyrule.destination_groups = @($destination)\n$secpolicyrule.services = @($service)\n$secpolicyrule.action = $action\n$secpolicyspecification.rules.Add($secpolicyrule) | Out-Null\n#Add TAG to Firewall Section<\/span>\n$secpolicytag = $secpolicydata.Help.patch.security_policy.tags.Element.Create()\n$secpolicytag.tag = $tag\n$secpolicyspecification.tags.Add($secpolicytag) | Out-Null\n#Create Firewall Section and Rule\n$secpolicydata.patch($secdomain, $policysectionid, $secpolicyspecification)<\/pre>\nEs wird eine Firewall Section erstellt und in der Section dann die Regel.<\/p>\n
$secdomain = \"default\"\n$policysectionid = \"FW_SECTION_NAME\"\n$rulename = \"FW_RULE_NAME\"\n$source = \"\/infra\/domains\/default\/groups\/GROUPNAME\"\n$destination = \"any\"\n$service = \"any\"\n$action = \"ALLOW\"<\/pre>\nAuslesen der Firewall Informationen.<\/p>\n
$secpolicydata = Get-NsxtPolicyService -Name com.vmware.nsx_policy.infra.domains.security_policies<\/pre>\nSetzen der Variablen f\u00fcr die Firewall Section<\/p>\n
$secpolicyspecification = $secpolicydata.Help.patch.security_policy.Create()\n$secpolicyspecification.description = $description\n$secpolicyspecification.display_name = $policysectionid<\/pre>\nSetzen der Variablen f\u00fcr die Firewall Rule<\/p>\n
$secpolicyrule = $secpolicydata.Help.patch.security_policy.rules.Element.Create()\n$secpolicyrule.description = $description $secpolicyrule.display_name = $rulename\n$secpolicyrule.source_groups = @($source)\n$secpolicyrule.destination_groups = @($destination)\n$secpolicyrule.services = @($service)\n$secpolicyrule.action = $action\n$secpolicyspecification.rules.Add($secpolicyrule) | Out-Null<\/pre>\nTag der Firewall Section<\/p>\n
$secpolicytag = $secpolicydata.Help.patch.security_policy.tags.Element.Create()\n$secpolicytag.tag = $tag\n$secpolicyspecification.tags.Add($secpolicytag) | Out-Null<\/pre>\nErstellen der Firewall Section und der Rule<\/p>\n
$secpolicydata.patch($secdomain, $policysectionid, $secpolicyspecification)<\/pre>\n<\/div>\n\n\n\nIch hoffe das hilft Ihnen, um mit PowerCLI in Verbindung mit NSX zu starten.<\/p>\n","protected":false},"excerpt":{"rendered":"