FWaaS 实践: 允许 ssh - 每天5分钟玩转 OpenStack（119）

Posted 2020-08-21

上一节应用了无规则的虚拟防火墙，不允许任何流量通过。

今天我们会在防火墙中添加一条规则，允许 ssh。
最后我们会对安全组和 FWaaS 作个比较。

下面我们添加一条 firewall rule：允许 ssh。

在 Firewall Rules 标签页面点击 “Add Rule” 按钮。

将新 rule 命名为 “allow ssh”， Protocal 选择 “TCP”， Action 为 “ALLOW”， Destination Port/Port Range 为 “22”，

点击 “Add” ，rule 创建成功。

接下来将 rule 添加到 policy 中。

点击 Firewall Policies 标签页面，然后点击 “test_policy” 后面的 “Insert Rule” 按钮。

在下拉框中选择 Rule “allow ssh”，点击 “Save Changes”。

可以看到，“allow ssh” 已经成功添加到 “test_policy” 中。

通过 vimdiff 查看 router namespace 的 iptables-save 发生了什么变化。

iptables 添加了两条规则：

-A neutron-vpn-agen-iv4e85f4601 -p tcp -m tcp --dport 22 -j ACCEPT
-A neutron-vpn-agen-ov4e85f4601 -p tcp -m tcp --dport 22 -j ACCEPT

其含义是进出 router 的 tcp 数据包，如果目的端口为 22（ssh）ssh，则一律 ACCEPT。

测试一下，cirros-vm1 已经可以 ssh cirros-vm2，但 ping 还是不通，这与预期一致。

“allow ssh” 已经起作用。 同时我们也发现，firewall rule 对进出流量同时生效，不区分方向。

小节

FWaaS 用于加强 Neutron 网络的安全性，与安全组可以配合使用。
下面将 FWaaS 和安全组做个比较。

相同点：
1. 底层都是通过 iptables 实现。

不同点：
1. FWaaS 的 iptables 规则应用在 router 上，保护整个租户网络；
安全组则应用在虚拟网卡上，保护单个 instance。

2. FWaaS 可以定义 allow 或者 deny 规则；安全组只能定义 allow 规则。

3. 目前 FWaaS 规则不能区分进出流量，对双向流量都起作用；
安全组规则可以区分 ingress 和 egress。

FWaaS 学习完毕，下节我们继续学习 Neutron 的另一个服务 Load Balancing as a Service.