openstack--neutron--service（lb、Security group、FW）

安全组Security

Neutron为instance提供了两种管理网络安全的方法：安全组和虚拟防火墙

安全组原理：通过iptables对instance所在计算节点的网络流量进行过滤
虚拟防火墙原理：FWaaS，底层也是iptables，在Router上对网络包流量进行过滤

安全组的应用对象是虚拟网卡，由L2 Agent实现，比如LinuxBridge或者Open vswitch，安全组会在计算节点上通过配置iptables来限制虚拟网卡的进出访问
FWaaS的应用对象是router，可在安全组之前隔离外部过来的恶意流量，保护的是Subnet

同时部署二者，双重保护；

Security Group和FWaas比较：
相同：底层都是通过iptables实现的；
不同：1.Security Group作用于虚拟交换机的port，保护的是instance
			  而FWaas作用于router，保护的是subnet、整个租户网络
			2.FWaaS可以定义allow或者deny规则，但是Security Group只能定义allow规则
			3.FWaaS不区分方向，双向流量都起作用，安全组可区分ingress（入口）和egress（出口）


LBaaS：

概念：Pool Member、Pool、VIP
实现：HAproxy
实现细节：ip netns
					ip netns exec qlbaas-xxxx ip a

　　

转载于:https://www.cnblogs.com/wanyp/p/7358276.html