グループは、セグメント、セグメント ポート、仮想マシン、IP アドレス、MAC アドレス、タグ、セキュリティ ポリシーなど、NSX 内のオブジェクトのコレクションを表す論理構造です。グループを使用すると、さまざまな属性やフィルターに基づいて動的なメンバーシップ基準を定義できます。また、グループは分散ファイアウォール ルールのスコープとして使用することもできます。つまり、ルールはグループ メンバーシップ基準に一致するすべてのトラフィックに適用されます32 参照:
https://docs.vmware.com/en/VMware-NSX-T-Data-Center/3.2/administration/GUID-41CC06DF-1CD4-
4233-B43E-492A9A3AD5F6.html
https://docs.vmware.com/en/VMware-NSX-Data-Center-for-
vSphere/6.4/com.vmware.nsx.admin.doc/GUID-D44C8923-992F-4695-B9C0-5CC271679D09.html

Explanation:
分散ファイアウォールのルール処理手順の正しい順序は次のとおりです。
Packet arrives at vfilter connection table. If matching entry in the table, process the packet.
If connection table has no match, compare the packet to the rule table.
If the packet matches source, destination, service, profile and applied to fields, apply the action defined.
If the rule table action is allow, create an entry in the connection table and forward the packet.
If the rule table action is reject or deny, take that action.
This order is based on the description of how the Distributed Firewall works in the web search results1.
The first step is to check if there is an existing connection entry for the packet in the vfilter connection table, which is a cache of flow entries for rules with an allow action. If there is a match, the packet is processed according to the connection entry. If there is no match, the packet is compared to the rule table, which contains all the security policy rules. The rules are evaluated from top to bottom until a match is found. The match criteria include source, destination, service, profile and applied to fields. The action defined by the matching rule is applied to the packet. The action can be allow, reject or deny. If the action is allow, a new connection entry is created for the packet and the packet is forwarded to its destination. If the action is reject or deny, the packet is dropped and an ICMP message or a TCP reset message is sent back to the source.

BGP は T0 SR に設定されます。T0 SR の VRF に接続し、接続したら get bgp neighbor を実行します。https://docs.vmware.com/en/VMware-Validated-Design/5.1/sddc-deployment-of-vmware- nsx-t-workload-domains-with-multiple-availability-zones/GUID-8BD4228A-75C6-4C60-80B4-
538D4297E11A.html
NSX-T 上の BGP 構成では、通常、Tier-0 サービス ルーター (SR) に BGP が構成されます。
BGP ネイバーのステータスを確認するには:
提供された出力に基づいて、T0 SR の VRF (VRF 3) に接続します。
接続したら、BGP ネイバーのステータスを取得するコマンドを実行します。

NSX Intelligence は、VMware NSX ポートフォリオ内の分散分析ソリューションであり、NSX 環境での可視性と動的なセキュリティ ポリシーの適用を実現します。詳細なトラフィック分析を可能にし、セキュリティの脅威を特定し、観察されたネットワーク トラフィックのパターンと動作​​に基づいてセキュリティ ポリシーを自動的に作成および適用するのに役立ちます。

Tier-0 または Tier-1 ゲートウェイでステートフル アクティブ/アクティブ SNAT を有効にするには、NSX Edge アップリンクのインターフェイス グループを設定する必要があります。インターフェイス グループとは、同じ障害ドメインに属する NSX Edge インターフェイスの論理グループです。障害ドメインとは、同じ物理ネットワーク インフラストラクチャを共有し、同じネットワーク障害の影響を受ける N​​SX Edge ノードのセットです。インターフェイス グループを設定することで、ステートフル サービスが異なる障害ドメインに分散され、ネットワーク障害から回復できるようになります。1