Pare-feu sur les réseaux OVN
Ce que le pare-feu distribué fait de la même façon sur les réseaux OVN, ce qui diffère dans le comportement et ce que la console affiche pour eux.
Ce qui fonctionne de la même façon
Les stratégies, les groupes, les services et les profils forment un seul ensemble d'objets pour tous les types de réseau. Une règle écrite une fois s'applique aux cartes réseau sur des réseaux sur pont d'hôte et sur des réseaux OVN, et un groupe peut contenir des cartes des deux types. Les quatre catégories, l'ordre d'évaluation, la première correspondance, l'action Transmettre, l'action Rejeter, la journalisation des règles, les stratégies avec et sans état, les modes Désactivé, Surveillance et Application forcée, et les profils par défaut se comportent de la même façon. Les objets intégrés atteignent les cartes OVN de la même manière : la stratégie de base d'un profil par le profil, le blocage du courrier sortant par le groupe des cartes bloquées, et un contournement d'urgence par l'hôte. Une carte réseau dont le réseau a la sécurité des ports désactivée reste en mode Désactivé et s'affiche comme Non protégé sur les deux types de réseau.
Ce que la console affiche
Quand l'opérateur a activé les réseaux logiques OVN pour le contrôleur, l'onglet Pare-feu d'une machine virtuelle liste les cartes sur des réseaux OVN à côté de celles des réseaux sur pont d'hôte, avec le même mode, le même profil et les mêmes règles effectives. Sans réseaux logiques OVN, une carte sur un groupe de ports distribué n'a pas de lien et le pare-feu ne la liste pas. Les hôtes remontent les enregistrements de journal et les rapports de surveillance de leurs cartes OVN comme tout autre hôte. La colonne Correspondances compte les règles qui ne s'appliquent qu'à des cartes OVN seulement si l'opérateur a configuré le contrôleur pour lire les statistiques de flux d'OVN ; sinon une telle règle affiche n/d. La console ne propose pas ce réglage ; voir Configuration.
Différences de comportement
Le tableau liste ce qui diffère dès qu'un hôte applique les règles d'un réseau OVN. Tout ce qui n'est pas listé se comporte comme sur un réseau sur pont d'hôte.
| Sujet | Réseau sur pont d'hôte | Réseau OVN |
|---|---|---|
| Paquet que Surveillance ignorerait | Transmis et signalé. Après le passage à Application forcée, une connexion ouverte continue comme réponse jusqu'à sa fin. | Transmis et compté comme connexion. Au passage à Application forcée, l'hôte oublie les connexions suivies de la carte. Une connexion continue alors quand son paquet suivant est autorisé comme nouvelle connexion ; un paquet venant de l'autre côté en premier est contrôlé par les règles entrantes appliquées. |
| Paquets invalides et réponses de connexions bloquées en Surveillance | Transmis et signalés. | Ignorés avant l'évaluation de toute règle. |
| Rapport de surveillance | Une entrée par paquet qui aurait été ignoré. | Une entrée pour chaque paquet qui ouvre une connexion, créée par l'hôte à partir de la ligne de journal de la règle. Le rapport et sa proposition s'utilisent de la même façon. |
| Réponse à un paquet rejeté | Une réinitialisation TCP pour TCP, et un message ICMP d'interdiction administrative pour le reste. | Une réinitialisation TCP pour TCP, port inaccessible pour UDP, et hôte inaccessible pour un ping en IPv4. |
| Annonces de routeur d'un invité | Ignorées. | Ignorées seulement si elles sont mal formées ; une annonce bien formée est livrée. |
| Multicast et diffusion | L'état de connexion est conservé. | L'état de connexion n'est pas conservé ; les règles s'appliquent toujours. |
| Limite de flux par pont | S'applique. | Ne s'applique pas. La limite de connexions suivies par carte s'applique aux deux. |
| Isolation des locataires sur un réseau privé | Intégrée. | Non appliquée automatiquement. |
| Compteurs | Par règle et par hôte. | Par règle et par hôte, quand le contrôleur lit les statistiques de flux d'OVN. |
Quand une carte d'un réseau OVN passe de Surveillance à Application forcée, l'hôte oublie les connexions suivies de la carte : prévoyez donc ce passage pendant une période calme et gardez le minuteur de confirmation.
Prérequis sur les hôtes qui exécutent OVN
Un hôte qui exécute OVN réserve ses propres zones de suivi de connexion. Avant que la première carte d'un tel hôte quitte le mode Désactivé, la plage de zones d'OVN doit se terminer sous les zones du pare-feu. Tant que ce n'est pas le cas, l'hôte ne protège aucune carte et l'onglet Application sur les hôtes affiche l'état Prérequis non remplis avec le message La plage de zones de suivi de connexion OVN doit se terminer sous les zones du pare-feu. Action du propriétaire : définissez ct-zone-range sur l’hôte, puis redémarrez l’agent. La console ne propose pas ce réglage d'hôte. Le propriétaire de l'hôte le définit et redémarre l'agent, comme décrit dans Configuration.
Tâches liées
- Concepts du pare-feu explique le modèle que les deux types de réseau partagent.
- Déploiement sur les machines virtuelles existantes fait passer les cartes d'un mode à l'autre.
- Réalisation affiche l'état par hôte.
- Isolation des locataires décrit l'isolation sur les réseaux privés.
Version 0.1. Dernière modification : 2026-11-14