9.4. 为安全组配置防火墙

DataPlane 接口在有状态防火墙中需要高性能。要保护这些接口，请考虑将电信级防火墙部署为虚拟网络功能(VNF)。

要在 ML2/OVS 部署中配置 control plane 接口，将 NeutronOVSFirewallDriver 参数设置为 openvswitch。要使用基于流的 OVS 防火墙驱动程序，修改 parameter_defaults 下的 network-environment.yaml 文件。在 OVN 部署中，您可以使用访问控制列表(ACL)实施安全组。

您不能将 OVS 防火墙驱动程序用于 HW 卸载，因为卸载路径不支持流跟踪属性。

例如：

parameter_defaults:
  NeutronOVSFirewallDriver: openvswitch

使用 openstack port set 命令，为 dataplane 接口禁用 OVS 防火墙驱动程序。

例如：

openstack port set --no-security-group  --disable-port-security ${PORT}