zw008/VMware-NSX

VMware NSX

Haftungsausschluss: Dies ist ein von der Community betreutes Open-Source-Projekt und steht in keiner Verbindung zu VMware, Inc. oder Broadcom Inc. und wird von diesen nicht unterstützt oder gesponsert. „VMware“ und „NSX“ sind Marken von Broadcom. Der Quellcode ist unter der MIT-Lizenz öffentlich auf github.com/zw008/VMware-NSX einsehbar.

VMware NSX Netzwerkverwaltung — 32 MCP-Tools für Segmente, Gateways, NAT, Routing und IPAM.

Domain-fokussierte Netzwerk-Fertigkeit für NSX-T / NSX 4.x Policy API. Begleit-Fertigkeiten: vmware-nsx-security (DFW/Firewall), vmware-aiops (VM-Lebenszyklus), vmware-monitor (nur lesende Überwachung), vmware-storage (iSCSI/vSAN), vmware-vks (Tanzu Kubernetes), vmware-aria (Metriken/Alarme/Kapazität), vmware-avi (AVI/ALB/AKO), vmware-harden (Compliance-Baselines). | vmware-pilot (Workflow-Orchestrierung) | vmware-policy (Audit/Policy)

Was diese Fertigkeit tut

Kategorie	Tools	Anzahl	Lesen / Schreiben
Segmente	auflisten, Details abrufen, erstellen, aktualisieren, löschen	5	2L / 3S
Tier-0-Gateways	auflisten, Details abrufen, BGP-Nachbarn, BGP konfigurieren	4	3L / 1S
Tier-1-Gateways	auflisten, Details abrufen, erstellen, aktualisieren, löschen	5	2L / 3S
NAT	Regeln auflisten, Regel erstellen, Regel löschen	3	1L / 2S
Statische Routen	auflisten, erstellen, löschen	3	1L / 2S
IP-Pools	auflisten, Nutzung abrufen, Pool erstellen, Pool löschen	4	2L / 2S
Fabric-Inventar	Transportzonen, Transportknoten, Edge-Cluster	3	3L / 0S
Health	NSX-Alarme, Transportknotenstatus, Edge-Cluster-Status, Manager-Status	4	4L / 0S
Fehlerbehebung	Logischer Port-Status, VM-zu-Segment-Suche	2	2L / 0S

Gesamt: 33 Tools (20 schreibgeschützt + 13 schreibend)

Schnellinstallation

uv tool install vmware-nsx-mgmt
vmware-nsx doctor

Wann diese Fertigkeit verwenden

• NSX-Segmente auflisten, erstellen oder ändern (Overlay / VLAN-basiert)
• Tier-0-/Tier-1-Gateways erstellen oder verwalten
• NAT-Regeln konfigurieren (SNAT, DNAT, reflexiv)
• Statische Routen anzeigen oder hinzufügen, BGP-Nachbarn prüfen
• IP-Pools und Subnetzzuweisungen verwalten
• NSX-Alarme, Transportknoten-Health, Edge-Cluster-Status prüfen
• Herausfinden, mit welchem Segment eine VM verbunden ist
• Logischen Port-Status beheben

Begleit-Fertigkeiten verwenden für:

• Verteilte Firewall, Sicherheitsgruppen, DFW-Regeln, IDS/IPS → vmware-nsx-security
• VM-Lebenszyklus, Bereitstellung, Gast-Operationen → vmware-aiops
• vSphere-Inventar, Health, Alarme, Ereignisse → vmware-monitor
• Speicher: iSCSI, vSAN, Datenspeicher → vmware-storage
• Tanzu Kubernetes → vmware-vks
• Lastausgleich, AVI/ALB, AKO, Ingress → vmware-avi

Verwandte Fertigkeiten – Skill-Routing

Benutzerabsicht	Empfohlene Fertigkeit
NSX-Netzwerk: Segmente, Gateways, NAT, Routing, IPAM	vmware-nsx ← diese Fertigkeit
NSX-Sicherheit: DFW-Regeln, Sicherheitsgruppen, IDS/IPS	vmware-nsx-security
Schreibgeschützte vSphere-Überwachung, Alarme, Ereignisse	vmware-monitor
VM-Lebenszyklus, Bereitstellung, Gast-Operationen	vmware-aiops
Speicher: iSCSI, vSAN, Datenspeicher	vmware-storage
Tanzu Kubernetes (vSphere 8.x+)	vmware-vks
Aria Ops: Metriken, Alarme, Kapazitätsplanung	vmware-aria
Mehrstufige Workflows mit Genehmigung	vmware-pilot
Compliance-Baselines (CIS / 等保 / PCI-DSS), Drift-Erkennung, LLM-Reparaturberater	vmware-harden (uv tool install vmware-harden)
Load Balancer, AVI, ALB, AKO, Ingress	vmware-avi (uv tool install vmware-avi)
Audit-Log-Abfrage	vmware-policy (vmware-audit CLI)

Allgemeine Workflows

Ein App-Netzwerk erstellen (Segment + T1-Gateway + NAT)

Pre-Flight (Urteilsvermögen, keine blinde Abfolge):

• Subnetzkonfliktprüfung: Scanne inventory list-segments und networking list-ip-pools auf Überschneidungen mit dem vorgeschlagenen CIDR. Überlappende Subnetze verursachen asymmetrisches Routing oder stille Blackholes – NSX warnt nicht.
• Edge-Cluster-Kapazität: Bestätige, dass das gewählte --edge-cluster gesund ist (inventory list-edge-clusters + health edge-cluster-status <id>) und nicht das SR (Service-Router)-Limit erreicht hat. Ein voll ausgelastetes Edge-Cluster akzeptiert die T1-Erstellung, aber das Routing schlägt fehl.
• T0-Uplink: Das übergeordnete T0 muss bereits mit BGP/statischen Routen stromaufwärts konfiguriert sein – sonst funktioniert SNAT intern, aber der externe Verkehr gelangt nirgendwo hin.
• NAT-IP: Die --translated IP muss aus einem routbaren Adresspool stammen, der von T0 angekündigt wird; die Verwendung einer zufälligen IP erzeugt ein halb funktionierendes Netzwerk.
• Immer zuerst --dry-run – sobald ein Segment an laufende VMs angeschlossen ist, erfordert das Löschen das Trennen jedes Ports.

Schritte:

1. vmware-nsx gateway create-tier1 app-t1 --name app-t1 --edge-cluster <ec-path> --tier0 <t0-path> --dry-run → überprüfen, dann wirklich ausführen
2. vmware-nsx segment create app-web-seg --name app-web-seg --tz <tz-overlay-path> --subnet <gw-cidr>
3. vmware-nsx nat create-rule --tier1 app-t1 --rule-id snat-1 --action SNAT --source <private-cidr> --translated <pub-ip>
4. Ende-zu-Ende verifizieren: inventory list-segments, networking list-nat-rules app-t1, UND mit einer an das neue Segment angeschlossenen VM testen
5. Bei Fehler: Ein Verbindungsfehler oder HTTP-Fehler gibt eine einzelne Lehrausgabe (z. B. 403 → NSX-Rollenberechtigungen prüfen; 404 → den passenden List-Befehl für die genaue ID ausführen). Führe vmware-nsx doctor aus, um Konnektivität und Anmeldedaten zu überprüfen, behebe den Fehler und wiederhole den fehlgeschlagenen Schritt – frühere abgeschlossene Schritte sind idempotente PUTs und können sicher erneut angewendet werden.

Netzwerk-Health prüfen

Urteilsvermögen: Zähle nicht einfach Health-Endpunkte auf – korreliere sie. Die Reihenfolge unten ordnet Ursache dem Symptom zu: Wenn der Manager ausgefallen ist, sehen auch Transportknoten ausgefallen aus (falsch Positiv); behebe von oben nach unten.

1. vmware-nsx health manager-status – Wenn irgendein Manager-Knoten DEGRADED oder DOWN ist, stoppe hier und behebe den Fehler, bevor Du Downstream-Signalen vertraust
2. vmware-nsx inventory list-transport-nodes, dann health transport-node-status <id> für jeden Knoten, der nicht UP ist – markiere Knoten, die ≥ 5 min ausgefallen sind; vorübergehende Aussetzer sind normal
3. vmware-nsx inventory list-edge-clusters, dann health edge-cluster-status <id> – überprüfe, ob die SR-Platzierung ausgeglichen ist; ein Edge, das 80 % der SRs hält, ist ein Single Point of Failure
4. vmware-nsx health alarms --severity HIGH (wiederhole mit CRITICAL) – Der Schweregradfilter ist eine exakte Übereinstimmung, nicht „und höher“
5. Querverweis mit vmware-monitor für vSphere-Host-Ereignisse – ein Host, der die Verbindung zu vCenter verliert, tarnt sich oft als NSX-Problem

VM-Konnektivität beheben

Urteilsvermögen: Konnektivitätsfehler treten auf einer von drei Ebenen auf. Identifiziere zuerst die Ebene, dann bohre – sondiere nicht zufällig.

• Ebene 1 – VM-zu-Segment: VM hat kein Segment, falsche vNIC oder Port admin-down → troubleshoot vm-segment + troubleshoot port-status
• Ebene 2 – Segment-zu-Gateway: Segment nicht an T1 angeschlossen, T1 nicht mit T0 verbunden → inventory get-tier1 zeigt keinen Tier-0-Pfad
• Ebene 3 – Gateway-zu-Upstream: T0-BGP/Statisch fehlt oder SNAT nicht konfiguriert → networking bgp-neighbors, networking list-nat-rules

Schritte (stoppe, sobald die fehlerhafte Ebene identifiziert ist):

1. Ebene 1: troubleshoot vm-segment my-vm-01 → wenn kein Port, zuerst vSphere-vNIC-Bindung prüfen
2. Ebene 1: troubleshoot port-status <segment-id> → admin-down oder DFW-blockiert? Wenn DFW, springe zu vmware-nsx-security
3. Ebene 2: inventory get-tier1 app-t1 → Tier-0-Pfad vorhanden und Routenankündigung aktiviert? Wenn nicht, T1↔T0-Verbindung unterbrochen
4. Ebene 3: networking bgp-neighbors tier0-gw → alle Nachbarn ESTABLISHED? Flapping → upstream-Problem
5. Ebene 3: networking list-nat-rules app-t1 → SNAT-Regel deckt das Quell-CIDR ab? Falsch eingegebenes CIDR ist die häufigste Ursache

Multi-Target-Operationen

Alle Befehle akzeptieren --target <name>, um gegen einen bestimmten NSX-Manager aus deiner Konfiguration zu arbeiten:

# Standardziel (erstes in config.yaml)
vmware-nsx inventory list-segments

# Bestimmtes Ziel
vmware-nsx inventory list-segments --target nsx-prod
vmware-nsx health alarms --target nsx-lab

Nutzungsmodus

Szenario	Empfohlen	Warum
Lokale/kleine Modelle (Ollama, Qwen)	CLI	~2K Tokens vs ~8K für MCP
Cloud-Modelle (Claude, GPT-4o)	Beides	MCP gibt strukturiertes JSON-I/O
Automatisierte Pipelines	MCP	Typsichere Parameter, strukturierte Ausgabe

MCP-Tools (33 – 20 lesend, 13 schreibend)

Alle MCP-Tools akzeptieren einen optionalen target-Parameter, um auszuwählen, mit welchem NSX-Manager eine Verbindung hergestellt werden soll.

Kategorie	Tool	Typ	Beschreibung
Segment	list_segments	Lesen	Alle Segmente mit Typ, Subnetz, Admin-Status, Port-Anzahl auflisten
	get_segment	Lesen	Segmentdetails einschließlich Ports und Subnetzkonfiguration abrufen
	create_segment	Schreiben	Overlay- oder VLAN-Segment mit Subnetz und Gateway erstellen
	update_segment	Schreiben	Segmenteigenschaften (Name, Subnetze, Gateway-Link) aktualisieren
	delete_segment	Schreiben	Ein Segment löschen (warnt bei angeschlossenen Ports)
Tier-0 GW	list_tier0_gateways	Lesen	Tier-0-Gateways mit HA-Modus und Transit-Subnetzen auflisten
	get_tier0_gateway	Lesen	Tier-0-Details abrufen: HA-Modus, Failover, Transit-Subnetze
	get_bgp_neighbors	Lesen	BGP-Nachbarsitzungen mit Status, ASN, Präfixen auflisten
	configure_tier0_bgp	Schreiben	BGP (lokale AS, ECMP, Inter-SR-iBGP) auf einem Tier-0 konfigurieren
Tier-1 GW	list_tier1_gateways	Lesen	Tier-1-Gateways mit verknüpftem Tier-0 und Routenankündigung auflisten
	get_tier1_gateway	Lesen	Tier-1-Details abrufen: Tier-0-Link, Routenankündigung
	create_tier1_gateway	Schreiben	Tier-1-Gateway mit Edge-Cluster und Tier-0-Link erstellen
	update_tier1_gateway	Schreiben	Tier-1-Eigenschaften (Routenankündigung, Tier-0-Link) aktualisieren
	delete_tier1_gateway	Schreiben	Ein Tier-1-Gateway löschen (entfernt zuerst Standard-Locale-Service)
NAT	list_nat_rules	Lesen	NAT-Regeln auf einem Tier-1-Gateway auflisten
	create_nat_rule	Schreiben	SNAT/DNAT/reflexive NAT-Regel auf einem Gateway erstellen
	delete_nat_rule	Schreiben	Eine NAT-Regel löschen
Statische Routen	list_static_routes	Lesen	Statische Routen auf einem Tier-1-Gateway auflisten
	create_static_route	Schreiben	Eine statische Route mit Netzwerk und Next-Hop hinzufügen
	delete_static_route	Schreiben	Eine statische Route entfernen
IP-Pools	list_ip_pools	Lesen	IP-Pools mit Nutzungsübersicht auflisten
	get_ip_pool_usage	Lesen	Zuweisungsnutzung für einen Pool anzeigen
	create_ip_pool	Schreiben	Einen neuen IP-Adresspool mit Zuordnungsbereichen erstellen
	delete_ip_pool	Schreiben	Einen IP-Adresspool dauerhaft löschen
Fabric	list_transport_zones	Lesen	Transportzonen mit Typ (OVERLAY/VLAN) auflisten
	list_transport_nodes	Lesen	Transportknoten mit Knotentyp und Status auflisten
	list_edge_clusters	Lesen	Edge-Cluster mit Mitgliederanzahl und Bereitstellungstyp auflisten
Health	list_nsx_alarms	Lesen	Aktive NSX-Alarme gefiltert nach Schweregrad auflisten
	get_transport_node_status	Lesen	Transportknoten-Konnektivität und Konfigurationsstatus
	get_edge_cluster_status	Lesen	Edge-Cluster-Mitgliedsstatus und Failover-Konfiguration
	get_nsx_manager_status	Lesen	NSX-Manager-Cluster-Health und Knotenrollen
Fehlerbehebung	get_logical_port_status	Lesen	Realisierter Zustand aller Ports auf einem Segment
	get_segment_port_for_vm	Lesen	Herausfinden, mit welchem Segment eine VM verbunden ist (nach Anzeigename)

Lese-/Schreibaufteilung: 20 Tools sind schreibgeschützt, 12 ändern den Zustand. Schreib-Tools erfordern explizite Parameter und werden audit-logged. Trockenlaufvorschau (--dry-run) ist ein CLI-Feature; MCP-Schreib-Tools führen direkt aus.

CLI-Kurzreferenz

# Inventar (schreibgeschützt)
vmware-nsx inventory list-segments [--target <name>]
vmware-nsx inventory get-segment <segment-id>
vmware-nsx inventory list-tier0s
vmware-nsx inventory get-tier0 <tier0-id>
vmware-nsx inventory list-tier1s
vmware-nsx inventory get-tier1 <tier1-id>
vmware-nsx inventory list-transport-zones
vmware-nsx inventory list-transport-nodes
vmware-nsx inventory list-edge-clusters

# Netzwerk (schreibgeschützt)
vmware-nsx networking list-nat-rules <tier1-id>
vmware-nsx networking bgp-neighbors <tier0-id>
vmware-nsx networking list-static-routes <tier1-id>
vmware-nsx networking list-ip-pools
vmware-nsx networking ip-pool-usage <pool-id>

# Segmentverwaltung (schreibend)
vmware-nsx segment create <id> --name <name> --tz <tz-path> [--vlan '100' | '100-200'] [--subnet <gw-cidr>] [--dry-run]
vmware-nsx segment update <id> [--name <name>] [--subnet <gw-cidr>] [--dry-run]
vmware-nsx segment delete <id> [--dry-run]

# Gateway-Verwaltung (schreibend)
vmware-nsx gateway create-tier1 <id> --name <name> [--tier0 <t0-path>] [--edge-cluster <ec-path>] [--dry-run]
vmware-nsx gateway update-tier1 <id> [--name <name>] [--tier0 <t0-path>] [--advertise <types>] [--dry-run]
vmware-nsx gateway delete-tier1 <id> [--dry-run]
vmware-nsx gateway configure-tier0-bgp <tier0-id> --local-as <asn> [--ecmp/--no-ecmp] [--dry-run]

# NAT (schreibend)
vmware-nsx nat create-rule --tier1 <id> --rule-id <id> --action SNAT --source <cidr> --translated <ip> [--dry-run]
vmware-nsx nat delete-rule --tier1 <id> --rule-id <id> [--dry-run]

# Statische Routen (schreibend)
vmware-nsx route create-static --tier1 <id> --route-id <id> --network <cidr> --next-hop <ip> [--dry-run]
vmware-nsx route delete-static --tier1 <id> --route-id <id> [--dry-run]

# IP-Pools (schreibend)
vmware-nsx ip-pool create <pool-id> --name <name> --start <ip> --end <ip> --cidr <cidr> [--gateway <ip>] [--dry-run]

# Health & Fehlerbehebung (schreibgeschützt)
vmware-nsx health alarms [--severity CRITICAL]
vmware-nsx health transport-node-status <node-id>
vmware-nsx health edge-cluster-status <cluster-id>
vmware-nsx health manager-status
vmware-nsx troubleshoot vm-segment <vm-name>
vmware-nsx troubleshoot port-status <segment-id>

Nächste Schritte

Diese Common Workflows-Abschnitte enthalten Muster, die in der Praxis erprobt sind – lies sie, bevor du das NSX-Cluster berührst.