安全组与防火墙的区别

很多人分不清楚OpenStack中安全组(security group)和防火墙(firewall)的区别，因为二者都是做网络访问控制的，并且都是基于iptables实现的。

其实二者的区别还是比较大的:

  • security group主要是做主机防护的，换句话说安全组是和虚拟机的port相关联，安全组是针对每一个port做网络访问控制，所以它更像是一个主机防火墙。而firewall是针对一个VPC网络的，它针对的是整个VPC的网络控制，通常是在路由做策略。因此security group在计算节点的tap设备上做，而firewall在网络节点的router上做。
  • 相对于传统网络模型，security group其实就是类似于操作系统内部自己配置的防火墙，而firewall则是旁挂在路由器用于控制整个局域网网络流量的防火墙。
  • security group定义的是允许通过的规则集合，即规则的动作就是ACCEPT。换句话说定义的是白名单规则，因此如果虚拟机关联的是一个空规则安全组，则虚拟机既出不去也进不来。并且由于都是白名单规则，因此安全组规则顺序是无所谓的，而且一个虚拟机port可以同时关联多个安全组，此时相当于规则集合的并集。而firewall规则是有动作的（allow,deny,reject），由于规则既可以是ACCEPT，也可以是DROP，因此先后顺序则非常重要，一个包的命运，不仅取决于规则，还取决于规则的优先级顺序。
  • 前面说到security group针对的是虚拟机port，因为虚拟机的IP是已知条件，定义规则时不需要指定虚拟机IP，比如定义入访规则时，只需要定义源IP、目标端口、协议，不需要定义目标IP。而防火墙针对的是整个二层网络，一个二层网络肯定会有很多虚拟机，因此规则需要同时定义源IP、源端口、目标IP、目标端口、协议。
  • security group通常用于实现东西向流量控制实现微分段策略，而firewall则通常用于实现南北向流量控制。
  • 安全组由L2 Agent来实现，比如neutron-openvswitch-agent和neutron-linuxbridge-agent，会将安全组规则转换成IPTables规则，而且一般发生在所有计算节点上。防火墙由L3 Agent来实现，它的规则会在租户的Router所在的L3 Agent节点上转化成IPTables规则。
  • 防火墙保护只能作用于跨网段的网络流量，而安全组则可以作用于任何进出虚拟机的流量。
  • 防火墙作为高级网络服务，将被用于服务链中,而安全组则不能。

在Neutron中同时部署防火墙和安全组可以达到双重防护。

外部恶意访问可以被防火墙过滤掉,避免了计算节点的安全组去处理恶意访问所造成的资源损失。

即使防火墙被突破,安全组作为下一到防线还可以保护虚拟机。

最重要的是，安全组可以过滤掉来自内部的恶意访问。

后续补充……