VMware NSX

VMware NSX

作者：Wei Zhou，VMware by Broadcom — [email protected] 这是由 VMware 工程师发起的社区项目，并非 VMware 官方产品。 如需 VMware 官方开发者工具，请访问 developer.broadcom.com。

English | 中文

VMware NSX 网络管理：网段、网关、NAT、路由、IPAM——33 个 MCP 工具，专注于特定领域。

适用于 NSX-T 3.0+ 和 NSX 4.x 的 NSX Policy API 技能。

配套技能

快速安装

# Via PyPI
uv tool install vmware-nsx-mgmt

# Or pip
pip install vmware-nsx-mgmt

离线／隔离网络环境安装（从源代码安装）

本项目使用现代 PEP 517 构建系统（hatchling），因此按设计不包含 setup.py——这是预期行为，并非文件缺失。如果你克隆了源代码并遇到 ERROR: File "setup.py" or "setup.cfg" not found ... editable mode currently requires a setuptools-based build，说明你的 pip 版本低于 21.3， 无法使用非 setuptools 后端执行可编辑（-e）安装。可编辑模式是开发者便利功能，运行工具并不需要——请采用以下任一方式：

# From the source tree — a normal (non-editable) install builds a wheel:
pip install .              # NOT  pip install -e .

# ...or upgrade pip first, and editable works too:
pip install --upgrade pip && pip install -e .

对于真正处于隔离网络环境中的主机，请在联网的机器上构建 wheel 文件并复制过去——目标主机无需网络：

# On a connected machine, collect this package + its dependencies as wheels:
pip wheel . -w dist        # → dist/*.whl   (or: uv build, for just this package)

# Copy dist/ to the air-gapped host, then install offline:
pip install --no-index --find-links dist vmware-nsx-mgmt

配置

mkdir -p ~/.vmware-nsx
cp config.example.yaml ~/.vmware-nsx/config.yaml
# Edit with your NSX Manager credentials

echo "VMWARE_NSX_NSX_PROD_PASSWORD=your_password" > ~/.vmware-nsx/.env
chmod 600 ~/.vmware-nsx/.env

# Verify
vmware-nsx doctor

此技能的功能

总计：33 个工具（20 个只读工具 + 13 个写入工具）

常见工作流

创建应用网络（网段 + T1 网关 + NAT）

1. 创建网关：vmware-nsx gateway create-t1 app-t1 --edge-cluster edge-cluster-01 --tier0 tier0-gw
2. 创建网段：vmware-nsx segment create app-web-seg --name app-web-seg --tz <tz-overlay-path> --subnet 10.10.1.1/24
3. 添加 SNAT：vmware-nsx nat create app-t1 --action SNAT --source 10.10.1.0/24 --translated 172.16.0.10
4. 验证：vmware-nsx segment list 和 vmware-nsx nat list app-t1

请先使用 --dry-run 预览任何写入命令。

检查网络健康状况

1. 管理器状态：vmware-nsx health manager-status
2. 传输节点：vmware-nsx health transport-nodes
3. Edge 集群：vmware-nsx health edge-clusters
4. 告警：vmware-nsx health alarms --severity HIGH（精确匹配筛选；需分别查询每个严重性级别）

排查 VM 连通性

1. 查找 VM 所属网段：vmware-nsx troubleshoot vm-segment <vm-display-name>
2. 检查端口实现状态：vmware-nsx troubleshoot port-status <segment-id>（该网段上的所有端口：连接、已实现的绑定、传输节点）
3. 检查路由：vmware-nsx gateway routes-t1 app-t1
4. 检查 BGP：vmware-nsx gateway bgp-neighbors tier0-gw

MCP 工具（33 个 — 20 个读取，13 个写入）

各工具的完整端点和方法：skills/vmware-nsx/references/capabilities.md。

CLI

# Segments
vmware-nsx segment list
vmware-nsx segment get app-web-seg
vmware-nsx segment create app-web-seg --name app-web-seg --tz <tz-overlay-path> --subnet 10.10.1.1/24
vmware-nsx segment delete app-web-seg

# Gateways
vmware-nsx gateway list-t0
vmware-nsx gateway list-t1
vmware-nsx gateway create-t1 app-t1 --edge-cluster edge-cluster-01 --tier0 tier0-gw
vmware-nsx gateway bgp-neighbors tier0-gw
vmware-nsx gateway routes-t1 app-t1

# NAT
vmware-nsx nat list app-t1
vmware-nsx nat create app-t1 --action SNAT --source 10.10.1.0/24 --translated 172.16.0.10
vmware-nsx nat delete-rule --tier1 app-t1 --rule-id rule-01

# Static Routes
vmware-nsx route list app-t1
vmware-nsx route create app-t1 --network 192.168.100.0/24 --next-hop 10.10.1.254

# IP Pools
vmware-nsx ippool list
vmware-nsx ippool create tep-pool
vmware-nsx ippool add-subnet tep-pool --start 192.168.100.10 --end 192.168.100.50 --cidr 192.168.100.0/24

# Health & Troubleshooting
vmware-nsx health alarms --severity HIGH   # exact match: LOW | MEDIUM | HIGH | CRITICAL
vmware-nsx health transport-nodes
vmware-nsx health manager-status
vmware-nsx troubleshoot vm-segment my-vm-01          # VM display name
vmware-nsx troubleshoot port-status app-web-seg      # segment ID

# Diagnostics
vmware-nsx doctor

MCP 服务

安装 uv tool install vmware-nsx-mgmt 后，只需一条命令即可启动 MCP 服务（v1.5.15+）：

# Recommended — single command, no network re-resolve
vmware-nsx mcp

# Or via Docker
docker compose up -d

Agent 配置

将以下内容添加到 AI Agent 的 MCP 配置中：

{
  "mcpServers": {
    "vmware-nsx": {
      "command": "vmware-nsx",
      "args": ["mcp"],
      "env": {
        "VMWARE_NSX_CONFIG": "~/.vmware-nsx/config.yaml"
      }
    }
  }
}

# Run without installing (requires PyPI access each launch)
uvx --from vmware-nsx-mgmt vmware-nsx mcp

# Legacy entry point (still works, kept for backward compatibility)
vmware-nsx-mcp

更多 Agent 配置模板（Claude Code、Cursor、Goose、Continue 等）请参阅 examples/mcp-configs/。

版本兼容性

VCF 兼容性

Broadcom 官方参考资料

• SDK：https://developer.broadcom.com/sdks — VMware NSX for Python SDK（官方；未来的迁移目标）、VCF Python SDK
• REST API：https://developer.broadcom.com/xapis — NSX-T Data Center REST API（本技能使用其中的 Policy API 子集）
• CLI 工具：https://developer.broadcom.com/tools — VCF PowerCLI 9.1（包含 NSX cmdlet）

安全性

故障排除

远程访问（HTTPS）和限制工具

默认情况下，vmware-nsx mcp 使用 stdio 与一个本地客户端通信，并提供所有工具。两种选项可以更改此行为 （vmware-policy ≥ 1.21.0）。

通过 HTTPS 提供服务，以便其他机器上的客户端可以连接。每个调用方都需要 bearer token：

vmware-audit token create alice          # prints the token once; give it to alice
vmware-audit token list                  # names only
vmware-audit token revoke alice          # refused from its next request, no restart
vmware-nsx mcp --transport https --host 0.0.0.0 --port 8443 \
    --cert /etc/vmware-mcp/server.pem --key /etc/vmware-mcp/server-key.pem \
    --public-name mcp.example.com

连接客户端（此处展示 Claude Code；任何支持可流式传输 HTTP 和自定义标头的 MCP 客户端均可）：

claude mcp add --transport http vmware-nsx https://mcp.example.com:8443/mcp \
    --header "Authorization: Bearer $VMWARE_MCP_TOKEN"

{
  "mcpServers": {
    "vmware-nsx": {
      "type": "http",
      "url": "https://mcp.example.com:8443/mcp",
      "headers": { "Authorization": "Bearer ${VMWARE_MCP_TOKEN}" }
    }
  }
}

• 没有 token 时，服务不会启动；它会拒绝 --public-name 以外的 Host/Origin 值，并在绑定前检查，确保未经身份验证的请求会收到 401。请使用客户端信任的、适用于这些名称的证书。
• 如果在同一台机器上通过终止 TLS 的反向代理访问，请使用 --transport http --host 127.0.0.1 --public-name mcp.example.com，并透传 Authorization 标头。
• 如果通过另一台机器上的负载均衡器或网关访问，请保留 --transport https（自签名证书也可以），在 --public-name 中列出负载均衡器发送的 Host 主机名，并让它转发 Authorization。它的健康检查可以使用无需 token 的 GET /healthz，该请求只会返回 {"status": "ok"} （vmware-policy ≥ 1.23.0）。
• 每次请求都附带 traceparent 或 X-Request-ID，即可将其存入审计记录；随后运行 vmware-audit log --correlation-id ID，即可查找同一平台请求所关联的调用。
• 审计日志会将每个调用方记录为 token:<name>。调用会并行运行，无论是否指定目标：每个目标最多保留 VMWARE_MCP_POOL_SIZE 个会话（默认值为 2），每个会话都会登录到目标。如果某次调用发现所有会话都在忙碌，最多会等待 300 s。
• 所有能够访问此端点的人都会使用此服务的账户操作。 Token 用于识别调用方；它们不会授予任何平台权限。请为每个权限级别运行一个端点。
• **一个端点供多个人员或角色使用：**运行一次 vmware-audit roles enable，然后为每个 token 分配角色（vmware-audit token create NAME --role reader，或在 roles.yaml 中指定包含工具和目标的角色；vmware-policy ≥ 1.24.0）。角色会限制此端点上该 token 可以调用的工具；但授予的权限不会超过账户本身的权限。请参阅 vmware-policy 的 README 中的“网络调用方的角色”。

仅提供只读工具，以及你选择的写入工具：

vmware-nsx mcp --expose read --allow-write create_ip_pool
# or: VMWARE_NSX_MCP_EXPOSE=read VMWARE_NSX_MCP_ALLOW_WRITE=create_ip_pool vmware-nsx mcp

未提供的工具不会出现在客户端的工具列表中。值无效或写入工具未知时，服务会停止运行（退出码为 2）。这会限制向客户端提供的工具；但这不是授权，因此账户本身应遵循最小权限原则。

详情：skills/vmware-nsx/references/setup-guide.md（“通过 HTTPS 提供 MCP 服务”，“限制提供的工具”）。

许可证

MIT