Neutron 默认安全组规则
来源:互联网 发布:淘宝网保健品 编辑:程序博客网 时间:2024/05/21 09:59
Neutron 为 instance 提供了两种管理网络安全的方法:
安全组(Security Group)和虚拟防火墙。
安全组的原理是通过 iptables 对 instance 所在计算节点的网络流量进行过滤。
虚拟防火墙则由 Neutron Firewall as a Service(FWaaS)高级服务提供。其底层也是使用 iptables,在 Neutron Router 上对网络包进行过滤。
这两种安全方案我们都会讨论,本章先重点学习安全组。
默认安全组
每个 Project(租户)都有一个命名为 “default” 的默认安全组。
点击菜单 Project -> Compute -> Access & Security,查看 Security Group 列表。
点击按钮,查看 “default” 安全组的规则。
“default” 安全组有四条规则,其作用是:允许所有外出(Egress)的流量,但禁止所有进入(Ingress)的流量。
当我们创建 instance 时,可以在 “Access & Security” 标签页中选择安全组。如果当前只有 “default” 这一个安全组,则会强制使用 “default” 。
当前在 devstack-controller 上有 instance “cirros-vm1”。
在 devstack-controller 上执行 iptables-save 命令查看相关规则。iptables 的规则较多,这里我们节选了 cirros-vm1 相关的规则。
这些规则是 Neutron 根据安全组自动生成的。如果大家想深入理解 iptables,可 google 相关文档。
cirros-vm1 的 TAP interface 为 tap8bca5b86-23,可以看到:1. iptables 的规则是应用在 Neutron port 上的,port 在这里是 cirros-vm1 的虚拟网卡 tap8bca5b86-23。2. ingress 规则集中定义在命名为 “neutron-linuxbri-i8bca5b86-2” 的 chain 中。3. egress 规则集中定义在命名为 “neutron-linuxbri-o8bca5b86-2” 的 chain 中。
下面我们通过 dhcp namespace 对 cirros-vm1 进行 ping 和 ssh 测试。
无法 ping 和 ssh cirros-vm1,可见当前的规则实现了 “default” 安全组,所有 ingress 流量都被禁止。
- Neutron 默认安全组规则
- Neutron 默认安全组规则
- neutron的安全组规则不生效的原因
- neutron的安全组规则不生效的原因
- neutron安全组
- neutron安全组功能点梳理总结
- OpenStack RDO 部署流程 - 4(Neutron安全组)
- opstack-neutron 安全组 博主其他文章也不错
- 带着问题了解Openstack Neutron安全组
- 默认安全
- 安全组规则与iptables规则的关系
- Neutron安全组分析(一)
- Neutron安全组分析(二)
- neutron安全组分析(三)
- neutron安全组分析(四)
- 安全组规则批量添加授权对象
- 安全组规则批量添加授权对象
- 安全组规则让你的win主机更安全
- 探讨Android6.0及以上系统APP常驻内存(保活)实现-复活篇
- mybatis 学习笔记
- USACO-section1.5 Superprime Rib[深搜]
- Java基础笔记之一
- flex布局完全入门教程
- Neutron 默认安全组规则
- 一题多解——Strategic Game
- 51nod 1461 稳定桌
- 关于TRIM的优化技巧
- 【转载】String,StringBufffer之间的区别以及StringBuffer总结
- 最大子数组 II
- ActiveMQ的集群
- scikit-image/matplotlib处理图像知识点 2017 7.15
- js阻止form表单提交