Vmware 在主动/主动边缘路由方案中使用NSX-T网关防火墙保护物理服务器

因此，我的计划是针对整个NSX-T工作负载域保护专用网络中的一组物理服务器，而无需购买额外的硬件防火墙，因为我们还有大量的边缘容量，但没有钱/

直观地说，我只想添加一个NSX网关防火墙，就像这篇博文中所描述的：

但这是一个简单的例子，当防火墙刚刚添加到默认T0时，由于我们的主动/主动设置，我不能这样做。因此，我必须添加一个额外的主动/被动T0，并将其连接到现有T0

但是我现在如何通过额外的T0（包括网关防火墙）强制流量到我的专用网络

---

显然，如果不将第二个T0桥接到专用网络的vlan并省略通过物理BGP路由器的路由，这是不可能实现的。或者有机会吗？

因此，如果专用网络通过物理BGP上行路由器路由，那么除了在物理BGP上隐藏此路由之外，确实没有其他方法。不管怎样，这不会有太大的意义，所以让我们考虑一个不存在的情况。

显然，这项任务有两种解决方案，第一种可能是更直接的解决方案：

部署额外的服务边缘（主动/被动），然后将服务网关和网关防火墙添加到任何T1。相应的T1服务路由器随后将部署在服务边缘上（您必须在部署向导中选择一个）。现在，如果我们想将专用网络隐藏到外部上行链路网络，我们可能只需要在NSX BGP上行链路上添加前缀过滤器

配置二级桥接：。在任何网段中创建L2网桥，并将网关防火墙添加到此网段的T1上行链路，或将网桥防火墙添加到网桥的VDS。然后可选地在BGP上行链路上为桥接LAN应用前缀过滤器