OpenStack 网络服务高级特性

2021SC@SDUSC

OpenStack 网络服务高级特性

Firewall as a Service

传统网络的防火墙一般放在网关上，用来隔离子网之间的访问。

FWaaS的原理也是一样，是在Neutron虚拟router上应用防火墙规则，控制进出租户网络的数据。

FWaaS有三个主要概念：FireWall,Policy和Rule

• FireWall

  租户能够创建和管理的逻辑防火墙资源。

  FireWall 必须关联某个Policy，因此必须先创建Policy。

• Firewall Policy

  Policy是Rule的集合，FireWall会按照Policy中指定的顺序应用这些Rule.

• FireWall Rule

  Rule即访问控制的规则。包括源和目的layer3子网IP，源和目的layer4端口，协议，allow或deny动作等等。

  例如，我们创建一个Rule，允许其他网络对内部子网中的instance端口22TCP请求。

• 安全组

  安全组的应用对象是虚拟网卡，由L2 Agent来实现，安全组会在计算节点上配置iptables规则来限制虚拟网卡的进出访问，即安全组保护的是instances。

  FWaaS的应用对象是router，可以在安全组之前隔离外部过来的恶意流量，但是对于同一个subnet内部不同虚拟网卡间的通信不做限制，即FWaaS保护的是subnet。

Load Balance as a Service

定义

Load Balance as a Service是Neutron提供的一项高级网络服务，LBaaS允许租户动态地在自己的网络中创建和管理Load Balance。

Load Balance可以说是分布式系统中比较基础的组件，它接受前端发来的请求，然后将请求按照某种均衡策略转发给后端资源池中的某个处理单元，以完成处理。Load Balance可以实现系统高可用和横向的扩展性。

LBaaS 有三个主要的概念：Pool Member，Pool和Virtual IP。

• Pool Member

  Pool Member是layer4的实体，拥有IP地址并通过监听端口对外提供服务。

• Pool

  Pool由一组Pool Member组成。

  这些Pool Member通常提供同一类服务。

• Virtual IP

  Virtual IP （VIP），是定义在Load Balance的IP地址，每个Pool Member都有自己的IP，但是对外服务则是通过VIP。Load Balance负责监听外部的连接，并将连接分布到Pool Member，外部Client只知道VIP，不知道也不需要关心是否有Pool或者多少个Pool Member。

  OpenStack Neutron目前通过HAProxy软件来实现LBaaS，HAProxy是一个流行的开源Load Balance。

  Neutron也支持其他一些第三方Load Balance。