核心功能
vmware-nsx 是面向 NSX-T / NSX 4.x Policy API 的专业网络管理技能，提供 33 个 MCP 工具（20 个只读、13 个写入），覆盖网络基础设施全生命周期：
- 网段管理：创建/修改/删除 Overlay 或 VLAN 支持的网络段，支持子网冲突预检
- 网关配置：Tier-0/Tier-1 网关管理，BGP 邻居配置与状态监控，静态路由管理
- NAT 规则：SNAT/DNAT/反射 NAT 的创建与删除，自动验证网关与转换 IP 合法性
- IPAM 集成：IP 地址池的创建、查询与使用率监控
- 健康诊断：NSX Manager 集群状态、传输节点连通性、Edge 集群 SR 分布均衡性检查
- 故障排查：三层分层诊断（VM-网段-网关-上游），逻辑端口状态实时查询
显著优点
1. 企业级安全设计：所有写入操作经 vmware-policy 自动审计至 SQLite 数据库，CLI 提供 --dry-run 预览与双重确认机制，删除操作强制检查依赖关系（网段删除前验证无连接端口）
2. 多目标管理：支持通过 --target 参数切换生产/测试/灾备 NSX Manager 环境，密码按目标隔离存储于独立环境变量
3. 故障隔离与教学反馈：API 错误映射为可操作建议（403→检查角色权限，404→建议执行 list 命令获取准确 ID）
4. 社区生态完整：与 vmware-nsx-security（防火墙）、vmware-avi（负载均衡）、vmware-pilot（工作流编排）等 8 个配套技能形成 VMware 自动化全家桶
潜在局限
- 功能边界明确：不包含 DFW 防火墙规则、安全组、IDS/IPS 配置（需切换至 vmware-nsx-security）
- 无 Web 界面：纯 CLI/MCP 驱动，需配合 AI Agent 或终端使用
- 证书管理基础：支持证书认证但无自动轮换机制，自签名证书需显式禁用 SSL 验证
- 社区维护性质：非 Broadcom/VMware 官方项目，企业用户需自行评估支持连续性
适用人群
- NSX 运维工程师：需要批量管理网段、NAT 规则、排查连通性故障
- 云架构师：设计多租户网络拓扑，验证 Edge 集群容量与 BGP 宣告策略
- DevOps/SRE：集成至 CI/CD 流水线实现网络基础设施即代码
- AI 辅助运维场景：通过 Claude Code、Goose、Cursor 等 Agent 实现自然语言驱动的网络变更
常规风险
| 风险场景 | 缓解机制 |
|---------|---------|
| 误删生产网段 | 双重确认 + 连接端口检查 + `--dry-run` |
| 子网冲突导致路由黑洞 | 文档强调预检清单，需人工执行 `list-segments` 扫描 |
| 密码泄露 | 环境变量隔离存储，`chmod 600` 权限控制，日志脱敏 |
| BGP 配置错误导致网络中断 | 仅 Tier-0 BGP 配置为写入操作，变更窗口建议配合 vmware-pilot 审批流程 |
| 审计日志篡改 | SQLite WAL 模式，框架无关存储，支持 `vmware-audit` CLI 查询 |