摘要：
1、关于-j 的return说明 1. 从一个CHAIN里可以jump到另一个CHAIN, jump到的那个CHAIN是子CHAIN.2. 从子CHAIN return后，回到触发jump的那条规则，从那条规则的下一条继续匹配.3. 如果return不是在子CHAIN里，而是在main CHAIN， 阅读全文
摘要：
不知不觉，已经总结了13篇iptables文章，这些文章中有一些需要注意的地方。 此处，我们对前文中的一些注意点进行总结，我们可以理解为对"常用套路"的总结。 记住这些套路，能让我们事半功倍。 阅读这篇文章之前，请确定你已经阅读了之前的文章，否则你有可能会不理解为什么要这样做。 1、规则的顺序非常重 阅读全文
摘要：
概述 阅读这篇文章需要站在前文的基础上，如果你在阅读时遇到障碍，请参考之前的文章。 前文中，我们已经了解了如下动作 ACCEPT、DROP、REJECT、LOG 今天，我们来认识几个新动作，它们是： SNAT、DNAT、MASQUERADE、REDIRECT 在认识它们之前，我们先来聊聊NAT，如果 阅读全文
摘要：
前文一直在介绍iptables的匹配条件，并没有对动作进行过总结，那么此处，我们就来总结一下iptables中的动作。 之前的举例中已经用到了一些常用动作，比如ACCEPT、DROP、REJECT等。 其实，"动作"与"匹配条件"一样，也有"基础"与"扩展"之分。 同样，使用扩展动作也需要借助扩展模 阅读全文
摘要：
我们一起来回顾一下之前的知识，在第一篇介绍iptables的文章中，我们就描述过防火墙的概念，我们说过，防火墙从逻辑上讲，可以分为主机防火墙与网络防火墙。 主机防火墙：针对于单个主机进行防护。 网络防火墙： 往往处于网络入口或边缘，针对于网络入口进行防护，服务于防火墙背后的本地局域网。 在前文的举例 阅读全文
摘要：
前文中，我们一直在定义规则，准确的说，我们一直在iptables的默认链中定义规则，那么此处，我们就来了解一下自定义链。 你可能会问，iptables的默认链就已经能够满足我们了，为什么还需要自定义链呢？ 原因如下： 当默认链中的规则非常多时，不方便我们管理。 想象一下，如果INPUT链中存放了20 阅读全文
摘要：
注意：在参照本文进行iptables实验时，请务必在个人的测试机上进行，因为如果iptables规则设置不当，有可能使你无法连接到远程主机中。 前文中一直在强调一个概念：报文在经过iptables的链时，会匹配链中的规则，遇到匹配的规则时，就执行对应的动作，如果链中的规则都无法匹配到当前报文，则使用 阅读全文
摘要：
当我们通过http的url访问某个网站的网页时，客户端向服务端的80端口发起请求，服务端再通过80端口响应我们的请求，于是，作为客户端，我们似乎应该理所应当的放行80端口，以便服务端回应我们的报文可以进入客户端主机，于是，我们在客户端放行了80端口，同理，当我们通过ssh工具远程连接到某台服务器时， 阅读全文
摘要：
前文中总结了iptables的tcp扩展模块，此处，我们来总结一下另外两个跟协议有关的常用的扩展模块，udp扩展与icmp扩展。 udp扩展 我们先来说说udp扩展模块，这个扩展模块中能用的匹配条件比较少，只有两个，就是--sport与--dport，即匹配报文的源端口与目标端口。 没错，tcp模块 阅读全文
摘要：
如果你看过前文，那么你一定知道，前文已经对"tcp扩展模块"做过总结，但是只总结了tcp扩展模块中的"--sport"与"--dport"选项，并没有总结"--tcp-flags"选项，那么此处，我们就来认识一下tcp扩展模块中的"--tcp-flags"。 注：阅读这篇文章之前，需要对tcp协议的 阅读全文
摘要：
iprange扩展模块 之前我们已经总结过，在不使用任何扩展模块的情况下，使用-s选项或者-d选项即可匹配报文的源地址与目标地址，而且在指定IP地址时，可以同时指定多个IP地址，每个IP用"逗号"隔开，但是，-s选项与-d选项并不能一次性的指定一段连续的IP地址范围，如果我们需要指定一段连续的IP地 阅读全文
摘要：
OVS即开放虚拟交换标准，不仅仅是为了支持OpenFlow协议，而是为了给虚拟化平台上运行的虚拟机实例提供一套纯软件实现的路由交换协议栈。具体点说，Open vSwitch是在开源的Apache2.0许可下的产品级质量的多层虚拟交换标准！它旨在通过编程扩展，使庞大的网络自动化（配置、管理、维护），同 阅读全文
摘要：
Neutron 对虚拟三层网络的实现是通过其 L3 Agent （neutron-l3-agent）。该 Agent 利用 Linux IP 栈、route 和 iptables 来实现内网内不同网络内的虚机之间的网络流量，以及虚机和外网之间网络流量的路由和转发。为了在同一个Linux 系统上支持可 阅读全文
摘要：
网络 网络（network）是一个隔离的二层网段，类似于物理网络世界中的虚拟 LAN (VLAN)。更具体来讲，它是为创建它的租户而保留的一个广播域，或者被显式配置为共享网段。端口和子网始终被分配给某个特定的网络。根据网络的类型，Neutron network 可以分为： VLAN networ 阅读全文
摘要：
OpenStack 是直接采用各种开源可用的负载均衡项目来完成负载均衡的任务，默认使用 HAProxy。LBaaSv2 本质来说，其实也是根据用户提出的负载均衡要求，生成符合的HAProxy配置文件并启动 HAProxy，然后由 HAProxy 进行负载均衡。 High Availability P 阅读全文
摘要：
Haproxy的介绍 Haproxy提供高可用性、负载均衡以及基于TCP(第四层)和HTTP（第七层）应用的代理，支持虚拟主机，它是免费、快速并且可靠的一种解决方案。 haproxy特别适用于那些负载特别大的web站点，这些站点通常又需要会话保持或七层处理。haproxy运行在时下的硬件上， 阅读全文
摘要：
Security group通过Linux IPtables来实现，为此，在Compute节点上引入了qbr*这样的Linux传统bridge（iptables规则目前无法加载到直接挂在到ovs的tap设备上） 安全组的INPUT、OUTPUT、FORWARD 其中id的前10位数字被用作虚 阅读全文
摘要：
确切的说这是fwaas，即防火墙即是服务。 防火墙与安全组区别防火墙一般放在网关上，用来隔离子网之间的访问。因此，防火墙即服务也是在网络节点上（具体说来是在路由器命名空间中）来实现。 安全组的对象是虚拟网卡，由L2 Agent来实现，比如neutron_openvswitch_agent 和 neu 阅读全文
摘要：
最近研究了一下Openstack负载均衡，yum源和源码级别的安装都尝试成功了。网上有很多文章都是LoadBalancerv1，这个已经被放弃了。所以写一下自己是如何使用LoadBalancerv2。当然在介绍之前还是从负载均衡基础知识开始吧。（Mitaka版本的LoadBalancerv2） 阅读全文