NSX Manager の syslog に、ユーザーログイン時のクライアント送信元 IP ではなくロードバランサの IP が記録される

Products

• VMware NSX

Issue/Introduction

免責事項：これは英文の記事「NSX Manager syslog records Load Balancer IP instead of client source IP for user logins(431122)」の日本語訳です。記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。最新情報は英語版の記事で参照してください。

AD/LDAP 経由のユーザーログインに関するセキュリティイベントを監視している場合、NSX Manager の syslog には、実際のアクセス元クライアントの IP アドレスではなく、NSX の L4 TCP ロードバランサの送信元 IP アドレスが記録されます。

 

Environment

VMware NSX

 

Cause

L4 TCP ロードバランサでは、戻り通信の経路対称性を確保するために、送信元ネットワークアドレス変換（SNAT）が使用されます。  
このため、認証トラフィックが NSX Manager に転送される前に、パケットヘッダ内の元のクライアント送信元 IP アドレスが、ロードバランサの IP アドレスに変換されます。

 

Resolution

これは、VMware NSX 環境で発生し得る事象です。

回避策:
元のクライアント送信元 IP アドレスを保持し、ログに記録できるようにするには、SNAT を使用しないインライン構成でロードバランサが動作するよう、トポロジを変更する必要があります。

1. ロードバランシング構成をインライントポロジに変更します。  
2. ロードバランサ設定の「SNAT Auto Translation」を無効化します。  
3. アドレス変換を行わずに対称的なトラフィックフローを維持できるよう、クライアント側の戻り経路が、ロードバランサをホストしている Tier-1（T1）ゲートウェイを通るようにルーティングを構成します。

 

 

Additional Information

注: 「SNAT Auto Translation」を無効にする場合は、ルーティング設計を慎重に行う必要があります。  
NSX Manager からの戻りトラフィックが、ロードバランサをホストしている T1 ゲートウェイを経由しない場合、非対称ルーティングが発生し、接続は失敗します。

NSX ネイティブロードバランサを使用している場合、宛先の Web サーバのログには、リクエスタであるクライアントの IP アドレスは記録されません。