openstack中iptables的使用

清风听雨

　　openstack中nova使用了iptables实现其网络相关功能，乍看openstack的iptables表比较复杂，整理了一下iptables的filter表和nat表的结构，以一个all in one的openstack的iptables表为例，展示了iptables的filter表和nat表在openstack中的使用。
　　

Filter表
　　
INPUT链结构：
　　


实例：
　　INPUT链：


nova-network-INPUT链:

开放了67和53端口(DHCP 和 DNS端口)。

nova-compute-INPUT链：

开放了67和68端口(Bootps端口和Bootpc端口)

nova-api-INPUT链:


　　
　　开放了nova-metadata的8775端口。



FORWARD链结构：
　　


实例：
　　FORWARD链：

在系统默认的链中添加了4条自定义链。

nova-filter-top链:


nova-network-local链：


nova-compute-local链：

转到各个instance的nova-compute-inst-XXX链。

nova-compute-inst-XXX链：

每个instance的访问控制规则链，由secgroup定义。

nova-compute-provider链：


nova-compute-sg-fallback链：

上述规则都不满足则丢弃。

nova-api-local链：


nova-network-FORWARD链：

实现网关作用。

nova-compute-FORWARD链：


　　
　　开放了67和68端口(Bootps端口和Bootpc端口)

nova-api-FORWARD链：




OUTPUT链结构：
　　



实例：
　　OUTPUT链:

添加了4条自定义链。

nova-filter-top链同上。

nova-network-OUTPUT链：


nova-compute-OUTPUT链：


nova-api-OUTPUT链：





NAT表
PREROUTING链结构：
　　


实例：
　　PREROUTING链：


nova-network-PREROUTING链：

metadate和floating ip的DNAT规则。

nova-compute-PREROUTING链：


nova-api-PREROUTING链：





POSTROUTING链结构：
　　


实例：
　　POSTROUTING链：


nova-network-POSTROUTING链：


nova-compute-POSTROUTING链：


nova-api-POSTROUTING链：


nova-postrouting-bottom链：


nova-network-snat链：

从public_interface出去的包进行SNAT，10.224.148.69是public_interface的ip。


nova-network-float-snat链：

floating ip的SNAT规则。


nova-compute-snat链：


nova-compute-float-snat链：


nova-api-snat链：


nova-api-float-snat链：






OUTPUT链结构：
　　


实例：
　　OUTPUT链：


nova-network-OUTPUT链：

floating ip的DNAT规则。

nova-compute-OUTPUT链：



　　
　　nova-api-OUTPUT链：




Refer:
　　http://www.ibm.com/developerworks/cloud/library/cl-openstack-network/index.html