Une politique de micro-segmentation appliquée trop tôt coupe le flux que personne n’avait listé. Flow Network Security prévoit un mode monitor pour l’éviter, à condition de savoir ce qu’il montre et sur quelle durée.
Flow Network Security est intégré à AHV. Selon la Nutanix Bible (chapitre basé sur PC 7.5 et AOS 7.5), Prism Central est le plan de gestion et le Network Controller pousse les politiques vers les hôtes AHV. Une VM soumise à aucune politique n’est pas filtrée du tout.
Les catégories d’abord
Une politique vise des catégories, paires clé:valeur portées par les VM, comme AppType, AppTier ou Environment. Première étape selon la Bible : définir les composants de l’application et catégoriser ses VM.
Pour renommer une catégorie en cours de route : ce billet.
Anatomie d’une politique d’application
La politique d’application est le type principal. Elle définit :
- les Secured Entities, les composants à protéger ;
- les Inbound Sources et Outbound Destinations, d’où ils reçoivent et vers où ils émettent ;
- des règles intra-tier (Allow All ou Deny All entre membres d’une même entité), traitées avant les règles entrantes et sortantes. Un trafic refusé en intra-tier ne peut pas être réautorisé par une règle entrante ou sortante.
Deux comportements par défaut : tout trafic non autorisé est refusé implicitement, et chaque Secured Entity ajoutée reçoit une règle Allow All en sortie. Le scope fixe les VM éligibles : Global, VLANs (réseaux gérés par le contrôleur) ou VPCs par catégorie. Piège noté par la Bible : une politique de scope VLAN ignore les VM de la même catégorie posées sur des réseaux VPC.
Monitor, puis enforce
Trois états : Saved (définie, inactive), Monitor (tout passe, Flow identifie ce qui serait bloqué), Enforced (seul le trafic défini passe). La démarche décrite par la Bible :
- Catégoriser les VM de l’application.
- Passer la politique en monitor ; si elle doit finir en Outbound Allow All, laisser la sortie non définie pendant l’observation.
- Ajouter des règles pour le trafic découvert dans la visualisation.
- Recommencer pendant quelques jours : la visualisation ne montre que les dernières 24 heures.
- Définir les règles de sortie, puis appliquer.
Les policy hit logs s’activent politique par politique et partent en syslog, configuré dans Prism Central ; les messages sont émis par les hôtes AHV, là où la politique s’applique.
Pour automatiser, la référence des API v4 liste le namespace microseg (Flow Management), en GA à partir de PC 7.3 ; Nutanix y annonce la dépréciation des API v3 à partir de la release AOS et PC prévue au Q4-CY2027.
Quarantaine et ordre d’évaluation
La quarantaine isole une VM suspecte. Quarantine Strict n’a aucune règle et bloque tout ; Quarantine Forensic autorise les flux définis pour l’analyse. Une politique de chaque type existe par défaut, en scope VLAN. Une VM passe en quarantaine quand on lui applique la catégorie Quarantine, depuis l’UI Prism Central ou par API : un outil de détection peut donc l’isoler seul.
L’ordre d’évaluation explique pourquoi la quarantaine l’emporte : politiques appliquées d’abord, dans l’ordre Quarantine Strict, Quarantine Forensic, Shared Services, Isolation, Application. Plusieurs politiques d’application appliquées à une même VM s’additionnent.
Ce qu’il faut retenir
- Pas de politique, pas de filtrage ; dans une politique, ce qui n’est pas autorisé est refusé.
- Catégorisez explicitement, y compris le « hors-prod » : l’absence de catégorie ne vaut pas preuve.
- Observez en monitor plusieurs jours, la visualisation ne couvrant que 24 heures.
- La quarantaine est une catégorie et prime sur toutes les autres politiques appliquées.
- Activez les policy hit logs : ils sont émis en syslog par les hôtes AHV.
In English
Categories, application policy, quarantine and evaluation order: build a Flow policy in monitor mode, observe it for several days, then enforce it without cutting a forgotten flow. A VM covered by no Flow policy is not filtered, monitor mode lets everything through while showing what would be blocked, and visualization only covers 24 hours.
Sources & vérification
Relevé sur : Documentation publique Nutanix (Nutanix Bible, chapitre Flow Network Security basé sur PC 7.5 et AOS 7.5 ; nutanix.dev), relevé 2026-10
- Nutanix Bible, Flow Network Security nutanixbible.com
- nutanix.dev, Network Automation, Nutanix Flow Network Security Policies via REST API (2021) nutanix.dev
- nutanix.dev, API Reference v4 nutanix.dev