何使用OVN ACL策略控制虚拟机之间的网络不通和互通

最新推荐文章于 2024-12-16 11:24:21 发布

原创最新推荐文章于 2024-12-16 11:24:21 发布 · 533 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#ovn

虚拟化技术专栏收录该内容

7 篇文章

订阅专栏

本文档描述了如何在两台虚拟机(acl_v1和acl_v2)上通过绑定到交换机acl_sw进行网络访问控制。首先，阻止所有到这两台虚拟机的流量，然后允许特定IP(24.130.26.1和10.67.1.154)与虚拟机通信，并确保它们能够与网关交互。最后，给出了恢复虚拟机间互通的步骤。

1.环境，两台虚拟机(两台虚拟机绑定交换机acl_sw)

acl_v1 内部IP：24.130.26.124 外部ip:10.67.2.34 接口名：mnet2
acl_v2 内部IP：24.130.26.251 外部ip:10.67.2.33 接口名：mnet1

2.虚拟机之间不互通，但虚拟机允许特定IP机器SSH它

#阻止所有到acl_v1、acl_v2的流量
ovn-nbctl acl-add acl_sw to-lport 0 'outport == "mnet2" && ip' drop
ovn-nbctl acl-add acl_sw to-lport 0 'outport == "mnet1" && ip' drop


#允许与网关通信（out-lr路由器连到acl_sw交换机上的网卡接口ip）

ovn-nbctl acl-add acl_sw to-lport 1000 'outport == "mnet2" && ip4.src == 24.130.26.1/32' allow-related
ovn-nbctl acl-add acl_sw to-lport 1000 'outport == "mnet1" && ip4.src == 24.130.26.1/32' allow-related


#只允许10.67.1.154 可以访问
ovn-nbctl acl-add acl_sw to-lport 1000 'outport == "mnet2" && ip4.src == 10.67.1.154/32' allow-related
ovn-nbctl acl-add acl_sw to-lport 1000 'outport == "mnet1" && ip4.src == 10.67.1.154/32' allow-related

3.还原，虚拟机之间可以互通