Neutron 理解 (9): OpenStack 是如何实现 Neutron 网络 和 Nova虚机 防火墙的 [How Nova Implements Security Group and How Neutron Implements Virtual Firewall]

标签：

列表安全组：
s1@controller:~$ nova secgroup-list-rules novasg1
+-------------+-----------+---------+-----------+--------------+
| IP Protocol | From Port | To Port | IP Range  | Source Group |
+-------------+-----------+---------+-----------+--------------+
| tcp         | 22        | 22      | 0.0.0.0/0 |              |
+-------------+-----------+---------+-----------+--------------+
创建一个安全组规则：

2.1 概念

    从 Havana 版本开始，Neutron 提供一种基于 Neutron L3 Agent 的一种网络四层防火墙虚拟化参考实现 Firewall-as-a-service，简称 FWaas。本文的分析是基于 OpenStack Juno 版本进行的。Juno 版本中，FWaas 是分租户的，但是可以在多个租户之间共享。每个租户只允许一个防火墙。与物理的防火墙类似，FWaas 也有三个主要概念：

 （1）规则（Rule）：允许用户指定所要匹配的名称，描述，针对的协议（TCP, UDP, ICMP, ANY），行为（Allow，Deny），源/目的 IP 地址/子网 和 端口号/端口号区间。

与 neutron 安全组中的规则的区别是，这里需要指定被匹配到的数据包的处理行为是通过（ALLOW）和不通过（DENY），但是不能指定网络方向。FWaas 会将规则同时应用到进出网络的网络包上。

（2）策略（Policy）：规则的逻辑集合。Policy 可以是共享的 和 被审计的（Audited）。目前，FWaas 只是把 “audited” 保存到 DB 中，并没有对它做任何处理。

（3）防火墙（Firewall）：策略的逻辑集合。见上面右图。Juno 版本中，每个租户只能拥有最多一个 Firewall。防火墙可以是共享的。 

    这里需要说明的是 FWaas 和 Security Group （安全组） 的区别。安全组规则在连接到一个实例的计算节点上的Linux桥 qbr 上实施，FWaaS 创建的防火墙规则在租户网络边缘实现的虚拟路由器上实施。 FWaaS 并不旨在取代安全组的功能，并且它提供更为补充安全组，特别是在其当前实现状态下。 FWaaS 目前缺乏安全组提供的一些功能，包括无法指定通信的方向等。与此相反，安全组，也因为他们缺乏创建特定规则拒绝所有流量的能力，因此需要 FWaas 作为补充。

2.2 配置

2.3 实现

目前的实现中，FWaas 是通过在其所在 tenant 中的所有 Virtual Router 上添加 iptbales 规则来实现对进出数据网络的网络包进行控制的。

代码实现：

控制节点上（class FirewallPlugin）：

（1）create rule：纯数据库操作，将 rule 保存到数据中。

（2）create policy：纯数据库操作，将 policy 保存到数据中。

（3）如果将 rule 添加到一个已经添加到 firwall 的 policy，或者将一个 policy 加入一个存在的 firewall，在数据库操作后，通过 RPC fanout 到所有的 L3 Agent host：

{‘args‘: {‘firewall‘: {‘status‘: ‘PENDING_UPDATE‘, ‘name‘: u‘fw-for-tcp‘, ‘shared‘: None, ‘firewall_policy_id‘: u‘d14e23a3-2ee6-411d-b678-e6db3dac45f5‘, ‘tenant_id‘: u‘74c8ada23a3449f888d9e19b76d13aab‘, ‘admin_state_up‘: True, ‘id‘: u‘aa85bd66-dc4c-4d1b-909e-6f5736c279c7‘, ‘firewall_rule_list‘: [{‘protocol‘: u‘icmp‘, ‘description‘: u‘‘, ‘source_port‘: None, ‘source_ip_address‘: None, ‘destination_ip_address‘: None, ‘firewall_policy_id‘: u‘d14e23a3-2ee6-411d-b678-e6db3dac45f5‘, ‘position‘: 1, ‘destination_port‘: None, ‘id‘: u‘8658229d-6e34-4069-b091-e560f9e54dc9‘, ‘name‘: u‘rule-allow-icmp‘, ‘tenant_id‘: u‘74c8ada23a3449f888d9e19b76d13aab‘, ‘enabled‘: True, ‘action‘: u‘allow‘, ‘ip_version‘: 4L, ‘shared‘: False}, {‘protocol‘: u‘tcp‘, ‘description‘: u‘‘, ‘source_port‘: None, ‘source_ip_address‘: None, ‘destination_ip_address‘: None, ‘firewall_policy_id‘: u‘d14e23a3-2ee6-411d-b678-e6db3dac45f5‘, ‘position‘: 2, ‘destination_port‘: ‘80‘, ‘id‘: u‘00b5bad2-dd14-48d6-9a5c-7b65e6e8c480‘, ‘name‘: u‘fule-allow-tcp-80‘, ‘tenant_id‘: u‘74c8ada23a3449f888d9e19b76d13aab‘, ‘enabled‘: True, ‘action‘: u‘allow‘, ‘ip_version‘: 4L, ‘shared‘: False}], ‘description‘: u‘‘}, ‘host‘: ‘controller‘}, ‘namespace‘: None, ‘method‘: ‘update_firewall‘}

• insert_rule/remove_rule/update_firewall_rule/update_firewall_policy -> Firewall_db_mixin.insert_rule/remove_rule/update_firewall_rule/update_firewall_policy -> _rpc_update_firewall_policy -> _rpc_update_firewall -> (if policy has a firewall) FirewallAgentApi.update_firewall
• create_firewall -> Firewall_db_mixin.create_firewall -> FirewallAgentApi.create_firewall
• update_firewall -> Firewall_db_mixin.update_firewall -> FirewallAgentApi.update_firewall
• delete_firewall -> Firewall_db_mixin.delete_firewall -> FirewallAgentApi.delete_firewall
• FirewallAgentApi.create/update/delete_firewall -> fanout_cast ("create/update/delete_firewall", topics.L3_AGENT, "controller", firewall) -----> FWaaSL3AgentRpcCallback.create/update/delete_firewall -> FWaaSL3AgentRpcCallback._invoke_driver_for_plugin_api

 网络节点上(class FWaaSL3AgentRpcCallback)：

（1） 通过 RPC 获取所有的 router，在获取firewall 所在的 tenant 上的 routers

（2）调用 IptablesFwaasDriver.update_firewall，依次更新每个 router 的 iptables 规则

（3）首先删除已有规则，然后根据配置的 rules 重新生成规则 

root@network:/var/cache# ip netns exec qrouter-e438bebe-6795-4b68-a613-ec0df38d3064 iptables -t filter -S
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-N neutron-filter-top
-N neutron-l3-agent-FORWARD
-N neutron-l3-agent-INPUT
-N neutron-l3-agent-OUTPUT
-N neutron-l3-agent-fwaas-defau #新增的 firewall chain
-N neutron-l3-agent-iv4aa85bd66 #新增的 firewall chain
-N neutron-l3-agent-local
-N neutron-l3-agent-ov4aa85bd66 #for firewall
-A INPUT -j neutron-l3-agent-INPUT
-A FORWARD -j neutron-filter-top
-A FORWARD -j neutron-l3-agent-FORWARD #将 forward 转到 neutron 的chain
-A OUTPUT -j neutron-filter-top
-A OUTPUT -j neutron-l3-agent-OUTPUT
-A neutron-filter-top -j neutron-l3-agent-local
-A neutron-l3-agent-FORWARD -o qr-+ -j neutron-l3-agent-iv4aa85bd66 #进数据网络的包
-A neutron-l3-agent-FORWARD -i qr-+ -j neutron-l3-agent-ov4aa85bd66 #出数据网络的包

-A neutron-l3-agent-FORWARD -o qr-+ -j neutron-l3-agent-fwaas-defau #进数据网络的包的默认处理 chain
-A neutron-l3-agent-FORWARD -i qr-+ -j neutron-l3-agent-fwaas-defau #出数据网络的包的默认处理 chain
-A neutron-l3-agent-INPUT -d 127.0.0.1/32 -p tcp -m tcp --dport 9697 -j ACCEPT
-A neutron-l3-agent-fwaas-defau -j DROP                             #默认丢弃没有被以上规则处理的所有包

-A neutron-l3-agent-iv4aa85bd66 -m state --state INVALID -j DROP
-A neutron-l3-agent-iv4aa85bd66 -m state --state RELATED,ESTABLISHED -j ACCEPT #接受状态为 RELATED, ESTABLISHED （已建立的连接）的包
-A neutron-l3-agent-iv4aa85bd66 -p tcp -m tcp --dport 80 -j ACCEPT             #根据定义的 FWaas rule，接受目的端口为 80 的 tcp 包

-A neutron-l3-agent-ov4aa85bd66 -m state --state INVALID -j DROP
-A neutron-l3-agent-ov4aa85bd66 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A neutron-l3-agent-ov4aa85bd66 -p tcp -m tcp --dport 80 -j ACCEPT             #根据 FWaas rule，接收目的端口为 80 的 tcp 包

Neutron 理解 (9): OpenStack 是如何实现 Neutron 网络 和 Nova虚机 防火墙的 [How Nova Implements Security Group and How Neutron Implements Virtual Firewall]

标签：

原文地址：http://www.cnblogs.com/sammyliu/p/4675991.html