OpenStack网络指南（7）防火墙即服务（Firewall-as-a-service）

Firewall-as-a-Service（FWaaS）插件将防火墙应用于OpenStack对象，如项目，路由器和路由器端口。
OpenStack防火墙的核心概念是防火墙策略和防火墙规则的概念。 策略是有序的规则集合。 规则指定构成匹配标准的属性（例如端口范围，协议和IP地址）的集合，以及对匹配的流量采取（允许或拒绝）的操作。 策略可以公开，因此可以跨项目共享。
防火墙以各种方式实现，具体取决于所使用的驱动程序。 例如，iptables驱动程序使用iptable规则来实现防火墙。 OpenVSwitch驱动程序使用流表中的流条目来实现防火墙规则。 Cisco防火墙驱动程序操作NSX设备。

FWaaS v1

原来的FWaaS实现v1，为路由器提供保护。 当防火墙应用于路由器时，所有内部端口都受到保护。
下图描述了FWaaS v1保护。 它说明了VM2实例的入口和出口流量：

FWaaS v2

较新的FWaaS实现v2，提供了更精细的服务。 防火墙的概念已被防火墙组替代，以指示防火墙由两个策略组成：入口策略和出口策略。 防火墙组不应用于路由器级别（路由器上的所有端口），而是应用于端口级别。 目前，可以指定路由器端口。 对于Ocata，还可以指定VM端口。

FWaaS v1 versus v2