Chinaunix首页 | 论坛 | 博客
  • 博客访问: 363229
  • 博文数量: 343
  • 博客积分: 0
  • 博客等级: 民兵
  • 技术积分: 3600
  • 用 户 组: 普通用户
  • 注册时间: 2015-06-16 23:53
  • 认证徽章:
文章分类

全部博文(343)

文章存档

2018年(67)

2017年(145)

2016年(131)

我的朋友

分类: 云计算

2016-11-30 06:39:34

上一节应用了无规则的虚拟防火墙,不允许任何流量通过。 
今天我们会在防火墙中添加一条规则,允许 ssh。 
最后我们会对安全组和 FWaaS 作个比较。

下面我们添加一条 firewall rule:允许 ssh。 
在 Firewall Rules 标签页面点击 “Add Rule” 按钮。

将新 rule 命名为 “allow ssh”, 
Protocal 选择 “TCP”, 
Action 为 “ALLOW”, 
Destination Port/Port Range 为 “22”,

点击 “Add” ,rule 创建成功。

接下来将 rule 添加到 policy 中。

点击 Firewall Policies 标签页面,然后点击 “test_policy” 后面的 “Insert Rule” 按钮。

在下拉框中选择 Rule “allow ssh”,点击 “Save Changes”。

可以看到,“allow ssh” 已经成功添加到 “test_policy” 中。

通过 vimdiff 查看 router namespace 的 iptables-save 发生了什么变化。

iptables 添加了两条规则:

-A neutron-vpn-agen-iv4e85f4601 -p tcp -m tcp –dport 22 -j ACCEPT 
-A neutron-vpn-agen-ov4e85f4601 -p tcp -m tcp –dport 22 -j ACCEPT

其含义是进出 router 的 tcp 数据包,如果目的端口为 22(ssh)ssh,则一律 ACCEPT。

测试一下,cirros-vm1 已经可以 ssh cirros-vm2,但 ping 还是不通,这与预期一致。

“allow ssh” 已经起作用。 
同时我们也发现,firewall rule 对进出流量同时生效,不区分方向。

小节

FWaaS 用于加强 Neutron 网络的安全性,与安全组可以配合使用。 
下面将 FWaaS 和安全组做个比较。

相同点: 
1. 底层都是通过 iptables 实现。

不同点: 
1. FWaaS 的 iptables 规则应用在 router 上,保护整个租户网络;安全组则应用在虚拟网卡上,保护单个 instance。 
2. FWaaS 可以定义 allow 或者 deny 规则;安全组只能定义 allow 规则。 
3. 目前 FWaaS 规则不能区分进出流量,对双向流量都起作用;安全组规则可以区分 ingress 和 egress。

阅读(276) | 评论(0) | 转发(0) |
给主人留下些什么吧!~~
评论热议
请登录后评论。

登录 注册