网络服务

网络服务

云平台为云主机提供以下网络服务：安全组、虚拟IP、弹性IP、端口转发、负载均衡、防火墙、IPsec隧道、OSPF区域、Netflow、端口镜像、路由表。

支持以下两种网络架构模型：

扁平网络
VPC网络

网络服务模块

网络服务模块：用于提供网络服务的模块。在UI界面已隐藏。

主要有以下四种：

VirtualRouter（虚拟路由器网络服务模块，不建议使用）
提供以下网络服务：DNS、SNAT、负载均衡、端口转发、弹性IP、DHCP
Flat Network Service Provider（扁平网络服务模块）
提供以下网络服务：
- Userdata：使用cloud-init进行云主机开机加载并执行特定的用户数据，例如ssh-key注入。
- 弹性IP：分布式EIP实现的弹性IP地址，可通过公有网络访问内部私有网络。
- DHCP：分布式DHCP实现动态获取IP地址。
  说明: DHCP服务包含了DNS的功能。
- VipQos：虚拟IP限速，限制上行及下行带宽。仅作用于弹性IP。
VPC Router（VPC网络服务模块）
提供以下网络服务：
- IPsec：使用IPsec隧道协议实现虚拟私有网络（VPN）的连接。
- VRouterRoute：通过路由表，用户可管理自定义路由。
- CentralizedDNS：在启用分布式DHCP服务的场景下，提供DNS服务。
- VipQos：虚拟IP限速，限制上行及下行带宽。
- DNS：使用VPC路由器提供DNS服务。
- SNAT：云主机使用SNAT可以直接访问外部互联网。
- 负载均衡：将虚拟IP地址的访问流量分发到一组后端的云主机上，自动检测并隔离不可用的云主机。
- 端口转发：提供将指定公有网络的IP地址端口流量转发到云主机对应协议的端口。
- 弹性IP：使用VPC路由器可通过公有网络访问云主机的私有网络。
- DHCP：集中式DHCP服务
SecurityGroup（安全组网络服务模块）
提供以下网络服务：
- 安全组：使用iptables进行云主机防火墙的安全控制。

扁平网络实践

生产环境中，一般建议使用以下网络服务的组合：

扁平网络服务模块：
- Userdata：使用cloud-init进行云主机开机加载并执行特定的用户数据，例如ssh-key注入。
- 弹性IP：分布式EIP实现的弹性IP地址，可通过公有网络访问内部私有网络。
- DHCP：分布式DHCP实现的动态获取IP地址。
  说明: DHCP服务包含了DNS的功能。
安全组网络服务模块：
- 安全组：使用iptables进行云主机防火墙的安全控制。

VPC网络实践

生产环境中，一般建议使用以下网络服务的组合：

扁平网络服务模块：
- Userdata：使用cloud-init进行云主机开机加载并执行特定的用户数据，例如ssh-key注入。
- DHCP：分布式DHCP实现的动态获取IP地址。
VPC网络服务模块：
- DNS：使用VPC路由器提供DNS服务。
- SNAT：云主机使用SNAT可以直接访问外部互联网。
- 路由表：通过路由表，用户可管理自定义路由。
- 弹性IP：使用VPC路由器可通过公有网络访问云主机的私有网络。
- 端口转发：提供将指定公有网络的IP地址端口流量转发到云主机对应协议的端口。
- 负载均衡：将虚拟IP地址的访问流量分发到一组后端的云主机上，并自动检测并隔离不可用的云主机。
- IPsec隧道：使用IPsec隧道协议实现虚拟私有网络（VPN）的连接。
安全组网络服务模块：
- 安全组：使用iptables进行云主机防火墙的安全控制。

高级网络服务

动态路由：支持OSPF动态路由协议，用于单一自治系统内决策路由，适用于VPC网络场景。
组播路由：将组播源发送的组播消息转发给云主机，在发送端和接收端实现点对多点连接，适用于VPC网络场景。
VPC防火墙：通过对VPC路由器接口处南北向流量进行过滤，有效保护整个VPC通信安全及VPC路由器安全，适用于VPC网络场景。
端口镜像：将云主机网卡的网络流量复制一份到远端，对端口上的业务报文进行分析，方便对网络数据进行监控管理，适用于扁平/VPC网络场景。
Netflow：通过Netflow对VPC路由器网卡的进出流量进行分析监控，支持Netflow V5、V9两种数据流输出格式，适用于VPC网络场景。

概述

安全组：为云主机网卡提供安全控制，按照指定的安全规则对进出网卡的TCP/UDP/ICMP等数据包进行有效过滤。

功能框架

安全组与安全规则

安全组通过安全规则控制和过滤进出网卡的流量。一个安全组可以添加多条安全规则。根据创建规则可以分为系统规则和自定义规则：

系统规则：安全组内的网卡默认允许相互访问，系统会自动添加相应的出/入方向规则，该规则优先级高于所有自定义规则，且不可修改或删除。如需取消组内互通，可以停用该规则。
自定义规则：用户自定义添加到安全组的规则。

安全规则由作用方向、作用对象、协议&端口、行为、优先级组成

作用方向：安全规则对流量来源或目的进行控制，按控制的流量流向，可分为入方向规则和出方向规则：
- 入方向规则：针对由外部进入网卡的流量，主要控制流量来源。
- 出方向规则：针对由网卡向外发送的流量，主要控制流量目的。
作用对象：安全规则的生效对象，包括源和目的
- 源：与入方向规则对应，支持使用IP地址/段或安全组作为源
  - IP地址/段：允许/拒绝来自该IP地址/段的流量访问组内网卡。
  - 安全组：允许/拒绝另一个安全组内的网卡访问当前安全组内的网卡。
- 目的：与出方向规则对应，支持使用IP地址/段或安全组作为目的
  - IP地址/段：允许/拒绝组内网卡访问该IP地址/段。
  - 安全组：允许/拒绝当前安全组内的网卡访问另一个安全组内的网卡。
协议&端口：规则作用的数据包协议和对应端口：
- - ALL：表示涵盖所有协议类型，此时不能指定端口。
  - TCP：支持1-65535端口。
  - UDP：支持1-65535端口。
  - ICMP：默认起始结束端口均为-1，表示支持全部的ICMP协议。
  示例：
  - 设置入方向规则，协议TCP，源IP段192.168.12.0/24，端口1000，策略允许，表示允许来自192.168.12.0/24网段的流量使用TCP协议访问组内网卡的1000端口
  - 设置出方向规则，协议UDP，目的IP段192.168.12.0/24，端口1000-1001，策略允许，表示允许组内网卡使用UDP协议访问192.168.12.0/24网段的1000和1001端口。
行为：针对满足规则匹配条件的流量所应采取的具体动作，包括允许和拒绝：
- 允许：允许网络请求流量流入或流出网卡。
- 拒绝：不允许网络请求流量流入或流出网卡。
优先级：
- 由于安全组同时支持黑名单和白名单机制，同一源/目的上被设置多条规则时，可能发生冲突。设置优先级后，同一源/目的优先级最高的规则生效。
- 支持的优先级范围：1-100，数值越大，优先级越低。

安全组与网卡

网卡加入安全组后，才会受安全规则的控制。一张网卡可以加入多个安全组。

安全组优先级：
- 网卡加入多个安全组时，可设置安全组优先级，网卡将首先匹配优先级较高的安全组下的规则。
- 所有管理员安全组优先级高于租户/子账户安全组。
其他流量控制策略：作用于未被安全组规定的流量
- 网卡加入安全组后，除安全规则规定外，默认允许其他所有出方向流量，拒绝其他所有入方向流量。
- 用户也可以自定义调整该策略，控制未被安全组规定的流量。

安全组与权限

安全组分为管理员安全组和租户/子账户安全组。通常，管理员安全组由管理员创建、归管理员所有，租户/子账户安全组由租户/子账户创建，归租户/子账户所有。

租户/子账户只能查看和操作自己所有的安全组。
管理员可以查看和管理全部安全组，其中，管理员安全组可以被绑定到任意云主机，租户/子账户安全组只能被绑定到与其所有者一致的云主机。

安全组VS防火墙

防火墙管控南北向流量，作用于整个VPC。安全组作用于云主机虚拟网卡，侧重保护VPC内部东西向通信安全。二者相辅相成，互为补充，具体区别如下：

对比项	安全组	防火墙
作用范围	云主机虚拟网卡	整个VPC网络
部署方式	分布式	集中式
部署位置	云主机	VPC路由器
配置策略	支持允许、拒绝策略	可自定义允许、丢弃或拒绝策略
优先级	自定义优先级顺序	自定义优先级顺序
规则匹配	源IP/安全组、目的IP/安全组、源端口、目的端口、协议	源IP、源端口、目的IP、目的端口、协议、报文状态

注意事项

若使用安全组同时使用其他网络服务（如负载均衡、路由表等），需确保其他网络服务所需要的安全组规则已添加至该安全组中。
公有网络、扁平网络和VPC网络均支持安全组服务，安全组服务均由安全组网络服务模块提供，使用方法均相同：使用iptables进行云主机的安全控制。
安全组实际上是一个分布式防火墙，每次规则变化、加入/删除网卡都会导致多个云主机上的安全组规则被更新。

创建安全组

在ZStack Cloud主菜单，点击资源中心 > 网络服务 > 基础网络服务 > 安全组，进入安全组界面，点击创建安全组，弹出创建安全组界面。

可参考以下示例输入相应内容：

名称：设置安全组名称
简介：可选项，可留空不填
网卡：可选项，选择云主机网卡加入安全组，云主机网卡可在创建安全组时直接添加，也可在创建安全组后添加
入方向规则：可选项，设置外部流量对网卡的访问规则，可在创建安全组时直接设置，也可在创建安全组后添加
出方向规则：可选项，设置网卡的对外访问规则，可在创建安全组时直接设置，也可在创建安全组后添加

添加出/入方向规则时，需设置以下参数：

类型：展示该规则控制的流量流向
优先级：可选项，设置规则的生效优先级，取值范围：1-100范围内的整数。数值越大，优先级越低
说明:
- 如不手动设置，该规则默认排在当前所有已有规则之后。
- 如填写的优先级已被占用，则原占用该优先级的规则将自动向后顺延。例如，设置当前规则优先级为 2，则原优先级为 2 的规则顺延为 3，原优先级为 3 的规则顺延为 4，以此类推。
IP地址类型：选择IP地址类型
协议：选择规则针对的通信协议类型，支持ALL、TCP、UDP、ICMP四种类型
端口：选项TCP或UDP时，需设置规则针对的端口
说明:
- 如需填写一个端口范围，请用起始端口-结束端口的形式表示。
- 如需填写多个端口或端口范围，请用英文逗号“,”隔开，最多可填写10个。
源：添加入方向规则时需设置此项，表示允许/拒绝来自指定IP地址/段或安全组的访问
说明:
- 按IP地址/段指定时，可填写一个IP范围，用起始IP-结束IP的形式表示
- 按IP地址/段指定时，可填写CIDR，如同时填写CIDR和其他类型的IP地址，则CIDR的掩码必须为24位；如只填写CIDR，则无掩码限制。请勿使用0.0.0.0/0或::/0。
- 如需填写多个IP地址/段，请用英文逗号“,”隔开。
目的：添加出方向规则时需设置此项，表示允许/拒绝组内网卡访问指定IP地址或安全组
说明:
- 按IP地址/段指定时，可填写一个IP范围，用起始IP-结束IP的形式表示
- 按IP地址/段指定时，可填写CIDR，如同时填写CIDR和其他类型的IP地址，则CIDR的掩码必须为24位；如只填写CIDR，则无掩码限制。请勿使用0.0.0.0/0或::/0。
- 如需填写多个IP地址/段，请用英文逗号“,”隔开。
启用状态：设置安全组创建完成后是否直接启用该规则，默认为启用；如设置为停用，安全组创建完成后，组内的网卡不会匹配这条规则，直到您手动启用它
简介：可选项，可留空不填

如图 1所示：

升级提醒

若您选择升级至4.0.0及之后版本，请注意以下功能调整：

1. 云路由器全面升级为VPC路由器，云路由网络全面升级为VPC网络，不再单独设云路由器页面。升级全程无感知，相关业务不受任何影响。

2. 企业管理账号体系取代用户组与用户，不再单独设用户/用户组页面，不可再使用用户/用户组账号登录云平台。升级前，请先将“用户组与用户”纳管的账号数据妥善迁移至“企业管理”纳管，再执行升级操作。注意：对于admin创建并具备admin权限的用户账号同步取消，如有需要，可使用企业管理账号体系中的平台管理员实现相同功能。

3. 调整AD/LDAP与账户的对接管理方式，统一由企业管理纳管，不再单独设AD/LDAP页面。升级前，请先将“账户”对接纳管的AD/LDAP账号数据妥善迁移至“企业管理”纳管，再执行升级操作。

如对上述升级提醒有任何疑问或需要升级帮助，请联系ZStack官方技术支持