2023學(xué)年完整公開課版防火墻規(guī)則2

防火墻規(guī)則22iptable的規(guī)則和鏈正如之前所討論的，iptable是一個(gè)用戶空間應(yīng)用程序，允許系統(tǒng)管理員配置由Linux內(nèi)核防火墻提供的表以及它所存儲(chǔ)的鏈和規(guī)則。正如之前所提到的，可以定義幾個(gè)不同的表；OpenStack內(nèi)使用表中有filter和NAT。每個(gè)表都包含一些內(nèi)置的鏈，也可能包含用戶定義的鏈。每個(gè)鏈均是一個(gè)能與一組包相匹配的規(guī)則列表。每個(gè)規(guī)則指定對(duì)匹配的包執(zhí)行什么操作，稱之為一個(gè)目標(biāo)，可以是跳到同一個(gè)表內(nèi)的一個(gè)用戶定義的鏈。接下來，將討論各種密鑰鏈和規(guī)則。3nova-network啟動(dòng)時(shí)創(chuàng)建的鏈圖1.NetworkManager類連接其他類如圖1所示，NetworkManager是一個(gè)連接到很多其他類或模塊的大類。linux_net就是這些類或模塊中的一個(gè)。linux_net包含了一個(gè)IptablesManager對(duì)象，其__init__()方法則初始化OpenStack系統(tǒng)內(nèi)定義的鏈。4nova-network啟動(dòng)時(shí)創(chuàng)建的鏈圖2.初始化鏈如之前所述，Linux內(nèi)核中的IPv4包過濾器規(guī)則表擁有一些內(nèi)置的鏈：PREROUTING、INPUT、FORWARD、OUTPUT和POSTROUTING。總體上，抵達(dá)Linux主機(jī)的包會(huì)轉(zhuǎn)向PREROUTING鏈。在傳遞之后，內(nèi)核就會(huì)做出一個(gè)路由決定。如果包的目標(biāo)是本Linux主機(jī)，它就會(huì)轉(zhuǎn)向INPUT鏈，如果被接受，則會(huì)轉(zhuǎn)向目標(biāo)進(jìn)程。如果包不是用于本Linux主機(jī)的，則會(huì)轉(zhuǎn)向FORWARD鏈，接著再轉(zhuǎn)向POSTROUTING鏈，然后離開主機(jī)。由本地進(jìn)程生成的包首先會(huì)轉(zhuǎn)向OUTPUT鏈，如果被接受，就會(huì)轉(zhuǎn)向POSTROUTING鏈。5nova-network啟動(dòng)時(shí)創(chuàng)建的鏈除了這些內(nèi)置鏈外，OpenStack系統(tǒng)會(huì)創(chuàng)建其他一些可鉤掛到鏈系統(tǒng)的鏈。OpenStack鏈包含兩種類型：未包裝（unwrapped）鏈和已包裝（wrapped）鏈。nova-filter-top和nova-postrouting-bottom是兩種未包裝鏈。nova-filter-top被添加到FORWARD和OUTPUT鏈頂部。由于起未包裝，所以它可在各種Nova工作進(jìn)程間進(jìn)行共享。它針對(duì)的是FORWARD和OUTPUT鏈頂部存在的規(guī)則。在表中的IPv4和IPv6集合均均存在nova-filter-top。已包裝鏈的例子則包括綠色鏈（greencoloredchains）。這些鏈的名稱會(huì)有進(jìn)程名作為后綴。比如，nova-network會(huì)創(chuàng)建nova-network-PREROUTING鏈。對(duì)于IPv4和IPv6，內(nèi)置的INPUT、OUTPUT和FORWARD過濾器鏈都是已包裝的，這意味著這個(gè)“真正”的INPUT鏈具有一個(gè)規(guī)則，可跳至已包裝的INPUT鏈等。此外，還有一種已包裝鏈，名為local，它從nova-filter-top開始跳轉(zhuǎn)。對(duì)于IPv4，內(nèi)置的PREROUTING、OUTPUT和POSTROUTINGNAT鏈的包裝