説明
答えは C. タグ メンバーシップを使用してすべてをグループ化します。
タグは、NSX の物理サーバー、仮想マシン、論理ポート、論理セグメントに適用できるメタデータです。タグを動的なセキュリティ グループ メンバーシップに使用できるため、さまざまな基準に基づいてセキュリティ ポリシーをきめ細かく柔軟に適用できます1。このシナリオでは、同社は NSX マイクロセグメンテーションを導入して、Web、アプリ、データベース層で構成される単純なアプリケーションを保護しています。 。命名規則は次のようになります。
* WKS-WEB-SRV-XXX
* WKY-APP-SRR-XXX
* WKI-DB-SRR-XXX
NSX からセキュリティ ポリシーを適用するためにそれらをグループ化する最適な方法は、タグ メンバーシップを使用することです。たとえば、企業は Web、App、DB の 3 つのタグを作成し、それらを名前に基づいて対応する VM に割り当てることができます。次に、企業は Web-SG、App-SG、DB-SG の 3 つのセキュリティ グループを作成し、タグをメンバーシップ基準として使用できます。最後に、企業は、必要なルールとアクションに基づいてセキュリティ ポリシーを作成し、セキュリティ グループに適用できます2。タグ メンバーシップの使用には、他のオプションに比べていくつかの利点があります。
* 層間のファイアウォールとして Edge を使用するよりもスケーラブルで動的です。エッジ ファイアウォールは集中型ソリューションであり、大量のトラフィックを処理するときにボトルネックやパフォーマンスの問題が発生する可能性があります3
* タスクを実行するためにサービスを挿入するよりも簡単で効率的です。サービス挿入は、ウイルス対策システムや侵入防止システムなどのサードパーティ サービスを NSX と統合できるようにする機能です。基本的なマイクロセグメンテーションにはサービスの挿入は必要ありませんが、追加の複雑さとオーバーヘッドが発生する可能性があります。
* イーサネット ベースのセキュリティ ポリシーを作成するよりも柔軟かつ詳細です。イーサネット ベースのセキュリティ ポリシーは、送信元または宛先の基準として MAC アドレスを使用するポリシーのタイプです。イーサネット ベースのセキュリティ ポリシーは、レイヤー 2 ドメインの範囲によって制限され、セグメントやグループなどの論理構成をサポートしません。
タグ メンバーシップと、それを NSX のマイクロセグメンテーションに使用する方法の詳細については、次のリソースを参照してください。
* VMware NSX ドキュメント: セキュリティ タグ 1
* VMware NSX マイクロセグメンテーション 1 日目: 第 4 章 - セキュリティ ポリシーの設計 2
* VMware NSX 4.x Professional: セキュリティ グループ
* VMware NSX 4.x Professional: セキュリティ ポリシー

VMware NSX のドキュメントによると、FQDN 分析の要件のうち 2 つは次のとおりです。FQDN 分析は、ワークロードがアクセスする Web サイトの完全修飾ドメイン名 (FQDN) に基づいてトラフィックを監視および制御できる機能です。
NSX Manager は、カテゴリとレピュテーションの定義をダウンロードするためにインターネットへのアクセスを必要とします。NSX Manager は、クラウド サービス プロバイダーから最新のカテゴリとレピュテーションの定義を定期的にダウンロードし、NSX Edge ノードに配布します。これらの定義は、内容とリスク レベルに基づいて FQDN を分類し、スコアリングするために使用されます。
レイヤー 7 ゲートウェイ ファイアウォール ルールは、Tier-0 ゲートウェイ アップリンクで構成する必要があります。FQDN に基づいて分析するトラフィックに一致するレイヤー 7 ゲートウェイ ファイアウォール ルールを、Tier-0 ゲートウェイ アップリンク インターフェイスで構成する必要があります。また、ファイアウォール ルールで FQDN 分析を有効にし、許可または拒否するカテゴリとレピュテーションを選択する必要があります。

説明
正解は、Tier-1 ゲートウェイのルート アドバタイズメント設定で [すべての LB VIP ルート] オプションを有効にすることです。このオプションを使用すると、Tier-1 ゲートウェイが NSX Advanced Load Balancer LB VIP ルートを Tier-0 ゲートウェイおよび他のピア ルーターにアドバタイズできるようになり、エンド ユーザーが VIP アドレス 1 を使用して運用 Web サイトにアクセスできるようになります。他のオプションはこのシナリオには関係ありません。
画像をクリックして正解をマークするには、[すべての LB VIP ルート] の横にあるトグル スイッチをクリックしてオンにします。スイッチがグレーから青に変わり、オプションが有効になったことを示します。参考として以下の画像を参照してください。

説明
Web 検索の結果によると、エラー コード 1001 は、ESXi ホストと NSX Manager の間の時刻同期の問題に関連しています。これにより、ESXi ホストと NSX Manager が同じタイム ゾーンと NTP サーバ設定を持つ必要がある時間ベースのファイアウォール ルールを構成するときに問題が発生する可能性があります。このエラーを解決するには、ESXi ホストで NTP サービスを再起動して、NSX Manager と時刻を同期する必要があります。次のコマンドを使用して、ESXi ホスト上で NTP サービスを再起動できます。
/etc/init.d/ntpd 再起動
他のオプションは、このエラーに対する有効な解決策ではありません。ESXi ホストに NSX VIB を再インストールしても、時刻同期の問題は解決されません。ESXi ホストのタイム ゾーンを変更すると、NSX Manager との不一致がさらに大きくなる可能性があります。ローカル NTP サーバーを使用して ESXi ホストを再構成すると、NSX Manager の NTP サーバーと互換性がない可能性があります。

説明
B: 急速です。これは正しいです。RAPID は、Intelligent Detection による Real-time Anti-malware Protection の略です。これは、North-South トラフィックのマルウェア防御を提供する NSX Edge ノードのコンポーネントです。RAPID は、ネットワーク トラフィックからファイルを抽出し、ハッシュ ベースの検出、ローカル分析、クラウド分析技術 1 D: IDS/IPS を使用して、悪意のある動作がないか分析します。これは正しいです。IDS/IPS は、侵入検知および防御システムの略です。これは、North-South トラフィックの侵入検出と防御を提供する NSX Edge ノードのコンポーネントです。IDS/IPS はネットワーク トラフィックを監視し、さまざまな種類のネットワーク侵入のパターンを指定する既知のシグネチャ セットと比較します。IDS/IPS は、一致する署名と設定されたアクションに基づいてアラートを生成したり、トラフィックをブロックしたりできます2 F: レピュテーション サービス。これは正しいです。レピュテーション サービスは、North-South トラフィックにレピュテーション ベースのフィルタリングを提供する NSX Edge ノードのコンポーネントです。レピュテーション サービスは、既知の悪意のある IP アドレスとドメインのクラウドベースのデータベースを使用して、送信元または宛先のレピュテーション スコアに基づいてトラフィックをブロックまたは許可します。レピュテーション サービスは、サードパーティのレピュテーション プロバイダと統合して、セキュリティ範囲を強化することもできます3 A: シン エージェント。これは間違いです。Thin Agent は NSX Edge ノードのコンポーネントではなく、分散 East-West トラフィック内の仮想マシン エンドポイントで実行される NSX ゲスト イントロスペクション プラットフォームのコンポーネントです。Thin Agent により、仮想マシンと NSX Manager 間の通信が可能になり、ホスト レベルでのマルウェアの防止と侵入検出が容易になります。
C: セキュリティハブ。これは間違いです。Security Hub は、NSX Edge ノードのコンポーネントではなく、複数のクラウド環境にわたるセキュリティ体制の統一されたビューを提供する VMware Cloud Services プラットフォームのコンポーネントです。Security Hub は NSX Advanced Threat Prevention と統合され、NSX IDS/IPS および NSX マルウェア防御機能からセキュリティ イベント、アラート、推奨事項を収集して表示します。
E: セキュリティ アナライザー。これは間違いです。Security Analyzer は、NSX Edge または NSX Advanced Threat Prevention に関連する実際の製品名またはコンポーネント名ではありません。これは架空の名前であり、VMware ポートフォリオには存在しません。
North-South マルウェア防御のための NSX Edge コンポーネントの詳細については、次のリソースを参照してください。
VMware NSX ドキュメント: NSX IDS/IPS および NSX マルウェア防御の概要 2 VMware NSX ドキュメント: North-South マルウェア防御の構成 1 VMware NSX ドキュメント: North-South 侵入検知および防御の構成 VMware NSX ドキュメント: North-South レピュテーションベースのフィルタリングの構成3