openstack neutron-fwaas 中的几个概念

1.firewall rule

就是一条单独的防火墙规则,一条firewall rule只能添加到一个firewall policy上

2.firewall policy

一组防火墙规则的集合, a set of firewall rules，一个firewall policy可以添加到多个firewall上

3.firewall

一个可以与routers进行绑定的实体，一个router通过绑定一个防火墙实体实现流量过滤，一个防火墙只能绑定一个policy,一个router只能绑定一个防火墙,但一个防火墙可以绑定多个router

 

借鉴ER图表示这个映射关系：

firewall rule  m:1   firewall policy  1 : n  firewall   1: k router

 

4.firewall的理解：

当你添加一条规则时，实际上是在IN和OUT两个方向上添加了规则

比如，我下面要允许虚拟机ping 114.114.114.114

规则添加后，用vimdiff查看iptables-save得到下面的结果

在进出两个方向上都添加了该规则