2023學(xué)年完整公開課版虛擬防火墻2

虛擬防火墻22數(shù)據(jù)模型防火墻服務(wù)底層數(shù)據(jù)模型由三個(gè)類組成:FirewallPolicy,FirewallRule和Firewall。FirewallRule是我們所說的防火墻規(guī)則,定義了包過濾所需的信息和匹配后的動(dòng)作。FirewallPolicy由若干個(gè)FirewallRule組成,它被作為模板來創(chuàng)建Firewall。Firewall是系統(tǒng)最終要實(shí)現(xiàn)的防火墻。Neutron作為多租戶的網(wǎng)絡(luò)服務(wù)模型,防火墻的這幾個(gè)類都有租戶ID屬性。這樣租戶A的防火墻信息和租戶B的防火墻信息就隔開了。FirewallPolicy有個(gè)audited屬性,在參考實(shí)現(xiàn)中還沒有實(shí)現(xiàn)。參考實(shí)現(xiàn)目前只支持一個(gè)租戶只有一個(gè)Firewall。3防火墻與安全組安全組很像防火墻參考實(shí)現(xiàn),它們都是使用IPTables規(guī)則來做包過濾。他們之間的區(qū)別在于:1.安全組由L2Agent來實(shí)現(xiàn),也就是說L2Agent,比如neutron-openvswitch-agent和neutron-linuxbridge-agent,會(huì)將安全組規(guī)則轉(zhuǎn)換成IPTables規(guī)則,而且一般發(fā)生在所有計(jì)算節(jié)點(diǎn)上。防火墻由L3Agent來實(shí)現(xiàn),它的規(guī)則會(huì)在租戶的Router所在的L3Agent節(jié)點(diǎn)上轉(zhuǎn)化成IPTables規(guī)則。2.防火墻保護(hù)只能作用于跨網(wǎng)段的網(wǎng)絡(luò)流量,而安全組則可以作用于任何進(jìn)出虛擬機(jī)的流量。3.防火墻作為高級(jí)網(wǎng)絡(luò)服務(wù),將被用于服務(wù)鏈中,而安全組則不能。在Neutron中同時(shí)部署防火墻和安全組可以達(dá)到雙重防護(hù)。外部惡意訪問可以被防火墻過濾掉,避免了計(jì)算節(jié)點(diǎn)的安全組去處理惡意訪問所造成的資源損失。即使防火墻被突破,安全組作為下一到防線還可以保護(hù)虛擬機(jī)。最重要的是,安全組可以過濾掉來自內(nèi)部的惡意訪問。4實(shí)現(xiàn)細(xì)節(jié)防火墻由L3Agent通過修改iptables規(guī)則來實(shí)現(xiàn)，具體規(guī)則在網(wǎng)絡(luò)節(jié)點(diǎn)的路由器命名空間中，作用到該租戶所有路由器的qr-xxx接口上。在網(wǎng)絡(luò)節(jié)點(diǎn)上查看其中的iptables規(guī)則，會(huì)發(fā)現(xiàn)多了兩個(gè)iptables鏈，分別處理進(jìn)出兩個(gè)方向的流量，被neutron-vpn-agen-FORWARD引用。5應(yīng)用層防火墻$sudoipnetnsexecqrouter-40fff075-d3a2-477b-942c-6b1adb42e35eiptables-nvLChainneutron-vpn-agen-iv4d8ed9898(1references)pktsbytestargetprotoptinoutsourcedestination00DROPall--**0.0.0.0/00.0.0.0/0stateINVALID00ACCEPTall--**0.0.0.0/00.0.0.0/0stateRELATED,ESTABLISHED00ACCEPTtcp--**0.0.0.0/010.0.0.0/24tcpspts:1:65535dpt:22Chainneutron-vpn-agen-ov4d8ed9898(1references)pktsbytestargetprotoptinoutsourcedestination00DROPall--**0.0.0.0/00.0.0.0/0stateINVALID00ACCEPTall--**0.0.0.0/00.0.0.0/0stateRELATED,ESTABLISHED00ACCEPTtcp--**0.0.0.0/010.0.0.0/24tcpspts:1:65535dpt:226其它問題實(shí)像類似的高級(jí)服務(wù)，應(yīng)該使用更為專業(yè)的實(shí)現(xiàn)，包括各種現(xiàn)成的防火墻硬件、軟件實(shí)現(xiàn)。但是很可惜的是，Neutron中防火墻的位置跟路由器結(jié)合的過于緊密，造成要替換就要全部替換掉，即使用外部的網(wǎng)關(guān)實(shí)現(xiàn)。其它高級(jí)服務(wù)也存在類似的問題，特別是支持了服務(wù)鏈之后，耦合的更嚴(yán)重了。7總結(jié)Neutron的防火墻服務(wù)是一個(gè)高級(jí)網(wǎng)絡(luò)服務(wù),目標(biāo)是作為網(wǎng)絡(luò)服務(wù)鏈中的一個(gè)服務(wù)節(jié)點(diǎn)而存在。它和安全組構(gòu)成了雙重防護(hù)。防火墻的參考實(shí)現(xiàn)作用在Neutron的路