OVH平台Openstack安全组配额超限及流量管控方案咨询

1. OVH的安全组确实存在如此严格的限制吗？ #

是的，OVH公有云的OpenStack安全组默认配额为0是普遍设定，且多数情况下申请扩容会被拒绝。这并非技术限制，而是OVH的产品策略：他们主推自研的Edge Firewall、VPC Network ACL等网络管控工具，OpenStack安全组并非其核心推荐方案，因此默认关闭了该配额。

2. 如何在OVH上管控服务器的流量（主要是来自互联网的）？ #

• Edge Firewall：虽然无法通过OpenStack API直接管控，但可以通过OVH官方API或Terraform的OVH Provider进行配置，比如用Terraform的ovh_ip_firewall_rule资源定义入站/出站规则，覆盖互联网流量的管控需求。
• 服务器本地防火墙：在实例内部配置iptables、ufw或firewalld等工具，实现细粒度的流量控制，作为Edge Firewall的补充。
• VPC Network ACL：如果服务器部署在OVH VPC内，可以通过子网级别的Network ACL规则，管控进入子网的互联网流量（需结合VPC的网关配置）。

3. 在AWS/Azure中使用安全组管控服务间流量，OVH的推荐方案是什么？ #

OVH推荐以下方案替代AWS/Azure的安全组：

• VPC Network ACL：类似AWS的网络ACL，基于子网维度设置允许/拒绝规则，可管控子网间、子网与互联网、子网与其他服务（如负载均衡、数据库）的流量，支持双向规则配置。
• 服务器本地防火墙：对于单台实例或特定服务的细粒度访问控制，直接在服务器内部配置防火墙规则，实现服务间的流量隔离。
• 针对负载均衡相关的服务间流量，OVH Load Balancer服务自带规则配置功能，可直接在控制台或通过OVH API设置转发规则和访问控制，结合Edge Firewall完成端到端的流量管控。

内容的提问来源于stack exchange，提问作者gusto2