网络服务

云平台为云主机提供以下网络服务:安全组、虚拟IP、弹性IP、端口转发、负载均衡、防火墙、IPsec隧道、OSPF区域、Netflow、端口镜像、路由表。

支持以下两种网络架构模型:
  • 扁平网络
  • VPC网络

网络服务模块

网络服务模块:用于提供网络服务的模块。在UI界面已隐藏。

主要有以下四种:
  1. VirtualRouter(虚拟路由器网络服务模块,不建议使用)

    提供以下网络服务:DNS、SNAT、负载均衡、端口转发、弹性IP、DHCP

  2. Flat Network Service Provider(扁平网络服务模块)
    提供以下网络服务:
    • Userdata:使用cloud-init进行云主机开机加载并执行特定的用户数据,例如ssh-key注入。
    • 弹性IP:分布式EIP实现的弹性IP地址,可通过公有网络访问内部私有网络。
    • DHCP:分布式DHCP实现动态获取IP地址。
      说明: DHCP服务包含了DNS的功能。
    • VipQos:虚拟IP限速,限制上行及下行带宽。仅作用于弹性IP。
  3. VPC Router(VPC网络服务模块)
    提供以下网络服务:
    • IPsec:使用IPsec隧道协议实现虚拟私有网络(VPN)的连接。
    • VRouterRoute:通过路由表,用户可管理自定义路由。
    • CentralizedDNS:在启用分布式DHCP服务的场景下,提供DNS服务。
    • VipQos:虚拟IP限速,限制上行及下行带宽。
    • DNS:使用VPC路由器提供DNS服务。
    • SNAT:云主机使用SNAT可以直接访问外部互联网。
    • 负载均衡:将虚拟IP地址的访问流量分发到一组后端的云主机上,自动检测并隔离不可用的云主机。
    • 端口转发:提供将指定公有网络的IP地址端口流量转发到云主机对应协议的端口。
    • 弹性IP:使用VPC路由器可通过公有网络访问云主机的私有网络。
    • DHCP:集中式DHCP服务
  4. SecurityGroup(安全组网络服务模块)
    提供以下网络服务:
    • 安全组:使用iptables进行云主机防火墙的安全控制。

扁平网络实践

生产环境中,一般建议使用以下网络服务的组合:
  • 扁平网络服务模块:
    • Userdata:使用cloud-init进行云主机开机加载并执行特定的用户数据,例如ssh-key注入。
    • 弹性IP:分布式EIP实现的弹性IP地址,可通过公有网络访问内部私有网络。
    • DHCP:分布式DHCP实现的动态获取IP地址。
      说明: DHCP服务包含了DNS的功能。
  • 安全组网络服务模块:
    • 安全组:使用iptables进行云主机防火墙的安全控制。

VPC网络实践

生产环境中,一般建议使用以下网络服务的组合:
  • 扁平网络服务模块:
    • Userdata:使用cloud-init进行云主机开机加载并执行特定的用户数据,例如ssh-key注入。
    • DHCP:分布式DHCP实现的动态获取IP地址。
  • VPC网络服务模块:
    • DNS:使用VPC路由器提供DNS服务。
    • SNAT:云主机使用SNAT可以直接访问外部互联网。
    • 路由表:通过路由表,用户可管理自定义路由。
    • 弹性IP:使用VPC路由器可通过公有网络访问云主机的私有网络。
    • 端口转发:提供将指定公有网络的IP地址端口流量转发到云主机对应协议的端口。
    • 负载均衡:将虚拟IP地址的访问流量分发到一组后端的云主机上,并自动检测并隔离不可用的云主机。
    • IPsec隧道:使用IPsec隧道协议实现虚拟私有网络(VPN)的连接。
  • 安全组网络服务模块:
    • 安全组:使用iptables进行云主机防火墙的安全控制。

高级网络服务

  • 动态路由:支持OSPF动态路由协议,用于单一自治系统内决策路由,适用于VPC网络场景。
  • 组播路由:将组播源发送的组播消息转发给云主机,在发送端和接收端实现点对多点连接,适用于VPC网络场景。
  • VPC防火墙:通过对VPC路由器接口处南北向流量进行过滤,有效保护整个VPC通信安全及VPC路由器安全,适用于VPC网络场景。
  • 端口镜像:将云主机网卡的网络流量复制一份到远端,对端口上的业务报文进行分析,方便对网络数据进行监控管理,适用于扁平/VPC网络场景。
  • Netflow:通过Netflow对VPC路由器网卡的进出流量进行分析监控,支持Netflow V5、V9两种数据流输出格式,适用于VPC网络场景。

概述

安全组:为云主机网卡提供安全控制,按照指定的安全规则对进出网卡的TCP/UDP/ICMP等数据包进行有效过滤。

功能特点

安全组与安全规则

安全组主要通过添加的安全规则控制和过滤进出网卡的流量,一个安全组可以添加多条安全规则。
  • 安全规则主要对流量来源或目的进行控制,按控制的流量流向,可分为入方向规则和出方向规则:
    • 入方向规则:针对由外部进入网卡的流量,主要控制流量来源。
    • 出方向规则:针对由网卡向外发送的流量,主要控制流量目的。
  • 出/入方向规则控制的源/目的可以被设置为IP地址/段或安全组:
    • IP地址/段作为源:适用于入方向规则,入方向规则会允许/拒绝来自该IP地址/段的流量访问。
    • 安全组作为源:适用于入方向规则,入方向规则会允许/拒绝来自源安全组内网卡的流量访问。
    • IP地址/段作为目的:适用于出方向规则,出方向规则会允许/拒绝网卡访问该IP地址/段。
    • 安全组作为目的:适用于出方向规则,出方向规则会允许/拒绝当前组内网卡访问目的安全组内的网卡。
  • 同一方向上有多条规则时,可以设置规则生效优先级。

    这是由于安全组同时支持黑名单和白名单机制,同一源/目的上被设置多条规则时,可能发生冲突。设置优先级后,同一源/目的优先级最高的规则生效。

  • 安全组内的网卡默认允许相互访问,系统会自动添加相应的出/入方向规则,该规则优先级高于所有自定义规则,且不可修改或删除。如需取消组内互通,可以停用该规则。

安全组与网卡

安全组需加入网卡后,才会受安全组规则的控制。一张网卡可以加入多个安全组。
  • 网卡加入多个安全组时,可设置安全组优先级,网卡将首先匹配优先级较高的安全组下的规则。
    说明: 所有管理员安全组优先级高于租户/子账户安全组。
  • 网卡加入安全组后,除安全规则规定外,默认允许其他所有出方向流量,拒绝其他所有入方向流量,用户也可以自定义调整该策略,控制未被安全组规定的流量。

安全组与权限

安全组分为管理员安全组和租户/子账户安全组。通常,管理员安全组由管理员创建、归管理员所有,租户/子账户安全组由租户/子账户创建,归租户/子账户所有。
  • 租户/子账户只能查看和操作自己所有的安全组。
  • 管理员可以查看和管理全部安全组,其中,管理员安全组可以被绑定到任意云主机,租户/子账户安全组只能被绑定到与其所有者一致的云主机。

注意事项

  • 若使用安全组同时使用其他网络服务(如负载均衡、路由表等),需确保其他网络服务所需要的安全组规则已添加至该安全组中。
  • 公有网络、扁平网络和VPC网络均支持安全组服务,安全组服务均由安全组网络服务模块提供,使用方法均相同:使用iptables进行云主机的安全控制。
  • 安全组实际上是一个分布式防火墙,每次规则变化、加入/删除网卡都会导致多个云主机上的安全组规则被更新。

创建安全组

ZStack Cloud主菜单,点击资源中心 > 网络服务 > 基础网络服务 > 安全组,进入安全组界面,点击创建安全组,弹出创建安全组界面。

可参考以下示例输入相应内容:
  • 名称:设置安全组名称
  • 简介:可选项,可留空不填
  • 网卡:可选项,选择云主机网卡加入安全组,云主机网卡可在创建安全组时直接添加,也可在创建安全组后添加
  • 入方向规则:可选项,设置外部流量对网卡的访问规则,可在创建安全组时直接设置,也可在创建安全组后添加
  • 出方向规则:可选项,设置网卡的对外访问规则,可在创建安全组时直接设置,也可在创建安全组后添加
添加出/入方向规则时,需设置以下参数:
  • 类型:设置规则控制的流量流向
  • 优先级:可选项,设置规则的生效优先级,取值范围:1-100范围内的整数。数值越大,优先级越低
    说明:
    • 如不手动设置,该规则默认排在当前所有已有规则之后。
    • 如填写的优先级已被占用,则原占用该优先级的规则将自动向后顺延。例如,设置当前规则优先级为 2,则原优先级为 2 的规则顺延为 3,原优先级为 3 的规则顺延为 4,以此类推。
  • IP地址类型:选择IP地址类型
  • 协议:选择规则针对的通信协议类型,支持ALL、TCP、UDP、ICMP四种类型
  • 端口:选项TCP或UDP时,需设置规则针对的端口
    说明:
    • 如需填写一个端口范围,请用起始端口-结束端口的形式表示。
    • 如需填写多个端口或端口范围,请用英文逗号“,”隔开,最多可填写10个。
  • :添加入方向规则时需设置此项,表示允许/拒绝来自指定IP地址/段或安全组的访问
    说明:
    • 按IP地址/段指定时,可填写一个IP范围,用起始IP-结束IP的形式表示
    • 按IP地址/段指定时,可填写CIDR,如同时填写CIDR和其他类型的IP地址,则CIDR的掩码必须为24位;如只填写CIDR,则无掩码限制。
    • 如需填写多个IP地址/段,请用英文逗号“,”隔开。
  • 目的:添加出方向规则时需设置此项,表示允许/拒绝组内网卡访问指定IP地址或安全组
    说明:
    • 按IP地址/段指定时,可填写一个IP范围,用起始IP-结束IP的形式表示
    • 按IP地址/段指定时,可填写CIDR,如同时填写CIDR和其他类型的IP地址,则CIDR的掩码必须为24位;如只填写CIDR,则无掩码限制。
    • 如需填写多个IP地址/段,请用英文逗号“,”隔开。
  • 启用状态:设置安全组创建完成后是否直接启用该规则,默认为启用;如设置为停用,安全组创建完成后,组内的网卡不会匹配这条规则,直到您手动启用它
  • 简介:可选项,可留空不填
图 1所示:
图 1. 创建安全组





































































历史版本

学习路径

ZStack Cloud 产品学习路径

快速梳理文档,点击相应文本链接,快速跳转到相应文档的页面,学习 ZStack Cloud 产品。

我知道了

升级提醒

若您选择升级至4.0.0及之后版本,请注意以下功能调整:

1. 云路由器全面升级为VPC路由器,云路由网络全面升级为VPC网络,不再单独设云路由器页面。升级全程无感知,相关业务不受任何影响。

2. 企业管理账号体系取代用户组与用户,不再单独设用户/用户组页面,不可再使用用户/用户组账号登录云平台。升级前,请先将“用户组与用户”纳管的账号数据妥善迁移至“企业管理”纳管,再执行升级操作。注意:对于admin创建并具备admin权限的用户账号同步取消,如有需要,可使用企业管理账号体系中的平台管理员实现相同功能。

3. 调整AD/LDAP与账户的对接管理方式,统一由企业管理纳管,不再单独设AD/LDAP页面。升级前,请先将“账户”对接纳管的AD/LDAP账号数据妥善迁移至“企业管理”纳管,再执行升级操作。

如对上述升级提醒有任何疑问或需要升级帮助,请联系ZStack官方技术支持

下载ZStack企业版

您已填写过基本信息?点击这里

姓名应该不少于两个字符
手机号格式错误
验证码填写错误 获取短信验证码 60 秒后可重发
公司名称不应该少于4个字符
邮箱格式错误

下载链接将会通过邮件形式发送至您的邮箱,请谨慎填写。

同意 不同意

我已阅读并同意云轴科技 《法律声明》《隐私政策》用户管理规则及公约

下载ZStack企业版

还未填写过基本信息?点击这里

邮箱或手机号码格式错误
同意 不同意

我已阅读并同意云轴科技 《法律声明》《隐私政策》用户管理规则及公约

验证手机号
手机号格式错误
验证码填写错误 获取短信验证码 60 秒后可重发
同意 不同意

我已阅读并同意云轴科技 《法律声明》《隐私政策》用户管理规则及公约

登录观看培训视频
仅对注册用户开放,请 登录 观看培训视频

业务咨询:

400-962-2212 转 1

售后咨询:

400-962-2212 转 2

其他(漏洞提交、投诉举报等)

400-962-2212 转 3
ZStack认证培训咨询
姓名应该不少于两个字符
手机号格式错误
验证码填写错误 获取短信验证码 60 秒后可重发
公司名称不应该少于4个字符
邮箱格式错误

同意 不同意

我已阅读并同意云轴科技 《法律声明》《隐私政策》用户管理规则及公约

业务咨询:

400-962-2212 转 1

ZStack学院:

training@zstack.io
申请ZStack多机版
姓名应该不少于两个字符
手机号格式错误
验证码填写错误 获取短信验证码 60 秒后可重发
公司名称不应该少于4个字符
邮箱格式错误

同意 不同意

我已阅读并同意云轴科技 《法律声明》《隐私政策》用户管理规则及公约

业务咨询:

400-962-2212 转 1

售后咨询:

400-962-2212 转 2

其他(漏洞提交、投诉举报等)

400-962-2212 转 3
立即咨询
姓名应该不少于两个字符
手机号格式错误
验证码填写错误 获取短信验证码 60 秒后可重发
公司名称不应该少于4个字符
邮箱格式错误

同意 不同意

我已阅读并同意云轴科技 《法律声明》《隐私政策》用户管理规则及公约

业务咨询:

400-962-2212 转 1

售后咨询:

400-962-2212 转 2

其他(漏洞提交、投诉举报等)

400-962-2212 转 3
培训认证合作伙伴申请
姓名应该不少于2个字符
手机号格式错误
验证码填写错误 获取短信验证码 60 秒后可重发
邮箱格式错误
城市名称不应该少于2个字符
公司名称不应该少于4个字符
职位名称不应该少于2个字符

同意 不同意

我已阅读并同意云轴科技 《法律声明》《隐私政策》用户管理规则及公约

业务咨询:

400-962-2212 转 1

商务联系:

channel@zstack.io
ZStack&工信人才联合证书申请
已获得ZStack原厂证书
未获得ZStack原厂证书
请填写您的基本信息
姓名应该不少于2个字符
手机号格式错误
验证码填写错误 获取短信验证码 60 秒后可重发
邮箱格式错误
城市名称不应该少于2个字符
公司/学校名称不应该少于4个字符
证书类型
ZCCT
ZCCE
ZCCA
ZCPC-ISP
申请ZStack&工信人才联合证书须支付工本费,是否可以接受
同意 不同意

我已阅读并同意云轴科技 《法律声明》《隐私政策》用户管理规则及公约

业务咨询:

400-962-2212 转 1

商务联系:

channel@zstack.io

下载链接已发送至您的邮箱。

如未收到,请查看您的垃圾邮件、订阅邮件、广告邮件。 当您收到电子邮件后,请点击 URL 链接,以完成下载。

下载链接已发送至您的邮箱。

如未收到,请查看您的垃圾邮件、订阅邮件、广告邮件。
或点击下方URL链接 (IE内核浏览器请右键另存为), 完成下载:

感谢您使用 ZStack 产品和服务。

成功提交申请。

我们将安排工作人员尽快与您取得联系。

感谢您使用 ZStack 产品和服务。

信息提交成功。

我们将安排工作人员尽快与您取得联系,请保持电话畅通。

感谢您使用 ZStack 产品和服务。

预约沟通

联系我们

业务咨询
400-962-2212 转 1
售后咨询
400-962-2212 转 2
其他业务(漏洞提交、投诉举报等)
400-962-2212 转 3

联系我们

回到顶部

产品试用申请
请选择您要试用的产品
ZStack Cloud 企业版
ZStack Cloud 混合云版
ZStack Cloud 基础版
ZStack Cloud 标准版
请填写您的基本信息
姓名应该不少于两个字符
手机号格式错误
验证码填写错误 获取短信验证码 60 秒后可重发
公司名称不应该少于4个字符
邮箱格式错误

商务咨询:

400-962-2212 转 1

售后咨询:

400-962-2212 转 2

商务联系:

sales@zstack.io

成功提交申请。

我们将安排工作人员尽快与您取得联系。

感谢您使用 ZStack 产品和服务。