Firewallconcepten

Afdwinging op de netwerkadapter

De gedistribueerde firewall controleert het verkeer op de netwerkadapter van een virtuele machine, op de host waarop de machine draait, in beide richtingen. Inkomend verkeer komt bij de adapter aan, uitgaand verkeer verlaat hem. Omdat de controle op de host gebeurt en niet in de gast, kan het gastbesturingssysteem haar niet wijzigen of omzeilen, en ook verkeer tussen twee virtuele machines op dezelfde host wordt gecontroleerd.

De firewall omvat netwerkadapters op hostbridge-netwerken die een Open vSwitch-bridge zijn met poortbeveiliging aan. Een adapter op een Linux-bridge, op een quarantainebridge of op een netwerk met poortbeveiliging uit kan niet worden beveiligd. Het tabblad Firewall van de virtuele machine toont zo'n adapter met de beveiliging Onbeschermd en houdt zijn modus op Uit. Heeft de adapter een publiek adres, dan waarschuwt het tabblad ook dat elke poort bereikbaar is.

Regels zijn standaard stateful. Als een verbinding in één richting is toegestaan, zijn de antwoorden automatisch toegestaan, dus een regel voor de omgekeerde richting is niet nodig. Met de schakelaar Stateful maakt u een beleid stateless. Vóór elke regel laat de firewall het verkeer door dat een netwerk nodig heeft om te werken: neighbour discovery en DHCP.

Regels, groepen en volgorde

Een regel noemt bronnen, bestemmingen en services, een richting, een actie en de adapters waarop hij van toepassing is. Een lege lijst bronnen, bestemmingen of services komt overeen met alles. De acties zijn Toestaan (allow), Weigeren (drop) (drop), dat het pakket zonder antwoord weggooit, Afwijzen (reject) (reject), dat het weggooit en de afzender antwoordt, en Doorgeven (pass), dat de beoordeling van de huidige categorie beëindigt en met de volgende doorgaat. Groepen bundelen adapters, virtuele machines, netwerken, tagcriteria en adressen, en services bundelen protocollen en poorten, zodat een regel ze één keer noemt en blijft werken als de leden veranderen.

Beleid wordt beoordeeld in vier categorieën, in deze volgorde: Nood, Infrastructuur, Omgeving en Applicatie. Binnen een categorie volgt beleid zijn volgnummer, laagste eerst, en binnen een beleid volgen de regels hun positie, van eerste naar laatste. De eerste regel die past met de actie allow, drop of reject beslist. Als geen regel past, beslist het standaardprofiel van de adapter. De effectieve regels van een adapter tonen elke regel die voor hem geldt, precies in deze volgorde.

Standaardprofielen en modi

Een standaardprofiel geeft een adapter zijn standaardactie per richting en kan een basisbeleid toevoegen dat als laatste wordt beoordeeld. Een adapter met een publiek adres start met public-default: inkomend verkeer wordt genegeerd behalve SSH en ping, uitgaand verkeer is toegestaan. Een adapter op een privénetwerk start met private-default, dat beide richtingen toestaat. Meer poorten opent u met regels, niet door het profiel te wijzigen.

Elke adapter heeft een modus die bepaalt wat de regels doen:

• Uit: verkeer wordt geschakeld zoals voordat de firewall bestond, en er wordt niets gefilterd. Bestaande adapters starten in deze modus.
• Monitor: de regels draaien, pakketten die zouden worden genegeerd worden geteld en gerapporteerd, en elk pakket wordt toch doorgestuurd.
• Afdwingen: pakketten die geen regel toestaat worden genegeerd of geweigerd.

De waarden zijn off, monitor en enforce. Alleen een beheerder van de provider wijzigt de modus, en een wijziging kan een bevestigingstimer hebben die de vorige modus herstelt als de wijziging niet wordt bevestigd.

Bereik van provider en tenant

Objecten horen bij een bereik: de provider, of één tenant. De categorieën Nood en Infrastructuur zijn van de provider, en het platform houdt daar eigen ingebouwd beleid, bijvoorbeeld de blokkade van uitgaande mail. De categorieën Omgeving en Applicatie staan open voor de provider en voor tenants, en het beleid van een tenant geldt alleen voor de adapters van die tenant. Een tenant ziet of wijzigt nooit de objecten van een andere tenant. Tenantisolatie beschrijft de grenzen in detail.

Verwante taken

• Een poort openen op een virtuele machine.
• Regels en beleid maakt beleid, zet het in volgorde en publiceert het.
• Groepen en services definieert waar regels naar verwijzen.
• Standaardprofielen stelt de standaardwaarden per soort adapter in.
• Uitrol naar bestaande virtuele machines brengt adapters door de modi.
• Firewall op OVN-netwerken toont de verschillen op OVN-netwerken.