跳到主要内容

配置分布式防火墙

概念

分布式防火墙是虚拟化环境中的一种安全解决方案，将防火墙保护单独部署到每台虚拟机或主机。该模式不依赖于集中式防火墙，而是将安全策略直接应用于虚拟机，与其所在的物理主机或虚拟化平台无关。这种方式确保整个基础设施中的安全统一执行，实现精细控制，能够适应动态工作负载，且不受传统网络拓扑的约束。

关于此功能

传统的访问控制机制（例如 ACL 和 vFirewall）依赖于IP 地址、协议（例如 TCP/UDP）和端口号等参数。高级策略可能会扩展到包括 MAC 地址和基于时间的ACL 规则，形成 5 元组策略。对于常见的 Web-App-DB 三层应用架构（其中每层包含 3 或 4 台虚拟机），管理安全策略可能复杂且容易出错。当任何层的虚拟机需要添加、删除或编辑时，必须调整相关的安全规则。IT 团队必须具备扎实的网络专业知识才能编辑这些规则，甚至可能需要重新规划 IP 子网。管理平台的分布式防火墙功能通过实施基于标签的策略来简化安全管理，从而将所需的安全策略数量大幅减少到三条。此方法使 IT 团队可以完全专注于虚拟机通信需求，而不会陷入底层网络配置。通过利用标签进行安全管理，系统会自动适应变更（如添加、删除或编辑虚拟机），无需手动调整现有策略。这在保持强健安全性的同时，大幅提高了运维效率。此外，管理平台的分布式防火墙功能将虚拟机分组到不同的安全域，并为每个安全域提供 L3/L4 流量保护。这确保了即使同一安全域内的虚拟机分布在不同的 CVK 主机上，安全策略也保持一致。因此，管理平台的分布式防火墙功能不仅是一种灵活的安全解决方案，还是应对复杂虚拟化环境中安全挑战的强大工具。管理平台的分布式防火墙功能通过基于标签的安全策略，为虚拟化环境提供了一种高效、易于管理且高度灵活的安全解决方案，使 IT 团队能够更专注于业务需求，而不是复杂的安全设置调整。

优势

与传统的 ACL 和 vFirewall 相比，分布式防火墙功能提供以下优势：

• 简化管理——通过直观的控制简化虚拟机之间的安全策略配置，减少管理开销的同时为用户保持清晰性。

• 零信任执行——具有严格默认拒绝框架的安全策略，确保只有管理员明确授权的流量才能在虚拟机之间流动。未经授权的访问被阻止。

• 自调整策略——响应虚拟机组成员关系变化或标签修改（例如虚拟机迁移或标签更新）动态更新策略，无需手动调整策略。

• 精细控制——在虚拟机、服务或端口级别启用精细的、上下文感知的策略。您可以为单个应用程序需求量身定制策略，最大程度减少攻击面。

限制和指引

• 如果虚拟机同时配置了 vFirewall、ACL、端口镜像、桥接端口镜像和分布式防火墙，则仅分布式防火墙生效。

• 当满足以下条件时，虚拟机的分布式防火墙设置可能在管理平台还原后失效：

○ 您在为该虚拟机配置分布式防火墙设置后执行了管理平台备份。

○ 您在管理平台还原期间编辑了分布式防火墙设置。

在这种情况下，您必须同步设置。

• 使用备份文件或虚拟机快照还原虚拟机后，您必须重新配置该虚拟机的分布式防火墙设置。

• 如果安全策略源或目标对象中的部分虚拟机未能获取 IP 地址，则规则状态将显示为部分生效。当满足以下条件时，规则状态将显示为不生效：

○ 源或目标对象中的所有虚拟机都未能获取 IP 地址。

○ 规则已禁用。

○ 应用了策略的对象中的所有虚拟机都运行在旧版本的CVK 主机上。

• 如果虚拟机有多个 IP 地址且未安装 VMPtools，则管理平台只能获取一个 IP 地址用于通信。作为最佳实践，请在虚拟机上安装 VMPtools 以便管理平台获取所有 IP 地址。

• 在 VLAN 透传场景中，如果虚拟机内的 VLAN 子接口配置了新的 IP 地址，则 VMPtools 无法获取或更新该虚拟机所属虚拟机组中该 VLAN 子接口配置的 IP 地址。

• 作为最佳实践，为防止 NCloud 管理的虚拟机的安全组设置失效，如果您通过 NCloud 平台管理 NSphere，请勿在 NSphere 中使用分布式防火墙功能。

• 如果当前管理平台的不同 CVK 主机上存在多个同名虚拟机，则在您将对象为这些虚拟机的分布式防火墙策略导入到当前管理平台时，该分布式防火墙策略仅应用到最先创建的虚拟机。

• 当多台虚拟机共享同一 MAC 地址时，为一台虚拟机配置安全策略会自动将相同策略应用到其他虚拟机。

• 当分布式防火墙的全局默认策略设置为拒绝时，大量虚拟机和繁重的网络流量可能增加主机上的 CPU 和内存资源消耗。

• 如果管理平台中的主机存在异常，对安全策略、IP 对象组或服务对象组的更改将不会在该主机上生效。请避免在主机故障时删除安全策略。如果必须删除，请等到主机恢复后。

• 如果您在编辑安全策略的应用对象时移除处于异常状态的虚拟机，则完成更改后必须同步已修改的安全策略，以确保虚拟机规则恢复正常状态。

• 在添加或编辑虚拟机之前，请确保已成功部署分布式防火墙规则。您可以在任务控制台中验证。

步骤

  1. 配置 IP 对象组：创建一个或多个 IP 对象组。您可以添加单个 IP、IP 范围或子网。有关更多信息，请参见"IP 对象组"。

  2. 配置服务对象组：创建一个或多个服务对象组。您可以将内置或自定义服务添加到这些组，以定义源虚拟机和目标虚拟机之间流量的协议和端口。有关更多信息，请参见"服务对象组"。

  3. 添加安全策略：创建安全策略，设置其优先级，并选择安全策略将应用到的对象。对象类型包括虚拟机、虚拟机组、标签和端口组。有关更多信息，请参见"安全策略"。

  4. 向安全策略添加规则：选择对象后，为其添加规则。您可以在每条规则中配置优先级、规则名称、源对象、目标对象、服务对象组、动作（放行或拒绝）以及状态（开或关）。

  5. 应用规则并验证设置：确保所有规则都已正确配置并应用到选定的对象。执行入站和出站流量测试，以验证流量是否按照策略中的配置在对象之间传输。

安全策略​

安全策略提供高度灵活且可定制的对象管理和

规则管理解决方案，以满足各种复杂虚拟化环境的需求。您可以执行以下任务：

• 源/目标对象配置——您可以选择多种对象类型，如虚拟机、虚拟机组、标签、端口组和自定义 IP，提供高度灵活性以满足多样化的网络架构需求。

• 优先级管理——您可以根据需要通过移动来调整策略的优先级，确保关键策略优先执行。

• 启用或禁用安全策略——您可以根据需要启用或禁用安全策略。

• 错误消息提示——您可以查看安全策略不生效或部分生效的具体原因，以便快速排除故障。

添加安全策略

  1. 在顶部导航栏上，单击"安全"。

  2. 从左侧导航窗格中，选择"分布式防火墙 > 安全策略"。

  3. 单击"添加"。

  4. 配置安全策略名称和优先级。单击"对象"字段右侧的图标。选择安全策略将应用到的对象。单击"确定"。

    ○ 名称：安全策略的名称。

    ○ 描述：安全策略的描述。

    ○ 优先级：安全策略的优先级，决定在发生冲突时哪个策略优先。

    ○ 对象：安全策略将应用到的对象类型，包括虚拟机、虚拟机组、标签和端口组。默认为全局。

  5. 单击"添加规则"。配置规则名称，并选择源对象、目标对象和服务对象组。将动作设置为放行或拒绝，然后启用或禁用规则。单击"确定"。

    ○ 优先级：指定安全策略中规则的优先级，以确保关键规则的及时执行。

    ○ 名称：输入规则名称以便于管理和识别规则。

    ○ 源：指定规则的源对象。它定义流量的起始位置。对象类型包括虚拟机、虚拟机组、标签、端口组和 IP 组。默认为全局。

    ○ 目标：指定规则的目标对象。它定义流量的目标位置。对象类型包括虚拟机、虚拟机组、标签、端口组和 IP 组。默认为全局。

    ○ 服务：选择服务对象组以定义规则应用到的服务。

    ○ 动作：配置对匹配流量执行的动作。选项为放行和拒绝。

    ○ 启用状态：指定是否启用规则。

  6. （可选）要复制规则，请在该规则的"操作"列中单击"复制"。

  7. （可选）要删除规则，请在该规则的"操作"列中单击"删除"，或选择该规则并单击"删除规则"。

编辑安全策略

  1. 在顶部导航栏上，单击"安全"。

  2. 从左侧导航窗格中，选择"分布式防火墙 > 安全策略"。

  3. 在某个安全策略的"操作"列中单击"编辑"。

  4. 根据需要编辑参数，然后单击"确定"。

导入安全策略

执行此任务以导入从另一个管理平台导出的安全策略信息。

  1. 在顶部导航栏上，单击"安全"。

  2. 从左侧导航窗格中，选择"分布式防火墙 > 安全策略"。

  3. 单击"导入"，选择要导入的安全策略文件，然后单击"确定"。

    ○ 名称：安全策略的名称。

    ○ 描述：安全策略的描述。

    ○ 对象：安全策略将应用到的对象类型，包括虚拟机、虚拟机组、标签和端口组。默认为全局。

    ○ 重名处理：识别导入的安全策略名称是否与现有名称相同。系统自动为重名添加序列号。

导出安全策略

执行此任务以导出管理平台上的所有安全策略。

  1. 在顶部导航栏上，单击"安全"。

  2. 从左侧导航窗格中，选择"分布式防火墙 > 安全策略"。

  3. 要批量导出多个安全策略，请选择一个或多个安全策略，在列表顶部单击"导出"，然后在打开的对话框中单击"确定"。导出的文件将自动下载到您的本地设备。

  4. 要导出单个安全策略，请在某个安全策略的"操作"列中单击"更多"并选择"导出"，然后在打开的对话框中单击"确定"。导出的文件将自动下载到您的本地设备。

调整安全策略的优先级

执行此任务以调整安全策略的优先级。数字越小，优先级越高。

  1. 在顶部导航栏上，单击"安全"。

  2. 从左侧导航窗格中，选择"分布式防火墙 > 安全策略"。

  3. 要批量调整多个安全策略的优先级，请选择一个或多个安全策略，在列表顶部单击"批量操作"并选择"移动到"。在打开的对话框中，选择安全策略的位置，然后单击"确定"。

  4. 要调整单个安全策略的优先级，请在目标安全策略的"操作"列中单击"更多"并根据需要选择"上移"、"下移"或"移动到"。在打开的对话框中，单击"确定"。

复制安全策略

执行此任务以快速复制现有的安全策略并编辑它。新的安全策略的优先级比源策略低一级。

  1. 在顶部导航栏上，单击"安全"。

  2. 从左侧导航窗格中，选择"分布式防火墙 > 安全策略"。

  3. 在某个安全策略的"操作"列中单击"复制"。

  4. 根据需要编辑参数，然后单击"确定"。

同步安全策略

当安全策略的状态为部分生效或不生效时，您可以通过同步安全策略来重新部署设置。

  1. 在顶部导航栏上，单击"安全"。

  2. 从左侧导航窗格中，选择"分布式防火墙 > 安全策略"。

  3. 要批量同步多个安全策略，请选择一个或多个安全策略，在列表顶部单击"批量操作"并选择"同步"，然后在打开的对话框中单击"确定"。

  4. 要同步单个安全策略，请在目标安全策略的"操作"列中单击"更多"并选择"同步"。在打开的对话框中，单击"确定"。

筛选安全策略

执行此任务以设置筛选条件并筛选安全策略。

  1. 在顶部导航栏上，单击"安全"。

  2. 从左侧导航窗格中，选择"分布式防火墙 > 安全策略"。

  3. 在页面顶部设置筛选条件，然后单击"筛选"。要设置更多筛选条件，请单击"更多"。

管理规则

系统允许您管理系统中的安全规则，包括添加、上移或下移、置顶或置底、复制、删除，以及将规则重新定位到其他规则之前或之后。

IP 对象组​

IP 对象组包含特定的 IP 地址、IP 范围或子网，用于识别

网络中的设备。您可以创建 IP 对象组来组织和管理相关设备。您可以将这些 IP 对象组添加到安全策略中，以允许或拒绝特定的网络流量。

添加 IP 对象组

  1. 在顶部导航栏上，单击"安全"。

  2. 从左侧导航窗格中，选择"分布式防火墙 > IP 对象组"。

  3. 单击"添加"。

  4. 配置参数，然后单击"确定"。

    ○ 名称：IP 对象组的名称。

    ○ 描述：IP 对象组的描述。

    ○ IP：指定单个 IP、一个 IP 范围或子网。要指定多个 IP，请使用回车。例如，输入单个 IP 192.168.1.2、IP 范围 192.168.2.3-192.168.2.10 或子网 192.168.1.0/24。

编辑 IP 对象组

  1. 在顶部导航栏上，单击"安全"。

  2. 从左侧导航窗格中，选择"分布式防火墙 > IP 对象组"。

  3. 在某个 IP 对象组的"操作"列中单击"编辑"。

  4. 根据需要配置参数，然后单击"确定"。

    ○ 名称：IP 对象组的名称。

    ○ 描述：IP 对象组的描述。

    ○ IP：指定单个 IP、一个 IP 范围或子网。要指定多个 IP，请使用回车。例如，输入单个 IP 192.168.1.2、IP 范围 192.168.2.3-192.168.2.10 或子网 192.168.1.0/24。

删除 IP 对象组

  1. 在顶部导航栏上，单击"安全"。

  2. 从左侧导航窗格中，选择"分布式防火墙 > IP 对象组"。

  3. 要批量删除 IP 对象组，请选择一个或多个 IP 对象组，在列表顶部单击"删除"，然后在打开的对话框中单击"确定"。

  4. 要删除单个 IP 对象组，请在某个 IP 对象组的"操作"列中单击"删除" ，然后在打开的对话框中单击"确定"。

导入 IP 对象组

执行此任务以导入从另一个管理平台导出的 IP 对象组信息。

  1. 在顶部导航栏上，单击"安全"。

  2. 从左侧导航窗格中，选择"分布式防火墙 > IP 对象组"。

  3. 单击"导入"，选择要导入的 IP 对象组文件，然后单击"确定"。

    ○ 名称：IP 对象组的名称。

    ○ 描述：IP 对象组的描述。

    ○ IP：指定单个 IP、一个 IP 范围或子网。要指定多个 IP，请使用回车。例如，输入单个 IP 192.168.1.2、IP 范围 192.168.2.3-192.168.2.10 或子网 192.168.1.0/24。

    ○ 重名处理：识别导入的 IP 对象组名称是否与现有名称相同。系统自动为重名添加序列号。

导出 IP 对象组

执行此任务以导出管理平台上的 IP 对象组信息。

  1. 在顶部导航栏上，单击"安全"。

  2. 从左侧导航窗格中，选择"分布式防火墙 > IP 对象组"。

  3. 选择一个或多个 IP 对象组，在列表顶部单击"导出"，然后在打开的对话框中单击"确定"。导出的文件将自动下载到您的本地设备。

复制 IP 对象组

  1. 在顶部导航栏上，单击"安全"。

  2. 从左侧导航窗格中，选择"分布式防火墙 > IP 对象组"。

  3. 在某个 IP 对象组的"操作"列中单击"复制"。

服务对象组​

服务对象组提供了一种方便的方式来一起管理多个服务，

以便实现统一且一致的安全策略执行。当需要将相同策略应用到多个服务时，这尤其有用，可确保策略实施的准确性和效率。

添加服务对象组

  1. 在顶部导航栏上，单击"安全"。

  2. 从左侧导航窗格中，选择"分布式防火墙 > 服务对象组"。

  3. 单击"添加"。

  4. 配置服务对象组名称，并选择内置服务或自定义服务。

  5. 要添加自定义服务，请单击"自定义服务"选项卡，然后单击"添加"。配置名称、协议、源端口、目标端口、类型、代码和协议号。要添加多个协议，请单击"添加协议"。单击"确定"。有关更多信息，请参见"参数"。所选服务将显示在右侧的所选服务列表中。

  6. 单击"确定"。

编辑服务对象组

  1. 在顶部导航栏上，单击"安全"。

  2. 从左侧导航窗格中，选择"分布式防火墙 > 服务对象组"。

  3. 在某个服务对象组的"操作"列中单击"编辑"。

  4. 根据需要编辑参数，然后单击"确定"。

删除服务对象组

  1. 在顶部导航栏上，单击"安全"。

  2. 从左侧导航窗格中，选择"分布式防火墙 > 服务对象组"。

  3. 在某个服务对象组的"操作"列中单击"删除"。

  4. 在打开的对话框中，单击"确定"。

导入服务对象组

执行此任务以导入从另一个管理平台导出的服务对象组信息。

  1. 在顶部导航栏上，单击"安全"。

  2. 从左侧导航窗格中，选择"分布式防火墙 > 服务对象组"。

  3. 单击"导入"，选择要导入的服务对象组文件，然后单击"确定"。

导出服务对象组

执行此任务以导出管理平台上的服务对象组信息。

  1. 在顶部导航栏上，单击"安全"。

  2. 从左侧导航窗格中，选择"分布式防火墙 > 服务对象组"。

  3. 选择一个或多个服务对象组，在列表顶部单击"导出"，然后在打开的对话框中单击"确定"。导出的文件将自动下载到您的本地设备。

复制服务对象组

  1. 在顶部导航栏上，单击"安全"。

  2. 从左侧导航窗格中，选择"分布式防火墙 > 服务对象组"。

  3. 在某个服务对象组的"操作"列中单击"复制"。

  4. 根据需要配置参数，然后单击"确定"。

查看服务对象组信息

  1. 在顶部导航栏上，单击"安全"。

  2. 从左侧导航窗格中，选择"分布式防火墙 > 服务对象组"。

  3. 查看管理平台中服务对象组的信息。或者，您可以使用页面顶部的搜索框查找特定服务对象组。

参数

• 名称：为服务对象组指定名称。

• 描述：为服务对象组指定描述。

• 内置服务：选择内置服务，包括 VPN、路由协议、集群、网络协议、文件传输、视频、Web、邮件、认证协议、数据库、连通性、远程登录和日志。

• 自定义服务：添加自定义服务。系统支持添加自定义服务。您可以在自定义服务中配置协议类型、源端口、目标端口和协议号。

• 名称：指定自定义服务名称。