防火墙防火墙哪个好
防火墙哪个好 时间:2021-05-02 阅读:(
)
www.
zstack.
ioZStack技术白皮书精选安全组和云防火墙的区别扫一扫二维码,获取更多技术干货吧www.
zstack.
io安全组和云防火墙的区别前言熟悉云平台的朋友可能都会注意到这样一个事情:无论公有云还是私有云,创建虚拟机的时候都需要选择安全组,来对虚拟机进行安全防护;有的云平台在VPC里,还能选择防火墙,ZStack在3.
6版本也发布了VPC防火墙功能.
可能有的朋友会有疑惑,防火墙和安全组到底有什么区别有了安全组,是否可以不需要防火墙了他们是相互替代关系吗本文将会给大家做一个详细介绍,剖析防火墙和安全组的异同以及各自的应用场景.
1.
安全组安全组在网络服务中,在管理界面上选择网络服务->安全组,到安全组的配置界面进行安全组配置.
www.
zstack.
io输入安全组名称,然后选择网络、配置规则、加载虚拟机网卡.
安全组作用于虚拟机的虚拟网卡上,给虚拟机提供三层网络的访问控制,支持入方向、出方向的过滤;控制TCP/UDP/ICMP等协议进行有效过滤;也可以直接匹配所有协议;可以根据数据包的源IP进行过滤.
安全组实际上可以看成是一个分布式的访问控制,扁平网络和VPC网络均支持安全组.
如果需要将更多的虚拟机加入安全组,则可以动态在安全组中添加虚拟机网卡,每次规则的更新,也会动态的添加/删除安全组规则,安全组中的所有虚拟机同步更新规则.
安全组中包含了一系列的访问控制规则,属于白名单机制,只有在白名单中的数据才允许通过.
安全组可以加载一个或多个三层网络,虚拟机挂载到三层网络的网卡可以加入这些安全组.
一个虚拟机的网卡可以加入多个安全组,安全组的规则会合并在一起并应用到该网卡上;也就是说,作用到虚拟机网卡上的规则是所有安全组的并集.
www.
zstack.
io2防火墙防火墙在网络资源中,在管理界面上选择网络资源->VPC防火墙,到防火墙的配置界面进行防火墙配置输入防火墙名称,然后选择VPC路由器,这样就将VPC路由器变成了一台防火墙.
为VPC路由器配置防火墙以后,会自动创建入方向的规则集,规则允许new、related、established状态的报文以及ICMP报文通过,默认动作为拒绝.
防火墙中有如下几个概念:规则集:是访问控制规则的集合,包含了一系列的规则,具体作用到VPC路由器的每个网卡的出入方向,包含对数据包处理的默认行为接受、拒绝或者丢弃.
规则:访问控制策略,支持3-4层的过滤;支持配置优先级,优先级越大,生效越早.
www.
zstack.
io防火墙作用在VPC路由器上,属于集中式的VPC边缘设备,为整个VPC提供访问控制.
防火墙的配置也是动态生效的,即时的配置会马上作用到VPC路由器接口;接口每个方向只能应用一个规则集.
因此,接口每个方向上的策略是规则集中的所有规则,每个规则可以自定义行为,设置接受、拒绝或者丢弃.
数据包进入防火墙时,根据规则集的规则优先级进行逐条匹配,如果匹配上了,则执行规则的行为;如果没有匹配上,则执行规则集的默认行为.
防火墙可以针对不同报文状态来进行过滤,如new、established、invalid、related;也可以针对常见的协议,如TCP、UDP、VRRP、ICMP等.
同时,如果协议是TCP或者ICMP,防火墙提供了更加细粒度的过滤规则,能够针对ICMP的类型、TCP的flag进行匹配,进一步细化策略,满足更多的使用场景.
3安全组和防火墙对比从前面的介绍,咱们来对安全组和防火墙做一个对比小结,如下图从作用范围来看,安全组作用于虚拟机网卡,而防火墙则是在VPC路由器上,保护整个VPC;安全组是分布式部署的,在每个计算节点上都会存在,而防火墙是集中式,把VPC路由器变成了防火墙;安全组是白名单机制,仅支持允许策略,防火墙可以自定义规则行为是允许还是拒绝;安全组规则根据配置顺序来定优先级,防火墙则可以自定义优先级;安全组规则的匹配内容包括源IP、源端口、协议,防火墙则包括五元组以及TCPflag、ICMPType、报文状态.
www.
zstack.
io从上面的分析可以看到,防火墙的功能是更为强大的,但可能有朋友要问了,这些都是属于包过滤的功能,安全组同样可以做,这和防火墙是否有功能上的重复诚然,防火墙的功能主要是包过滤,但后续可以加入更多的功能.
从流量的角度再来看下,访问VPC内部虚拟机的流量到公有网络后,先经过VPC路由器,也就是防火墙,然后是VPC网络,再到虚拟机端口上,经过安全组过滤最后发给虚拟机.
可以看到,防火墙是在安全组之前生效的.
打一个比方,把VPC看做是企业IT环境,虚拟机就是PC机或者服务器,安全组就好比PC机的软件防火墙,VPC路由器就是企业出口设备.
对于企业来说,出口肯定是需要硬件防火墙设备来做防护的,保证内部环境的安全,不可能只靠PC机的软件防火墙;对于VPC来说也是同样的道理,VPC使用防火墙,在更靠近威胁源的地方,将流量阻断,保证了VPC内部通信的安全,同时也保证了VPC路由器的安全.
如果VPC路由器没有防火墙功能,那危险流量过来后,VPC路由器就直接被攻破,后端连接的所有VPC网络全部通信中断,安全组其实根本没能发挥出应有的作用.
由此可以看到,VPC路由器是VPC的入口,在入口部署防火墙进行统一的策略防护,是最好的安全手段.
从配置的角度来看,安全组是作用于虚拟机网卡的,如果虚拟机数量非常多,那么就需要再一个个将虚拟机选择出来加入安全组,过程复杂且繁琐;而用防火墙就方便的多,直接几条策略即可,防护整个网段.
当然,防火墙也有无法触及之处,防火墙作为VPC网络的网关,主要对南北向流量进行过滤,同一个VPC网络中的虚拟机通信没有办法做控制,这个时候就需要依靠安全组了.
www.
zstack.
io4总结从上面的分析咱们可以看到,防火墙主要是做南北向的访问控制,作用范围是整个VPC,安全组主要是做东西向的访问控制,作用范围是虚拟机网卡,和防火墙形成互补的关系.
当然,安全组也是可以做南北向的访问控制的,从安全的角度来看,在离威胁源更近的地方进行防护是更好的方式,所以南北向交给防火墙来做,安全组作为防火墙的补充,是云主机安全的最后防线.
安全组和防火墙不是两者只取其一的关系,他们是相辅相成的,两者有机结合,才能够更好的做云主机的安全防护.
RAKsmart 商家从原本只有专注于独立服务器后看到产品线比较单薄,后来陆续有增加站群服务器、高防服务器、VPS主机,以及现在也有在新增云服务器、裸机云服务器等等。机房也有增加到拥有洛杉矶、圣何塞、日本、韩国、中国香港等多个机房。在年前也有介绍到RAKsmart商家有提供年付129元的云服务器套餐,年后我们看到居然再次刷新年付云服务器低价格。我们看到云服务器低至年79元,如果有需要便宜云服务器的...
ucloud美国云服务器怎么样?ucloud是国内知名云计算品牌服务商家,目前推出全球多地机房的海外云服务器。UCloud主打的优势是海外多机房,目前正在进行的2021全球大促活动参与促销的云服务器机房就多达18个。UCloud新一代旗舰产品快杰云服务器已上线洛杉矶节点,覆盖北美和亚太地区,火热促销中, 首月低至7元,轻松体验具备优秀性能与极高性价比的快杰云服务器。点击进入:ucloud美国洛杉矶...
legionbox怎么样?legionbox是一家来自于澳大利亚的主机销售商,成立时间在2014年,属于比较老牌商家。主要提供VPS和独立服务器产品,数据中心包括美国洛杉矶、瑞士、德国和俄罗斯。其中VPS采用KVM和Xen架构虚拟技术,硬盘分机械硬盘和固态硬盘,系统支持Windows。当前商家有几款大硬盘的独立服务器,可选美国、德国和瑞士机房,有兴趣的可以看一下,付款方式有PAYPAL、BTC等。...
防火墙哪个好为你推荐
可扩展、自动化、安全和开放式软件定义网络,为全数支持ipad支持ipadyw372:Com怎么把www.jiayw.com 家园影院的电影下载到本地!!宜人贷官网宜信信用贷款上征信吗pintang俏品堂是干什么的?很多论坛都有他们的踪迹。瑞东集团请问富源集团到底是一个怎么样的集团?oa办公软件价格一套OA办公系统多少钱灌水机什么是论坛灌水机?在哪里可以下载到呢?账号通网易手机账号通密码忘了怎么办
双线虚拟主机 广州主机租用 hostigation technetcal 商家促销 网盘申请 本网站在美国维护 河南移动邮件系统 北京双线 中国网通测速 微软服务器操作系统 流媒体加速 超级服务器 最漂亮的qq空间 创建邮箱 域名与空间 金主 SmartAXMT800 2016黑色星期五 blaze 更多