Firewall op OVN-netwerken
Wat de gedistribueerde firewall op OVN-netwerken op dezelfde manier doet, wat in gedrag verschilt en wat de console ervoor toont.
Wat hetzelfde werkt
Beleid, groepen, services en profielen vormen voor elk soort netwerk één verzameling objecten. Een regel die u één keer schrijft, geldt voor netwerkadapters op hostbridge-netwerken en op OVN-netwerken, en een groep kan adapters van beide soorten bevatten. De vier categorieën, de beoordelingsvolgorde, de eerste overeenkomst, de actie Doorgeven, de actie Afwijzen (reject), het loggen van regels, stateful en stateless beleid, de modi Uit, Monitor en Afdwingen, en standaardprofielen gedragen zich hetzelfde. De ingebouwde objecten bereiken OVN-adapters op dezelfde manier: het basisbeleid van een profiel via het profiel, de blokkade van uitgaande mail via de groep geblokkeerde adapters, en een noodbypass via de host. Een netwerkadapter waarvan het netwerk poortbeveiliging uit heeft, blijft in de modus Uit en wordt als Onbeschermd getoond op beide soorten netwerk.
Wat de console toont
Wanneer de operator logische OVN-netwerken voor de controller heeft ingeschakeld, toont het tabblad Firewall van een virtuele machine adapters op OVN-netwerken naast adapters op hostbridge-netwerken, met dezelfde modus, hetzelfde profiel en dezelfde effectieve regels. Zonder logische OVN-netwerken heeft een adapter op een gedistribueerde poortgroep geen link en toont de firewall hem niet. De hosts rapporteren logrecords en monitorrapporten van hun OVN-adapters zoals elke andere host. De kolom Treffers telt regels die alleen voor OVN-adapters gelden alleen als de operator de controller heeft ingesteld om de flowstatistieken van OVN te lezen; anders toont zo'n regel n.v.t.. De console biedt die instelling niet aan; zie Configuratie.
Verschillen in gedrag
De tabel toont wat verschilt zodra een host de regels van een OVN-netwerk afdwingt. Alles wat niet wordt genoemd, gedraagt zich als op een hostbridge-netwerk.
| Onderwerp | Hostbridge-netwerk | OVN-netwerk |
|---|---|---|
| Pakket dat Monitor zou negeren | Doorgestuurd en gerapporteerd. Na de overgang naar Afdwingen loopt een open verbinding door als antwoord tot ze eindigt. | Doorgestuurd en als verbinding geteld. Bij de overgang naar Afdwingen vergeet de host de gevolgde verbindingen van de adapter. Een verbinding loopt daarna door zodra haar volgende pakket als nieuwe verbinding wordt toegestaan; een pakket van de andere kant dat eerst komt, wordt gecontroleerd door de afgedwongen inkomende regels. |
| Ongeldige pakketten en antwoorden van geblokkeerde verbindingen in Monitor | Doorgestuurd en gerapporteerd. | Genegeerd voordat een regel wordt beoordeeld. |
| Monitorrapport | Eén item per pakket dat zou zijn genegeerd. | Eén item voor elk pakket dat een verbinding start, door de host gemaakt uit de logregel van de regel. Het rapport en het voorstel gebruikt u op dezelfde manier. |
| Antwoord op een geweigerd pakket | Een TCP-reset voor TCP, en een ICMP-bericht over administratief verbod voor de rest. | Een TCP-reset voor TCP, poort onbereikbaar voor UDP, en host onbereikbaar voor een ping over IPv4. |
| Router advertisements van een gast | Genegeerd. | Alleen genegeerd als ze misvormd zijn; een goed gevormde advertisement wordt afgeleverd. |
| Multicast en broadcast | De verbindingsstatus wordt bijgehouden. | De verbindingsstatus wordt niet bijgehouden; regels gelden nog wel. |
| Flowlimiet per bridge | Geldt. | Geldt niet. De limiet voor gevolgde verbindingen per adapter geldt voor beide. |
| Isolatie van tenants op een privénetwerk | Ingebouwd. | Niet automatisch toegepast. |
| Tellers | Per regel en per host. | Per regel en per host, als de controller de flowstatistieken van OVN leest. |
Wanneer een adapter op een OVN-netwerk van Monitor naar Afdwingen gaat, vergeet de host de gevolgde verbindingen van de adapter: plan de overgang dus in een rustige periode en houd de bevestigingstimer aan.
Randvoorwaarden op hosts met OVN
Een host met OVN reserveert eigen zones voor verbindingsregistratie. Voordat de eerste adapter van zo'n host de modus Uit verlaat, moet het zonebereik van OVN onder de zones van de firewall eindigen. Zolang dat niet zo is, beveiligt de host geen enkele adapter en toont het tabblad Realisatie de status Voorwaarde niet vervuld met de melding Het OVN-bereik van connection-tracking-zones moet onder de firewallzones eindigen. Actie van de eigenaar: stel ct-zone-range in op de host en herstart daarna de agent. De console biedt deze hostinstelling niet aan. De eigenaar van de host stelt haar in en herstart de agent, zoals beschreven in Configuratie.
Verwante taken
- Firewallconcepten legt het model uit dat beide soorten netwerk delen.
- Uitrol naar bestaande virtuele machines brengt adapters door de modi.
- Realisatie toont de status per host.
- Tenantisolatie beschrijft de isolatie op privénetwerken.
Versie 0.1. Laatst gewijzigd: 2026-11-14