核心功能
vmware-nsx 是一款面向 VMware NSX-T / NSX 4.x Policy API 的网络管理技能，提供32个MCP工具（20个只读+13个写入），覆盖软件定义网络的核心运维场景：
网络拓扑管理：创建和管理 Overlay/VLAN 网段（Segments）、配置 Tier-0/Tier-1 网关、建立网关间级联关系
网络服务配置：SNAT/DNAT/反射型 NAT 规则管理、静态路由配置、BGP邻居状态查看与基础配置
IP地址管理：IP池创建与分配监控、子网冲突检测
基础设施监控：传输节点（Transport Node）健康状态、Edge集群可用性、NSX Manager集群状态
故障排查：逻辑端口状态检查、VM到网段映射查询、端到端连通性诊断
显著优点
1. 完整的NSX网络生命周期覆盖：从网段创建、网关配置、NAT部署到健康监控形成闭环，无需切换多个工具
2. 企业级安全设计：所有写入操作强制审计日志（SQLite存储于~/.vmware/audit.db）、敏感凭证仅通过环境变量加载、密码永不回显或记录
3. 防误删机制：删除网段时自动检测已连接端口，删除网关时检查关联网段，避免级联故障
4. Dry-run预演：CLI写入命令支持--dry-run模式，可在执行前预览API调用
5. 多目标管理：通过--target参数支持对多个NSX Manager环境的统一纳管
6. 故障诊断结构化：内置三层排查模型（VM-网段-网关-上游），帮助快速定位Layer 1/2/3故障
潜在局限
1. 功能边界明确：不包含分布式防火墙（DFW）规则管理（需vmware-nsx-security）、不涉及虚拟机生命周期（需vmware-aiops）、不支持AVI/ALB负载均衡（需vmware-avi）
2. 社区维护性质：非VMware/Broadcom官方产品，企业级支持需自行评估
3. MCP直接执行风险：MCP写入工具直接执行无dry-run，依赖审计日志事后追溯
4. 证书管理：自签名证书环境需显式关闭SSL验证，存在配置风险
适用人群
- NSX-T/NSX 4.x 平台的网络管理员和云基础设施工程师
- 需要自动化SDN配置变更的DevOps/SRE团队
- 构建私有云网络编排工作流的技术架构师
常规风险
| 风险类型 | 说明 | 缓解措施 |
|---------|------|---------|
| 配置漂移 | 人工CLI变更与期望状态不一致 | 配合`vmware-pilot`工作流编排实现变更审批 |
| 子网冲突 | 重叠CIDR导致非对称路由或黑洞 | 工作流前置`list-segments`和`list-ip-pools`扫描 |
| Edge集群过载 | SR（Service Router）分布不均引发单点故障 | 创建T1网关前执行`edge-cluster-status`检查 |
| 凭证泄露 | .env文件权限配置不当 | 默认`chmod 600`，grep-safe写入 |
| BGP配置错误 | ASN不匹配或认证失败导致断网 | `bgp-neighbors`状态检查后再执行配置变更 |