Concepts du pare-feu

Application à la carte réseau

Le pare-feu distribué contrôle le trafic au niveau de la carte réseau d'une machine virtuelle, sur l'hôte où la machine s'exécute, dans les deux sens. Le trafic entrant arrive sur la carte, le trafic sortant la quitte. Comme le contrôle a lieu sur l'hôte et non dans l'invité, le système d'exploitation invité ne peut ni le modifier ni le contourner, et le trafic entre deux machines virtuelles du même hôte est contrôlé lui aussi.

Le pare-feu couvre les cartes réseau sur des réseaux sur pont d'hôte qui sont des ponts Open vSwitch avec la sécurité des ports activée. Une carte sur un pont Linux, sur un pont de quarantaine ou sur un réseau dont la sécurité des ports est désactivée ne peut pas être protégée. L'onglet Pare-feu de la machine virtuelle affiche une telle carte avec la protection Non protégé et laisse son mode sur Désactivé. Quand la carte a une adresse publique, l'onglet avertit aussi que tous les ports sont joignables.

Les règles sont avec état par défaut. Quand une connexion est autorisée dans un sens, les réponses sont autorisées automatiquement, et une règle pour le sens inverse n'est donc pas nécessaire. Un interrupteur Avec état permet de rendre une stratégie sans état. Avant toute règle, le pare-feu laisse passer le trafic dont un réseau a besoin pour fonctionner : la découverte de voisins et DHCP.

Règles, groupes et ordre

Une règle nomme des sources, des destinations et des services, un sens, une action et les cartes auxquelles elle s'applique. Une liste vide de sources, de destinations ou de services correspond à n'importe lequel. Les actions sont Autoriser (allow), Abandonner (drop), qui ignore le paquet sans réponse, Rejeter (reject), qui l'ignore et répond à l'expéditeur, et Transmettre (pass), qui termine l'évaluation de la catégorie en cours et continue avec la suivante. Les groupes rassemblent des cartes, des machines virtuelles, des réseaux, des critères d'étiquettes et des adresses, et les services rassemblent des protocoles et des ports : une règle les nomme une fois et continue de fonctionner quand les membres changent.

Les stratégies sont évaluées en quatre catégories, dans cet ordre : Urgence, Infrastructure, Environnement et Application. Dans une catégorie, les stratégies suivent leur numéro de séquence, le plus bas d'abord, et dans une stratégie les règles suivent leur position, de la première à la dernière. La première règle qui correspond avec l'action allow, drop ou reject décide. Quand aucune règle ne correspond, le profil par défaut de la carte décide. Les règles effectives d'une carte listent chaque règle qui s'applique à elle, exactement dans cet ordre.

Profils par défaut et modes

Un profil par défaut donne à une carte son action par défaut pour chaque sens, et peut ajouter une stratégie de base évaluée en dernier. Une carte qui a une adresse publique démarre avec public-default : le trafic entrant est ignoré sauf SSH et ping, le trafic sortant est autorisé. Une carte sur un réseau privé démarre avec private-default, qui autorise les deux sens. Pour ouvrir d'autres ports, on utilise des règles, pas un changement de profil.

Chaque carte a un mode qui détermine ce que font les règles :

• Désactivé : le trafic est commuté comme avant l'existence du pare-feu, et rien n'est filtré. Les cartes existantes démarrent dans ce mode.
• Surveillance : les règles s'exécutent, les paquets qui seraient ignorés sont comptés et signalés, et chaque paquet est tout de même transmis.
• Application forcée : les paquets qu'aucune règle n'autorise sont ignorés ou rejetés.

Les valeurs sont off, monitor et enforce. Seul un administrateur du fournisseur change le mode, et un changement peut s'accompagner d'une minuterie de confirmation qui rétablit le mode précédent s'il n'est pas confirmé.

Portée du fournisseur et du locataire

Les objets appartiennent à une portée : le fournisseur, ou un locataire. Les catégories Urgence et Infrastructure appartiennent au fournisseur, et la plateforme y garde ses propres stratégies intégrées, par exemple le blocage du courrier sortant. Les catégories Environnement et Application sont ouvertes au fournisseur et aux locataires, et une stratégie de locataire ne s'applique qu'aux cartes de ce locataire. Un locataire ne voit ni ne modifie jamais les objets d'un autre locataire. Isolation des locataires décrit les limites en détail.

Tâches liées

• Ouvrir un port sur une machine virtuelle.
• Règles et stratégies crée, ordonne et publie des stratégies.
• Groupes et services définit ce que les règles désignent.
• Profils par défaut définit les valeurs par défaut selon le type de carte.
• Déploiement sur les machines virtuelles existantes fait passer les cartes d'un mode à l'autre.
• Pare-feu sur les réseaux OVN liste les différences sur les réseaux OVN.