2023學年完整公開課版防火墻規(guī)則3

防火墻規(guī)則32nova-network啟動時的規(guī)則圖3顯示了FlatDHCPManager的部分啟動進程。之前介紹過的__init__()方法，它可構成IptableManager對象來創(chuàng)建很多OpenStack鏈。所以，我們將著重介紹init_host()。init_host()方法調用LinuxNet3的initialize()方法，它調用linux_net的方法來設置NAT表內的一些iptables規(guī)則。3元數據主機的規(guī)則在由linux_net的init_host()創(chuàng)建的這些規(guī)則之中，其中的一個規(guī)則就是允許FLAGS.fixed_range下的IP訪問metadata_host（在本例中為192.168.1.90）。-Anova-network-POSTROUTING-s10.0.0.0/8-d192.168.1.90/32-jACCEPTensure_metadata_ip()將169.254.169.254/32添加到lo設備，使用命令如下：#ipaddradd169.254.169.254/32scopelinkdevlo然后，metadata_forward()將一個dNAT規(guī)則添加到route包，從169.254.169.254/32到metadata_host：-Anova-network-PREROUTING-d169.254.169.254/32-ptcp-mtcp--dport80-jDNAT--to-destination192.168.1.90:8775如果此nova-network和nova-api并未在相同的主機上運行，那么您必須定義nova-network上的metadata_host來指向此nova-api主機。4dmz和VM的規(guī)則訪問dmz的規(guī)則FLAGS.dmz_cidr定義了一個dmz列表（邊界聯網）CIDRs（無類別域間路由）。在默認的情況下，它是一個空列表。在本例中為10.128.0.0/24。所以，此規(guī)則為：-Anova-network-POSTROUTING-s10.0.0.0/8-d10.128.0.0/24-jACCEPTVM之間互相連接的規(guī)則另一個規(guī)則是確保具有兩個規(guī)定IP的VM能夠互相會話：-Anova-network-POSTROUTING-s10.0.0.0/8-d10.0.0.0/8-mconntrack!--ctstateDNAT-jACCEPT5固定子集之外的訪問所需規(guī)則add_snat_rule()方法將一個sNAT規(guī)則添加到此NAT表的已包裝鏈sNAT內。在圖3中可以看到ip_range和FLAGS.routing_source_ip。ip_range的值是由FLAGS.fixed_range定義。在本例中為10.0.0.0/8。FLAGS.routing_source_ip默認為FLAGS.my_ip，由函數flags._get_my_ip()默認。在本例中，FLAGS.my_ip為192.168.1.90。在這之后，您會獲得一個規(guī)則，類似于：1-Anova-network-snat-s10.0.0.0/8-jSNAT--to-source192.168.1.90為了固定IP能夠訪問外部，必須創(chuàng)建一個是FLAGS.fixed_range子集的網絡。這樣一來，隨著默認網關指向nova-network機器上的br100的一個IP，具有此子集IP的VM就將能夠訪問一個外部網絡。6每個網絡的規(guī)則要設置一個網絡，nova-network會在此filter表內創(chuàng)建一些規(guī)則。要觸發(fā)此nova-network在給定網絡上的操作，可運行如下命令：創(chuàng)建一個網絡并設置主機：#./bin/nova-managenetworkcreatemynet10.10.10.0/24引導一個服務器：novaboot--imagea3fb743d-42df-49ba-b9c4-8042ebbd344e--flavor1myserver執(zhí)行這些命令后，如下規(guī)則適用：支持轉發(fā)流量傳遞橋，這樣br100上的IP就可以充當一個網關：-Anova-network-FORWARD-ibr100-jACCEPT-Anova-network-FORWARD-obr100-jACCEPT支持DHCP和DNS流量進入到本地dnsmasq過程：-Anova-network-INPUT-ibr100-pudp-mudp--dport67-jACCEPT-Anova-network-INPUT-ibr100-ptcp-mtcp--dport67-jACCEPT-Anova-network-INPUT-ibr100-pudp-mudp--dport