我想會看本系列網誌的朋友，應該沒有人不熟悉分散式防火牆吧～ NSX從2014年開始在台灣推廣，微分段可以說是所有客戶都一定會使用的功能。而在NSX-T內，當然也具備這個方案，而且更推廣到所有受NSX-T管控的虛機、容器、vSphere與KVM、私有雲公有雲環境內都能運作。
NSX-T內的分散式防火牆的設定方式和NSX for vSphere內的分散式防火牆，或是NSX-T內的Edge Firewall配置介面幾乎相同。在前一篇有針對各個rule的欄位略作說明，這篇網誌內，我們改把重點放在NSX-T內的微分段，與NSX for vSphere的微分段架構與功能上有什麼不同，如果各位朋友之前有配置過微分段的經驗，到NSX-T的環境上必定很容易上手。
NSX-T Distributed Firewall的架構為何？
首先下圖內我們看到NSX-T內的分散式防火牆架構：
上圖雖然是對應到vSphere環境，但是KVM的環境也差不多，就不重複貼出來。各位有沒有看到一個非常重要的要點：在NSX-T內的分散式防火牆，一定要有Controller、一定要有Controller、一定要有Controller（超級重要所以寫三遍）。
之前我們或是經銷夥伴在客戶端做NSX for vSphere的純微分段PoC時，只要NSX Manager裝一裝，Host Preparation做完，搞定，可以開始測功能了。但在NSX-T內，環境內除了NSX Manager，NSX Controller也一定要裝才能正常運作。
其次，請大家看上面圖內，虛機（或是容器）是接在哪邊呢？N-VDS上。前面的網誌我們和大家說明過，N-VDS就是NSX-T部署在受控管的Transport Node上面，受NSX-T直接管理的虛擬交換器。
這邊代表的是，一個虛機（或是容器）要能夠受NSX-T的微分段防火牆管理，虛機一定要接在由NSX-T建立的邏輯交換器 Logical Switch上。這個邏輯交換器可以是Overlay (Geneve) Type，當然也可以是Vlan-Based Type，用戶沒有規定要建立Overlay網路才能使用。但如果虛機是接在一個VSS / VDS所建立的Port Group上，是不會受到NSX-T Distributed Firewall管理的。
所以如果要使用NSX-T Distributed Firewall的功能，用戶需要做哪些安裝作業？
從上面討論，即使用戶環境不使用NSX-T的全功能，只要驗證微分段，此時在環境內我們至少需要：
完整安裝NSX Manager與NSX Controller。
那目前NSX-T與NSX for vSphere的Distributed Firewall功能間，有什麼差異？
以寫作當時的NSX-T 2.3版，我要列出NSX-T微分段功能的優勢與劣勢。但請大家要知道的，NSX-T目前還是一個快速開發的產品，幾乎1~2季就會有新版本新功能發布。因此若有需求的功能，請各位務必要查詢最新版本的release note確認。
首先談NSX-T微分段功能與V版本間的優勢：
在NSX-T內大家會發現，每條規則後已經具備了統計功能，若一條規則比對符合，網路流相關的流量、session數等能夠顯示出來。請各位理解，NSX-T是分散式的網路系統，不是一台Appliance，所以這邊的值必須要由多個不同的Transport Node上各自收集，能做出來我個人是覺得很棒的。但也同樣地，無法做到即時顯示，當大家要在UI上看流量統計，請有耐心稍等一點時間。
接著是NSX-T微分段功能與V版本間的劣勢，或是說在2.3版時還沒有做出來的功能：
這裡的最後一點需要詳細的討論，先點到為止。我們在下一篇內和大家說明NSX-T內的NSGroup / Tag等配置與運作機制。