2023學(xué)年完整公開(kāi)課版342neutron中的防火墻

neutron中的防火墻1任務(wù)描述華云數(shù)據(jù)集團(tuán)基于CloudUltra?私有云為兵工物資集團(tuán)構(gòu)建私有云平臺(tái)，在保障平臺(tái)的高可靠性、高可用性、高安全性的基礎(chǔ)之上，為兵工物資集團(tuán)提供持續(xù)性、可擴(kuò)展性、可管理性的服務(wù)。和傳統(tǒng)模式相比基礎(chǔ)設(shè)施使用率提高了75%以上，數(shù)據(jù)可靠性提高到了99.9%，保證兵工物資集團(tuán)數(shù)據(jù)安全可控，滿足集團(tuán)業(yè)務(wù)需求。本節(jié)主要講解兵工物資集團(tuán)構(gòu)建私有云平臺(tái)項(xiàng)目的項(xiàng)目背景詳情目錄防火墻即服務(wù)實(shí)現(xiàn)細(xì)節(jié)典型場(chǎng)景其它問(wèn)題2防火墻即服務(wù)3熟悉防火墻的都知道，防火墻一般放在網(wǎng)關(guān)上，用來(lái)隔離子網(wǎng)之間的訪問(wèn)。因此，防火墻即服務(wù)（FireWallasaService）也是在網(wǎng)絡(luò)節(jié)點(diǎn)上（具體說(shuō)來(lái)是在路由器命名空間中）來(lái)實(shí)現(xiàn)。目前，OpenStack中實(shí)現(xiàn)防火墻還是基于Linux系統(tǒng)自帶的iptables，所以大家對(duì)于其性能和功能就不要抱太大的期望了。一個(gè)可能混淆的概念是安全組（SecurityGroup），安全組的對(duì)象是虛擬網(wǎng)卡，由L2Agent來(lái)實(shí)現(xiàn)，比如neutron_openvswitch_agent和neutron_linuxbridge_agent，會(huì)在計(jì)算節(jié)點(diǎn)上通過(guò)配置iptables規(guī)則來(lái)限制虛擬網(wǎng)卡的進(jìn)出訪問(wèn)。防火墻可以在安全組之前隔離外部過(guò)來(lái)的惡意流量，但是對(duì)于同個(gè)子網(wǎng)內(nèi)部不同虛擬網(wǎng)卡間的通訊不能過(guò)濾（除非它要跨子網(wǎng)）。可以同時(shí)部署防火墻和安全組實(shí)現(xiàn)雙重防護(hù)。典型場(chǎng)景4租戶創(chuàng)建了一個(gè)網(wǎng)絡(luò)，并在其上分配了一個(gè)子網(wǎng)10.0.0.0/24，默認(rèn)情況下，其它子網(wǎng)將不允許訪問(wèn)該子網(wǎng)。租戶試圖通過(guò)防火墻規(guī)則來(lái)允許外部網(wǎng)絡(luò)對(duì)內(nèi)部子網(wǎng)虛擬機(jī)22端口的訪問(wèn)。OpenStack的FWaaS實(shí)現(xiàn)中有三個(gè)重要概念：FirewallPolicyRule典型場(chǎng)景5Firewall會(huì)綁定到某個(gè)Policy（因此必須先創(chuàng)建Policy之后才能創(chuàng)建一個(gè)Firewall）。Policy中可以包括若干條Rule。Rule即訪問(wèn)控制的規(guī)則，包括源和目的子網(wǎng)、源和目的端口、協(xié)議、行動(dòng)等。例如，我們創(chuàng)建一個(gè)Rule，允許其它網(wǎng)絡(luò)對(duì)內(nèi)部子網(wǎng)中虛機(jī)端口22的TCP請(qǐng)求。實(shí)現(xiàn)細(xì)節(jié)6防火墻由L3Agent通過(guò)修改iptables規(guī)則來(lái)實(shí)現(xiàn)，具體規(guī)則在網(wǎng)絡(luò)節(jié)點(diǎn)的路由器命名空間中，作用到該租戶所有路由器的qr-xxx接口上。實(shí)現(xiàn)細(xì)節(jié)7在網(wǎng)絡(luò)節(jié)點(diǎn)上查看其中的iptables規(guī)則，會(huì)發(fā)現(xiàn)多了兩個(gè)iptables鏈，分別處理進(jìn)出兩個(gè)方向的流量，被neutron-vpn-agen-FORWARD引用。其它問(wèn)題8其實(shí)像類似這樣的高級(jí)服務(wù)，應(yīng)該使用更為專業(yè)的實(shí)現(xiàn)，包括各種現(xiàn)成的防火墻硬件、軟件實(shí)現(xiàn)。但是很可惜的是，Neutron中防火墻的位置跟路由器結(jié)合的過(guò)于緊密，造成