云宏大讲坛 | 灵活轻便的云宏CNware虚拟防火墙2019-02-01

防火墙是位于内部网和外部网之间的屏障,按照系统管理员预先定义好的规则来控制数据包的进出,是系统的第一道防线,其作用是防止非法用户的进入。虚拟防火墙就是可以将一台防火墙在逻辑上划分成多台虚拟的防火墙,每个虚拟防火墙系统都可以被看成是一台完全独立的防火墙设备,可拥有独立的系统资源、管理员、安全策略、用户认证数据库等。


以上描述的防火墙一般用于数据中心内部网络和外部网络之间,而云宏君接下来描述的虚拟防火墙则有所不同,它用于数据中心内部网络中虚拟机与虚拟机、虚拟机与物理机之间的网络通信,是一种虚拟网络的网络流量控制防火墙解决方案。



传统虚拟防火墙解决方案大体是参考物理机的防火墙实现,在虚拟机内运行虚拟机防火墙软件,算是更完整地贯彻虚拟的方针。


为了便于调控虚拟防火墙的策略和配置,每台物理机上都需要部署一个防火墙模块,以接收来自防火墙控制器发送的配置信息和防火墙策略进行网络流量的检测。在主机集群的控制节点上部署防火墙控制器,用于对整个集群环境中所有的防火墙模块进行统一管理和策略配置。用户或云计算管理节点的防火墙策略信息发送给防火墙控制器,实现对虚拟防火墙的调控。


换言之,防火墙控制器需要建立连接,用户配置的防火墙策略信息必须通过防火墙控制器的可实施性预分析,才能将用户配置的防火墙策略信息发送给防火墙模块。一旦连接断开,就需要用户根据控制器反馈信息进行修改。除此之外,采用虚拟防火墙软件方式安装防火墙,通常需要安装其他不相干的模块,哪怕实际上只用得上防火墙模块。而且有的防火墙软件过滤规则要逐条过滤网络流量,性能较差。



为了有效地解决传统方案的弊端,云宏CNware虚拟防火墙采用了基于OpenvSwitch(简称OVS)的openflow流表,配置网络流量过滤规则实现虚拟防火墙功能。CNware虚拟化主机默认采用OVS作为网络管理堆栈。物理主机下面的虚拟机网络通信都会经过OVS下面的bridge,bridge的作用就是虚拟交换机。在bridge上设置openflow流表规则,就可以控制网络流量的通过,实现虚拟防火墙的功能。


云宏CNware虚拟防火墙通过程序下发用户自定义规则到openflow,能使网络流量交由openflow进行过滤,下发的规则信息包括防火墙规则所属物理主机、源类型、源对象值、协议、端口号、目标类型、目标对象值、单双向等信息。数据包符合规则的就可以通过虚拟交换机(列入白名单),反之则不能通过(列入黑名单)。


与传统方案相比,云宏CNware虚拟防火墙不需要防火墙控制器模块,避免防火墙控制的连接问题,而且层次结构更加简洁,性能更高效。另外,解决方案使用IP、IP段、MAC等多种配置规则,配置策略更丰富、更灵活。

©著作权归作者所有,转载或内容合作请联系作者
  • 序言:七十年代末,一起剥皮案震惊了整个滨河市,随后出现的几起案子,更是在滨河造成了极大的恐慌,老刑警刘岩,带你破解...
    沈念sama阅读 213,558评论 6 492
  • 序言:滨河连续发生了三起死亡事件,死亡现场离奇诡异,居然都是意外死亡,警方通过查阅死者的电脑和手机,发现死者居然都...
    沈念sama阅读 91,002评论 3 387
  • 文/潘晓璐 我一进店门,熙熙楼的掌柜王于贵愁眉苦脸地迎上来,“玉大人,你说我怎么就摊上这事。” “怎么了?”我有些...
    开封第一讲书人阅读 159,036评论 0 349
  • 文/不坏的土叔 我叫张陵,是天一观的道长。 经常有香客问我,道长,这世上最难降的妖魔是什么? 我笑而不...
    开封第一讲书人阅读 57,024评论 1 285
  • 正文 为了忘掉前任,我火速办了婚礼,结果婚礼上,老公的妹妹穿的比我还像新娘。我一直安慰自己,他们只是感情好,可当我...
    茶点故事阅读 66,144评论 6 385
  • 文/花漫 我一把揭开白布。 她就那样静静地躺着,像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上,一...
    开封第一讲书人阅读 50,255评论 1 292
  • 那天,我揣着相机与录音,去河边找鬼。 笑死,一个胖子当着我的面吹牛,可吹牛的内容都是我干的。 我是一名探鬼主播,决...
    沈念sama阅读 39,295评论 3 412
  • 文/苍兰香墨 我猛地睁开眼,长吁一口气:“原来是场噩梦啊……” “哼!你这毒妇竟也来了?” 一声冷哼从身侧响起,我...
    开封第一讲书人阅读 38,068评论 0 268
  • 序言:老挝万荣一对情侣失踪,失踪者是张志新(化名)和其女友刘颖,没想到半个月后,有当地人在树林里发现了一具尸体,经...
    沈念sama阅读 44,478评论 1 305
  • 正文 独居荒郊野岭守林人离奇死亡,尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 36,789评论 2 327
  • 正文 我和宋清朗相恋三年,在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 38,965评论 1 341
  • 序言:一个原本活蹦乱跳的男人离奇死亡,死状恐怖,灵堂内的尸体忽然破棺而出,到底是诈尸还是另有隐情,我是刑警宁泽,带...
    沈念sama阅读 34,649评论 4 336
  • 正文 年R本政府宣布,位于F岛的核电站,受9级特大地震影响,放射性物质发生泄漏。R本人自食恶果不足惜,却给世界环境...
    茶点故事阅读 40,267评论 3 318
  • 文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹,春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 30,982评论 0 21
  • 文/苍兰香墨 我抬头看了看天上的太阳。三九已至,却和暖如春,着一层夹袄步出监牢的瞬间,已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 32,223评论 1 267
  • 我被黑心中介骗来泰国打工, 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留,地道东北人。 一个月前我还...
    沈念sama阅读 46,800评论 2 365
  • 正文 我出身青楼,却偏偏与公主长得像,于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子,可洞房花烛夜当晚...
    茶点故事阅读 43,847评论 2 351

推荐阅读更多精彩内容

  • 装载自http://sdnhub.cn/index.php/openv-switch-full-guide/ 1 ...
    ximitc阅读 5,820评论 0 11
  • CentOS7下Firewall防火墙配置用法详解 centos 7中防火墙是一个非常的强大的功能了,但对于cen...
    很少更新了阅读 5,689评论 0 9
  • 欢迎使用编辑阅读器 我们理解你需要更便捷更高效的工作记录思想,整理笔记,知识,并将其中承载的价值传播给他人,Cmd...
    月张阅读 306评论 0 0
  • 水墨华年【原名《水墨之月》】 原曲:《上弦之月》 填词:黑血 【却问水墨里,那一句“山无棱”,可曾有过缱绻的情丝?...
    相公痴阅读 262评论 0 1
  • 校园“隐藏”暴力 易遥妈妈不给她钱买新校服,遭到同学们的嘲笑。 在生活中,不乏有那种买不起校服的人。只因为家庭贫困...
    何想想阅读 386评论 2 3