vmware-skills/VMware-NSX

VMware NSX

Haftungsausschluss: Dies ist ein von der Community gepflegtes Open-Source-Projekt und steht in keiner Verbindung zu VMware, Inc. oder Broadcom Inc. und wird von diesen weder unterstützt noch gesponsert. „VMware“ und „NSX“ sind Marken von Broadcom. Der Quellcode ist öffentlich einsehbar unter github.com/vmware-skills/VMware-NSX unter der MIT-Lizenz.

VMware NSX Netzwerkverwaltung — 33 MCP-Tools für Segmente, Gateways, NAT, Routing und IPAM.

Bereichsspezifische Netzwerk-Skill für die NSX-T / NSX 4.x Policy-API. Begleit-Skills: vmware-nsx-security (DFW/Firewall), vmware-aiops (VM-Lebenszyklus), vmware-monitor (nur lesende Überwachung), vmware-storage (iSCSI/vSAN), vmware-vks (Tanzu Kubernetes), vmware-aria (Metriken/Alarme/Kapazität), vmware-avi (AVI/ALB/AKO), vmware-harden (Compliance-Baselines). | vmware-pilot (Workflow-Orchestrierung) | vmware-policy (Audit/Richtlinien)

Was diese Skill tut

Kategorie	Tools	Anzahl	Lesen / Schreiben
Segmente	auflisten, Details abrufen, erstellen, aktualisieren, löschen	5	2L / 3S
Tier-0-Gateways	auflisten, Details abrufen, BGP-Nachbarn, BGP konfigurieren	4	3L / 1S
Tier-1-Gateways	auflisten, Details abrufen, erstellen, aktualisieren, löschen	5	2L / 3S
NAT	Regeln auflisten, Regel erstellen, Regel löschen	3	1L / 2S
Statische Routen	auflisten, erstellen, löschen	3	1L / 2S
IP-Pools	auflisten, Nutzung abrufen, Pool erstellen, Pool löschen	4	2L / 2S
Fabric-Inventar	Transportzonen, Transportknoten, Edge-Cluster	3	3L / 0S
Zustand	NSX-Alarme, Transportknotenstatus, Edge-Cluster-Status, Manager-Status	4	4L / 0S
Fehlerbehebung	Logischer Port-Status, VM-zu-Segment-Suche	2	2L / 0S

Gesamt: 33 Tools (20 schreibgeschützt + 13 schreibend)

Schnellinstallation

uv tool install vmware-nsx-mgmt
vmware-nsx init      # geführte Einrichtung: schreibt config + .env (chmod 600, passwort-grep-sicher), überprüft dann
vmware-nsx doctor

Wann diese Skill verwendet werden sollte

• NSX-Segmente auflisten, erstellen oder ändern (Overlay / VLAN-basiert)
• Tier-0 / Tier-1-Gateways erstellen oder verwalten
• NAT-Regeln konfigurieren (SNAT, DNAT, reflexiv)
• Statische Routen anzeigen oder hinzufügen, BGP-Nachbarn prüfen
• IP-Pools und Subnetzzuweisungen verwalten
• NSX-Alarme, Transportknotenzustand, Edge-Cluster-Status prüfen
• Herausfinden, an welches Segment eine VM angeschlossen ist
• Logischen Port-Status beheben

Begleit-Skills verwenden für:

• Verteilte Firewall, Sicherheitsgruppen, DFW-Regeln, IDS/IPS → vmware-nsx-security
• VM-Lebenszyklus, Bereitstellung, Gast-Operationen → vmware-aiops
• vSphere-Inventar, Zustand, Alarme, Ereignisse → vmware-monitor
• Speicher: iSCSI, vSAN, Datastores → vmware-storage
• Tanzu Kubernetes → vmware-vks
• Lastausgleich, AVI/ALB, AKO, Ingress → vmware-avi

Verwandte Skills — Skill-Routing

Benutzerabsicht	Empfohlene Skill
NSX-Networking: Segmente, Gateways, NAT, Routing, IPAM	vmware-nsx ← diese Skill
NSX-Sicherheit: DFW-Regeln, Sicherheitsgruppen, IDS/IPS	vmware-nsx-security
Schreibgeschütztes vSphere-Monitoring, Alarme, Ereignisse	vmware-monitor
VM-Lebenszyklus, Bereitstellung, Gast-Operationen	vmware-aiops
Speicher: iSCSI, vSAN, Datastores	vmware-storage
Tanzu Kubernetes (vSphere 8.x+)	vmware-vks
Aria Ops: Metriken, Alarme, Kapazitätsplanung	vmware-aria
Mehrschritt-Workflows mit Genehmigung	vmware-pilot
Compliance-Baselines (CIS / 等保 / PCI-DSS), Drift-Erkennung, LLM-Reparaturberater	vmware-harden (uv tool install vmware-harden)
Lastausgleicher, AVI, ALB, AKO, Ingress	vmware-avi (uv tool install vmware-avi)
Audit-Log-Abfrage	vmware-policy (vmware-audit CLI)

Häufige Workflows

Ein App-Netzwerk erstellen (Segment + T1-Gateway + NAT)

Vorbereitung (Urteilsvermögen, keine blinde Sequenz):

• Subnetzkonfliktprüfung: Scannen Sie inventory list-segments und networking list-ip-pools auf Überschneidungen mit dem vorgeschlagenen CIDR. Überlappende Subnetze verursachen asymmetrisches Routing oder stille Blackholes — NSX warnt Sie nicht.
• Edge-Cluster-Kapazität: Bestätigen Sie, dass das ausgewählte --edge-cluster fehlerfrei ist (inventory list-edge-clusters + health edge-cluster-status <id>) und die SR-Grenze (Service Router) nicht erreicht ist. Ein voll ausgelasteter Edge-Cluster akzeptiert die T1-Erstellung, aber das Routing schlägt fehl.
• T0-Uplink: Das übergeordnete T0 muss bereits mit BGP/statischen Routen stromaufwärts konfiguriert sein — andernfalls funktioniert SNAT intern, aber der externe Verkehr geht nirgendwo hin.
• NAT-IP: Die --translated-IP muss aus einem routbaren Adresspool stammen, der von T0 angekündigt wird; die Verwendung einer zufälligen IP erzeugt ein halb funktionierendes Netzwerk.
• Immer zuerst --dry-run — sobald ein Segment an laufende VMs angeschlossen ist, erfordert das Löschen das Trennen jedes Ports.

Schritte:

1. vmware-nsx gateway create-tier1 app-t1 --name app-t1 --edge-cluster <ec-path> --tier0 <t0-path> --dry-run → prüfen, dann für echt ausführen
2. vmware-nsx segment create app-web-seg --name app-web-seg --tz <tz-overlay-path> --subnet <gw-cidr>
3. vmware-nsx nat create-rule --tier1 app-t1 --rule-id snat-1 --action SNAT --source <private-cidr> --translated <pub-ip>
4. End-to-End überprüfen: inventory list-segments, networking list-nat-rules app-t1, UND mit einer an das neue Segment angeschlossenen VM testen
5. Bei Fehler: Ein Verbindungsfehler oder HTTP-Fehler gibt eine einzelne lehrreiche Zeile aus (z.B. 403 → NSX-Rollenberechtigungen prüfen; 404 → den passenden list-Befehl für die genaue ID ausführen). Führen Sie vmware-nsx doctor aus, um Konnektivität und Anmeldeinformationen zu überprüfen, zu beheben und den fehlgeschlagenen Schritt erneut auszuführen — früher abgeschlossene Schritte sind idempotente PUTs und können sicher erneut angewendet werden.

Netzwerkzustand prüfen

Urteilsvermögen: Zählen Sie nicht nur die Zustandsendpunkte auf, sondern korrelieren Sie sie. Die Reihenfolge unten ordnet Ursache dem Symptom zu: Wenn der Manager ausgefallen ist, sehen auch Transportknoten ausgefallen aus (falsch positiv); beheben Sie von oben nach unten.

1. vmware-nsx health manager-status — Wenn irgendein Manager-Knoten DEGRADED oder DOWN ist, stoppen Sie hier und beheben Sie, bevor Sie nachgelagerten Signalen vertrauen
2. vmware-nsx inventory list-transport-nodes dann health transport-node-status <id> für jeden Knoten, der nicht UP ist — markieren Sie Knoten, die ≥ 5 min ausgefallen sind; vorübergehende Aussetzer sind normal
3. vmware-nsx inventory list-edge-clusters dann health edge-cluster-status <id> — überprüfen Sie, ob die SR-Platzierung ausgewogen ist; ein Edge, der 80 % der SRs hält, ist ein Single Point of Failure
4. vmware-nsx health alarms --severity HIGH (wiederholen mit CRITICAL) — der Schweregradfilter ist exakte Übereinstimmung, nicht „und höher“
5. Vergleichen Sie mit vmware-monitor für vSphere-Host-Ereignisse — ein Host, der die Verbindung zu vCenter verliert, tarnt sich oft als NSX-Problem

VM-Konnektivität beheben

Urteilsvermögen: Konnektivitätsausfälle treten auf einer von drei Ebenen auf. Identifizieren Sie zuerst die Ebene, dann bohren Sie — sondieren Sie nicht zufällig.

• Ebene 1 — VM-zu-Segment: VM hat kein Segment, falsche vNIC oder Port admin-down → troubleshoot vm-segment + troubleshoot port-status
• Ebene 2 — Segment-zu-Gateway: Segment nicht an T1 angeschlossen, T1 nicht mit T0 verbunden → inventory get-tier1 zeigt keinen Tier-0-Pfad
• Ebene 3 — Gateway-zu-Upstream: T0 BGP/statisch fehlt oder SNAT nicht konfiguriert → networking bgp-neighbors, networking list-nat-rules

Schritte (stoppen, sobald die fehlerhafte Ebene identifiziert ist):

1. Ebene 1: troubleshoot vm-segment my-vm-01 → wenn kein Port, zuerst vSphere vNIC-Bindung prüfen
2. Ebene 1: troubleshoot port-status <segment-id> → admin-down oder DFW-blockiert? Wenn DFW, zu vmware-nsx-security springen
3. Ebene 2: inventory get-tier1 app-t1 → Tier-0-Pfad vorhanden und Routenankündigung aktiviert? Wenn nicht, T1↔T0-Verbindung unterbrochen
4. Ebene 3: networking bgp-neighbors tier0-gw → alle Nachbarn ESTABLISHED? Flapping → Upstream-Problem
5. Ebene 3: networking list-nat-rules app-t1 → SNAT-Regel deckt das Quell-CIDR ab? Falsch eingegebenes CIDR ist die häufigste Ursache

Multi-Target-Operationen

Alle Befehle akzeptieren --target <name>, um gegen einen bestimmten NSX-Manager aus Ihrer Konfiguration zu arbeiten (Standard: das erste Ziel in config.yaml), z. B. vmware-nsx inventory list-segments --target nsx-prod.

Nutzungsmodus

Szenario	Empfohlen	Warum
Lokale/kleine Modelle (Ollama, Qwen)	CLI	~2K Tokens vs. ~8K für MCP
Cloud-Modelle (Claude, GPT-4o)	Beide	MCP bietet strukturierte JSON-E/A
Automatisierte Pipelines	MCP	Typsichere Parameter, strukturierte Ausgabe

MCP-Tools (33 — 20 lesend, 13 schreibend)

Alle MCP-Tools akzeptieren einen optionalen target-Parameter, um auszuwählen, mit welchem NSX-Manager verbunden werden soll.

Kategorie	Tool	Typ	Beschreibung
Segment	list_segments	Lesen	Alle Segmente mit Typ, Subnetz, Admin-Status, Port-Anzahl auflisten
	get_segment	Lesen	Segmentdetails einschließlich Ports und Subnetzkonfiguration abrufen
	create_segment	Schreiben	Overlay- oder VLAN-Segment mit Subnetz und Gateway erstellen
	update_segment	Schreiben	Segment-Eigenschaften aktualisieren (Name, Subnetze, Gateway-Link)
	delete_segment	Schreiben	Ein Segment löschen (warnt bei verbundenen Ports)
Tier-0-GW	list_tier0_gateways	Lesen	Tier-0-Gateways mit HA-Modus und Transit-Subnetzen auflisten
	get_tier0_gateway	Lesen	Tier-0-Details abrufen: HA-Modus, Failover, Transit-Subnetze
	get_bgp_neighbors	Lesen	BGP-Nachbar-Sitzungen mit Status, ASN, Präfixen auflisten
	configure_tier0_bgp	Schreiben	BGP (lokales AS, ECMP, Inter-SR iBGP) auf einem Tier-0 konfigurieren
Tier-1-GW	list_tier1_gateways	Lesen	Tier-1-Gateways mit verknüpftem Tier-0 und Routenankündigung auflisten
	get_tier1_gateway	Lesen	Tier-1-Details abrufen: Tier-0-Link, Routenankündigung
	create_tier1_gateway	Schreiben	Tier-1-Gateway mit Edge-Cluster und Tier-0-Link erstellen
	update_tier1_gateway	Schreiben	Tier-1-Eigenschaften aktualisieren (Routenankündigung, Tier-0-Link)
	delete_tier1_gateway	Schreiben	Ein Tier-1-Gateway löschen (entfernt zuerst den Standard-Locale-Service)
NAT	list_nat_rules	Lesen	NAT-Regeln auf einem Tier-1-Gateway auflisten
	create_nat_rule	Schreiben	SNAT/DNAT/reflexive NAT-Regel auf einem Gateway erstellen
	delete_nat_rule	Schreiben	Eine NAT-Regel löschen
Statische Routen	list_static_routes	Lesen	Statische Routen auf einem Tier-1-Gateway auflisten
	create_static_route	Schreiben	Eine statische Route mit Netzwerk und Next-Hop hinzufügen
	delete_static_route	Schreiben	Eine statische Route entfernen
IP-Pools	list_ip_pools	Lesen	IP-Pools mit Nutzungsübersicht auflisten
	get_ip_pool_usage	Lesen	Zuweisungsnutzung für einen Pool anzeigen
	create_ip_pool	Schreiben	Einen neuen IP-Adresspool mit Zuweisungsbereichen erstellen
	delete_ip_pool	Schreiben	Einen IP-Adresspool dauerhaft löschen
Fabric	list_transport_zones	Lesen	Transportzonen mit Typ (OVERLAY/VLAN) auflisten
	list_transport_nodes	Lesen	Transportknoten mit Knotentyp und Status auflisten
	list_edge_clusters	Lesen	Edge-Cluster mit Mitgliedsanzahl und Bereitstellungstyp auflisten
Zustand	list_nsx_alarms	Lesen	Aktive NSX-Alarme gefiltert nach Schweregrad auflisten
	get_transport_node_status	Lesen	Transportknoten-Konnektivität und Konfigurationsstatus
	get_edge_cluster_status	Lesen	Edge-Cluster-Mitgliedsstatus und Failover-Konfiguration
	get_nsx_manager_status	Lesen	NSX-Manager-Cluster-Zustand und Knotenrollen
Fehlerbehebung	get_logical_port_status	Lesen	Realisierter Zustand aller Ports auf einem Segment
	get_segment_port_for_vm	Lesen	Finden, an welches Segment eine VM anhand des Anzeigenamens angeschlossen ist

Schreibtools erfordern explizite Parameter und werden audit-logged. Die Trockenlaufvorschau (--dry-run) ist ein CLI-Feature; MCP-Schreibtools werden direkt ausgeführt.

Listenergebnisse sind Umschläge — lesen Sie truncated, bevor Sie zusammenfassen

Jedes listenrückgebende Tool oben gibt {items, returned, limit, total, truncated, hint} zurück, kein bloßes Array. Zeilen leben unter items: leere items mit truncated: false bedeutet, dass die Abfrage wirklich nichts gefunden hat — melden Sie das, keinen Tool-Fehler. truncated: true bedeutet, dass mehr Zeilen existieren — beschreiben Sie das Ergebnis nie als vollständigen Satz; fragen Sie erneut ab, wie hint anweist. Feldsemantik, total-Herkunft und eine Beispiel-Payload: references/capabilities.md.

Lokale & kleine Modelle

Mit lokalen oder kleinen Modellen? Siehe references/agent-guardrails.md für explizite Betriebsregeln, die Tool-Aufrufe zuverlässig halten.

CLI-Kurzreferenz

# Inventar (schreibgeschützt)
vmware-nsx inventory list-segments [--target <name>]
vmware-nsx inventory get-segment <segment-id>
vmware-nsx inventory list-tier0s
vmware-nsx inventory get-tier0 <tier0-id>
vmware-nsx inventory list-tier1s
vmware-nsx inventory get-tier1 <tier1-id>
vmware-nsx inventory list-transport-zones
vmware-nsx inventory list-transport-nodes
vmware-nsx inventory list-edge-clusters

# Networking (schreibgeschützt)
vmware-nsx networking list-nat-rules <tier1-id>
vmware-nsx networking bgp-neighbors <tier0-id>
vmware-nsx networking list-static-routes <tier1-id>
vmware-nsx networking list-ip-pools
vmware-nsx networking ip-pool-usage <pool-id>

# Segment-Verwaltung (schreibend; vollständige Optionslisten in references/cli-reference.md)
vmware-nsx segment create <id> --name <name> --tz <tz-path> [--vlan|--subnet] [--dry-run]
vmware-nsx segment update <id> [--name|--subnet] [--dry-run]
vmware-nsx segment delete <id> [--dry-run]

# Gateway-Verwaltung (schreibend)
vmware-nsx gateway create-tier1 <id> --name <name> [--tier0|--edge-cluster] [--dry-run]
vmware-nsx gateway update-tier1 <id> [--name|--tier0|--advertise] [--dry-run]
vmware-nsx gateway delete-tier1 <id> [--dry-run]
vmware-nsx gateway configure-tier0-bgp <tier0-id> --local-as <asn> [--ecmp] [--dry-run]

# NAT (schreibend)
vmware-nsx nat create-rule --tier

…

[gekürzt für Übersetzung]