neutron中的安全组和防火墙_安全组的防护对象是?-程序员宅基地

技术标签: 防火墙  FWaaS  安全组  neutron  OpenStack  openstack  

文章来自作者维护的社区微信公众号【虚拟化云计算】)
目前有两个微信群《kvm虚拟化》和《openstack》,扫描二维码点击“云-交流”,进群交流提问
一。防火墙与安全组区别
防火墙一般放在网关上,用来隔离子网之间的访问。因此,防火墙即服务也是在网络节点上(具体说来是在路由器命名空间中)来实现。防火墙可以在安全组之前隔离外部过来的恶意流量,但是对于同个子网内部不同虚拟网卡间的通讯不能过滤(除非它要跨子网)。
FWaaS 保护的是 subnet
安全组的对象是虚拟网卡,由L2 Agent来实现,比如neutron_openvswitch_agent 和 neutron_linuxbridge_agent,会在计算节点上通过配置 iptables 规则来限制虚拟网卡的进出访问。
安全组保护的是 instance
 
 
 
二。安全组
创建虚拟机时给虚拟机添加的安全组实际上是给虚拟机的网卡设置的安全组。
虚拟机没有安全组的概念,安全组是在网卡上的。虚拟机里看到的安全组列表是虚拟机所有网卡的安全组的叠加。
安全组有以下特性:
1. 通过宿主机上 iptables 规则控制进出 instance 的流量。
2. 安全组作用在 instance 的 port 上。
3. 安全组的规则都是 allow,不能定义 deny 的规则。
4. instance 可应用多个安全组叠加使用这些安全组中的规则。
三。虚拟机的安全组
 
例如虚拟机有网卡nic1和nic2
安全组的显示:
nic1 的安全组是secgroupA
nic2 的安全组是secgroupB
那虚拟机的安全组是secgroupA,secgroupB
 
添加网卡:
给虚拟机添加一个网卡nic3,指定安全组为secgroupC(默认是安全组default)。
那虚拟机的安全组是secgroupA,secgroupB,secgroupC
 
给虚拟机添加安全组secgroupA
nic1 的安全组是secgroupA
nic2 的安全组是secgroupA,secgroupB
nic3 的安全组是secgroupA,secgroupC
那虚拟机的安全组是secgroupA,secgroupB,secgroupC
给虚拟机添加安全组:遍历虚拟机的所有网卡,如果某个网卡上没这个安全组则给其添加,如果有则不变。
给虚拟机删除安全组secgroupC
nic1 的安全组是secgroupA
nic2 的安全组是secgroupA,secgroupB
nic3 的安全组是secgroupA
那虚拟机的安全组是secgroupA,secgroupB
给虚拟机删除安全组:遍历虚拟机的所有网卡,如果某个网卡上有这个安全组则给其删除,如果没有则不变。
 
 
四。fwaas
 
1.Firewall as a Service(FWaaS)是 Neutron 的一个高级服务。是在虚拟router 中实现的,所以 FWaaS 没有单独的 agent。 已有的 L3 agent 负责提供所有 FWaaS 功能。
2.用户可以使用防火墙在 subnet 的边界上对 layer 3 和 layer 4 的流量进行过滤。
3.FWaaS 有三个重要概念: Firewall、Policy 和 Rule。
============================================================
关注微信公众号【虚拟化云计算】,阅读更多虚拟化云计算知识,纯技术干货更新不停。
 
 
 
版权声明:本文为博主原创文章,遵循 CC 4.0 BY-SA 版权协议,转载请附上原文出处链接和本声明。
本文链接:https://blog.csdn.net/isclouder/article/details/79824669

智能推荐

MapReduce论文中文版-程序员宅基地

文章浏览阅读6.3k次。摘要MapReduce是一个编程模型,也是一个处理和生成超大数据集的算法模型的相关实现。用户首先创建一个Map函数处理一个基于 key/value pair的数据集合,输出中间的基于key/value pair的数据集合;然后再创建一个Reduce函数用来合并所有的具有相同中间key值的中间value值。现实世界中有很多满足上述处理模型的例子, 本论文将详细描述这个模型。MapRe_mapreduce论文中文

win10 mfc100u.dll丢失的解决方法_mfc100u dll下载-程序员宅基地

文章浏览阅读1.5k次。转载这位博主_mfc100u dll下载

制作树苺派/香橙派(orangepi) SD卡备份镜像_树苺派系统备份与还原_orange pi 香橙派emmc系统备份方法-程序员宅基地

文章浏览阅读6.7k次,点赞6次,收藏40次。操作扯扯淡新的改变准备工具正式开干1、将sd卡装入读卡器,然后插上电脑,挂载到ubuntu2、备份SD卡镜像还原方法一:方法二:总结扯扯淡前面一直是做linux运维以及python相关的知识,前段时间无意间拿到手一块orangepi,即香橙派,一直没有在意,近来有点空就拿出来捣鼓一下。树莓派、香橙派、香蕉派这些以水果称呼的嵌入式开发板让人听起来有种不一样的味道,但是许多人对于树莓派与香蕉派很容..._orange pi 香橙派emmc系统备份方法

【语音识别】声纹识别系统(带面板)【含GUI Matlab源码 1022期】-程序员宅基地

文章浏览阅读552次,点赞28次,收藏27次。声纹识别系统(带面板)完整的代码,包运行;运行操作视频见CSDN资源!适合小白!

如何为应用选择最佳的FPGA(上)_fpga封装-程序员宅基地

文章浏览阅读1k次。另一方面,更高端的“重磅”FPGA价格非常昂贵。但这些FPGA的目标应用领域是那些用户愿意为昂贵的FPGA付费的应用,因为他们拥有尖端的技术和能力。例如,这些FPGA应用于顶级军用雷达、下一代无线技术、先进的数字信号处理、数据中心加速等。对于这些细分市场,成本并不是一个重大的交易破坏者。相反,他们对保持技术实力和能力的前沿感兴趣,领先于竞争对手或对手。..._fpga封装

solidity 字符串拼凑_solidity中的字符串-程序员宅基地

文章浏览阅读964次。自从我开始撰写博客以来,感觉已经很久了,直到现在它一直致力于撰写有关统计数据的文章。我不是特别喜欢这个monody,它很快就会变得枯燥乏味。此外,这个博客从一开始就是为了探究两个不同的领域,经过这么长时间的专注于其中一个,我一直感觉到写另一个的冲动。所以,今天我给你一篇关于使用Solidity语言编写以太坊区块链编程的帖子。我不会遵循这样做的任何计划:我的目标只是写下我学习这门语言的障碍和我在日常..._solidity string length

随便推点

mybatis 使用for update,对数据进行行级锁定_mybatis for update-程序员宅基地

文章浏览阅读4.6w次,点赞5次,收藏44次。for upate使用场景在Spring Date JPA之 for update中已经介绍过了,想要了解,可以看博客:https://blog.csdn.net/zc_ad/article/details/83578487,在这边会介绍一下在mybatis中的使用场景。使用了mybatis-plus,前面有些过基础教程,地址:https://blog.csdn.net/zc_ad/article..._mybatis for update

C语言函数的定义、声明、分类以及调用(一)_c语言函数声明-程序员宅基地

文章浏览阅读1.9k次,点赞2次,收藏7次。多维数组名也可以作为函数实参,此时被调用函数中形参数组可以指定每一维的大小,也可省略第一维的大小,但第二维的大小不能省略,而且要和实参数组第二维的大小相同。1、使用数组元素作为实参,在循环语句控制下将数组元素a[i]的值传递给形参x,并将其值减32后保存数数组元素b[i]中,调用函数时,形参x的值发生了改变,而实参a[i]的值并没有发生变化。由于数组名表示数组的首地址,因此实参向形参传递的不是数组的值,而是实参的首地址,这样的形参数组和实参数组共占用相同的内存单元。1、函数的定义、声明、分类以及调用。_c语言函数声明

python爬取表情包图片_res=requests.get(img[i][1]) with open('images/'+ti-程序员宅基地

文章浏览阅读487次。上次写了爬取笔趣阁小说,这次来爬点常用的表情包图片。_res=requests.get(img[i][1]) with open('images/'+title[i]+'.jpg','wb') as f:

阅读笔记(last book—ROS书籍⑥)《ROS By Example v1》A Do-It-Yourself Guide to the Robot Operating System_rod by example 1-程序员宅基地

文章浏览阅读701次。这本书是比较经典的学习ROS的书,但是感觉对于初学者来说并不能作为第一本书籍来阅读,像我是个技术小白,一开始拿出这本书来读总是感觉云里雾里,包括现在读v2版本也有同样的感觉。1. 此书的开篇回答了一个关键性的问题:学习ROS从哪里开始?阶段1:学习基本概念和编程技巧其中,在阶段1,可以参考ROS Wiki来查阅安装说明和初学者教程同时,还需要掌握TF坐标变换以理解ROS如何处理不同的框架使用ROS Answers提问阶段2:使用ROS来控制机器人在阶段2:参考本书,通过ROS使机_rod by example 1

Unity官方案例学习——游戏设计理念(游戏的灵魂)-程序员宅基地

文章浏览阅读1.8k次。何为游戏设计理念和游戏中的用户体验?因为以前做的项目大多都是单一功能的完成,没太考虑设计的理念和用户体验,并且我做的大多是UI界面的实现,或者完成简单的数据添加等等,自己没有一套完整的项目经验;我们unity前端、unity程序员、或者想要做游戏的童鞋,再面试的时候,很多公司要求是完成的项目经验者优先,或者大家去一些招聘的APP上看一下,对于整套的游戏设计我们应该有个明确的思路,而制定这个游戏的思路就是设计理念;而所谓的用户体验,就是游戏中玩家在玩游戏过程中对游戏本身玩法、游戏机制、人物、甚至是光照、UI_游戏设计理念

Spring Boot集成smart-doc生成api文档_com.github.shalousun-程序员宅基地

文章浏览阅读9.4k次,点赞5次,收藏24次。mart-doc是一个java restful api文档生成工具,smart-doc颠覆了传统类似swagger这种大量采用注解侵入来生成文档的实现方法。smart-doc完全基于接口源码分析来生成接口文档,完全做到零注解侵入,你只需要按照java标准注释的写,smart-doc就能帮你生成一个简易明了的markdown或是一个像GitBook样式的静态html文档。下面将介绍如何在Spring......_com.github.shalousun

推荐文章

热门文章

相关标签