配置防火墙即服务 （FWaaS） 插件

瞻博网络 ML2 和 L3 插件的基础上，使用防火墙即服务 （FWaaS） 插件瞻博网络构建。Neutron 能够在 SRX 和多台设备上配置vSRX策略。在 OpenStack 中，租户可以创建防火墙并为其分配安全策略。安全策略是一组防火墙规则。 图 1 说明了防火墙规则、防火墙策略和防火墙之间的关系。

防火墙规则 - 定义源地址和端口、目标地址和端口、协议以及要针对匹配信息流采取的操作。

防火墙策略 - 防火墙规则集合

防火墙 - 表示防火墙设备。

启用 FwaaS 插件时，SRX 或 vSRX 应用作路由器和防火墙。管理员在设置拓扑时必须确保这样做。

支持的设备

SRX 和 vSRX 系列设备

插件配置

注意：

在进一步说明之前，请确保满足以下先决条件：

• 已设置拓扑

  • 设备将被添加到jnpr_devices表中

  • 将计算→物理网络别名映射添加到jnpr_nic_mapping表中。

  • 计算→交换机连接在虚拟jnpr_switchport_mapping中捕获（L2 VLAN 编排需要）

• L2 插件已设置。如果要使用第三方 ML2 插件，此选项是可选的。

• L3 插件设置为将 SRX/vSRX用作路由器。

要配置 Neutron 瞻博网络 FwaaS 服务插件：

1. 更新 Neutron 配置文件文件 /etc/neutron/neutron.conf ，service_plug附加于 以下项：

2. 向拓扑中添加防火墙：

3. 定义插件在 SRX 设备上创建 RVIS 的下行链路中继端口。

   使用连接到聚合交换机的 SRX 设备的端口更新插件数据库：

   例如：

4. 将防火墙分配给租户，或者作为所有租户的默认设置：

   要在所有未为其分配防火墙的租户中将防火墙分配为默认设置，请使用以下命令：

5. 启用 Horizon 以显示 Firewall 面板。

   要显示 Horizon 用户界面中 Networks 组下的防火墙面板 /usr/share/openstack-dashboard/openstack_dashboard/local/local_settings.py，请打开 并更新以下配置：

   enable_firewall: True

6. 完成 FWaaS 插件配置后，重新启动以下操作：

   • Neutron-Server

     • Ubuntu – service neutron-server 重启

     • CentOS – systemctl restart neutron-server

   • Apache（重新启动 Horizon）

     • Ubuntu – 服务 apache2 重启

     • CentOS – systemctl 重启 httpd

7. 从 Horizon GUI 创建防火墙规则并将其关联至策略。创建防火墙，然后为其分配路由器和防火墙策略。

8. 在 SRX 上，可以验证每个路由实例的防火墙区域以及区域内推送的相应策略。