OpenKeel : la solution Cloud souveraine, française à portée européenne du groupe inherent Découvrir inherent
Composants · Réseau
Firewall groups, policies et rules (FWaaS v2).
OpenKeel implementation in Go of OpenStack neutron-fwaas (neutron-fwaas-api), generated from the reverse-specification of branch stable/2026.2 by the generate-go-from-spec skill. It serves the FWaaS v2 API (/v2.0/fwaas) and programs firewall groups as OVN Port_Groups and stateless ACLs, replacing the firewall_v2 service plugin and its OVN driver: same routes, status codes, error bodies and policies, same NB rows. It runs beside openkeel-neutron, on its database and its OVN; clients reach it through a proxy in openkeel-neutron: see docs/NEUTRON-INTEGRATION.md. What is reproduced and what differs is in docs/CONFORMANCE.md; the security checklist is in docs/SECURITY.md.
github.com/openkeel/openkeel-neutron-fwaasneutron-fwaas-api (API on port 9696, health and metrics on 9090)Extrait de openkeel-neutron-fwaas/README.md (en anglais).
23 opérations de l'API REST d'origine (routes et actions de corps), et leur état dans OpenKeel.
Les tests FWaaS Python réenregistrés sont rejoués contre le service Go, et le pilote OVN est comparé étape par étape avec le vrai pilote Python sur un vrai Northbound.
691 échanges de 135 tests Python, réenregistrés avec l'identité de chaque requête, donnent les mêmes réponses.
make e2e-strict, sur go-mysql-server et sur MariaDB 11.4.
Dernier résultat 689 / 691 (2026-10-31) ; les 2 différences sont un chemin hors de l'extension, 404 dans les deux cas.
Source : openkeel-neutron-fwaas/docs/CONFORMANCE.md
Les mêmes étapes donnent le même statut, le même statut de groupe et chaque colonne des lignes Port_Group et ACL que neutron-fwaas avec ovsdbapp.
make ovn-test, test/ovn/differential, sur un vrai Northbound.
Dernier résultat 47 / 47 étapes identiques (2026-10-31).
Source : openkeel-neutron-fwaas/docs/CONFORMANCE.md
Les ACL correspondent à la fonction d'origine octet pour octet ; convertisseurs et validateurs correspondent au vrai neutron-lib.
internal/ovnfw/acl_test.go ; tools/gen_validator_vectors.py et internal/fwaas/attrs_test.go.
Dernier résultat 935 / 935 vecteurs ACL ; 97 / 97 vecteurs de validateurs (2026-10-31).
Source : openkeel-neutron-fwaas/docs/CONFORMANCE.md
Quotas, insertion de règles, groupes par défaut et ports tiennent sur trois nœuds.
test/galera sur un cluster à 3 nœuds, écritures de quota et insert_rule via un seul nœud.
Dernier résultat 4 tests réussis, 3 exécutions sur 3. Constat ouvert : en lecture-modification-écriture multi-nœuds, des mises à jour sont perdues dans 3 % à 18 % des exécutions.
Source : openkeel-neutron-fwaas/docs/CONFORMANCE.md
Jeton, extension, groupe de pare-feu ACTIVE, ACL dans le Northbound, corps d'erreur et nettoyage, le tout via l'endpoint de Neutron.
okadm install --mode lab --components neutron-fwaas sur kind.
Dernier résultat Réussi (2026-10-31) ; le lab n'a pas de plan de données, aucun paquet n'a été filtré.
Source : openkeel-neutron-fwaas/docs/CONFORMANCE.md
Les tests d'API et de scénario FWaaS amont.
Nécessite un cloud avec un plan de données.
Dernier résultat Non exécuté.
Source : openkeel-neutron-fwaas/docs/CONFORMANCE.md
FWaaS v2 conserve son API sur le seul driver OVN : le chemin d'agent avec iptables, conntrack et NFLOG, le chargeur de plugins et l'outil de synchronisation manuelle disparaissent.
Repris par OVN
Les règles de pare-feu sont des ACL et Port_Groups OVN écrits par le service ; les extensions des agents L2 et L3 et leurs topics RPC sont inutiles avec OVN.
Les groupes de pare-feu s'appliquent aux ports de routeur comme avec le driver OVN de Python ; les ports de VM y sont aussi refusés (409). La journalisation réseau NFLOG n'est pas disponible.
Source : openkeel-neutron-fwaas/docs/CONFORMANCE.md
Une boucle de réconciliation (300 s, une seule réplique grâce à un verrou OVSDB) supprime les ACL obsolètes et recrée celles qui manquent.
OVN converge sans action de l'opérateur ; l'API est inchangée.
Source : openkeel-neutron-fwaas/docs/CONFORMANCE.md
Repris par Kubernetes Deployments
FWaaS est un Deployment à part ; openkeel-neutron lui relaie /v2.0/fwaas et annonce fwaas_v2.
Les clients appellent le même endpoint Neutron et les mêmes chemins.
Source : openkeel-neutron-fwaas/config/dropped-options.md
Seul ce qui a été écarté par choix de conception figure ici ; le travail pas encore fait se trouve dans les Known gaps du docs/CONFORMANCE.md du module. Tous les modules
Vue « service » générée par la skill diagramme depuis le modèle d'OpenKeel.
Plein écran| De | Vers | Protocole | Quoi |
|---|---|---|---|
| Neutron server | Neutron FWaaS | API REST | proxy /v2.0/fwaas/*, same token |
| Neutron FWaaS | OVN Northbound DB | OVSDB | pg_* Port_Groups, stateless ACLs |
Branche stable-2026.2 · 8 fichiers
Lire la reverse-specRéseaux, sous-réseaux, ports, routeurs et groupes de sécurité écrits dans la base OVN Northbound ; IPv4 et IPv6.
API Octavia v2 servie par neutron-api ; load balancers OVN, actifs par défaut.
VPN IPsec site à site : IKE, policies IPsec, connexions.
Annonce en BGP les IP de VMs et les IP flottantes joignables par le nœud.