<div style="line-height:1.7;color:#000000;font-size:14px;font-family:Arial"><span style="font-size: 13.63636302948px; line-height: 21.6363620758057px;">As I know there is no a way to disable default security groups, but I think this BP can solve this problem:</span><br>https://blueprints.launchpad.net/neutron/+spec/default-rules-for-default-security-group<br><br><div></div><div id="divNeteaseMailCard"></div><br>ÔÚ 2014-09-17 07:44:42£¬"Aaron Rosen" <aaronorosen@gmail.com> Ð´µÀ£º<br> <blockquote id="isReplyContent" style="PADDING-LEFT: 1ex; MARGIN: 0px 0px 0px 0.8ex; BORDER-LEFT: #ccc 1px solid"><div dir="ltr">Hi, <div><br></div><div>Inline: </div><div class="gmail_extra"><br><div class="gmail_quote">On Tue, Sep 16, 2014 at 1:00 AM, Fawad Khaliq <span dir="ltr"><<a href="mailto:fawad@plumgrid.com" target="_blank">fawad@plumgrid.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr"><div>Folks,</div><div><br></div><div>I have had discussions with some folks individually about this but I would like bring this to a broader audience.</div><div><br></div><div>I have been playing with security groups and I see the notion of 'default' security group seems to create some nuisance/issues.</div><div><br></div><div>There are list of things I have noticed so far:</div><div><ul><li>Tenant for OpenStack services (normally named service/services) also ends up having default security group. </li><li>Port create operation ends up ensuring default security groups for all the tenants as this completely seems out of the context of the tenant the port operation takes place. (bug?) </li><li>Race conditions where if system is stressed and Neutron tries to ensure the first default security group and in parallel another call comes, Neutron ends up trying to create multiple default security groups as the checks for duplicate groups are invalidated as soon as the call make past a certain point in code.<br></li></ul></div></div></blockquote><div>Right this is a bug. We should catch this foreign key constraint exception here and pass as the default security group was already created. We do something similar here when ports are created as there is a similar race for ip_allocation. </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr"><div><ul><li><br></li><li>API performance where orchestration chooses to spawn 1000 tenants and we see unnecessary overhead </li></ul></div></div></blockquote><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr"><div><ul><li>For plugins that use RESTful proxy backends require the backend systems to be up at the time neutron starts. [Minor, but affects some packaging solutions]</li></ul></div></div></blockquote><div><br></div><div>This is probably always a requirement for neutron to work so I don't think it's related. </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr"><div><br></div><div>To summarize, is there a way to disable default security groups? Expected answer is no; can we introduce a way to disable it? If that does not make sense, should we go ahead and fix the issues around it? </div></div></blockquote><div><br></div><div>I think we should fix these bugs you pointed out.  </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr"><div><br></div><div>I am sure some of you must have seen some of these issues and solved them already. Please do share how do tackle these issues?</div><div><br></div>Thanks,<br clear="all"><div><div dir="ltr">Fawad Khaliq<div><br></div></div></div>
</div>
<br>_______________________________________________<br>
OpenStack-dev mailing list<br>
<a href="mailto:OpenStack-dev@lists.openstack.org">OpenStack-dev@lists.openstack.org</a><br>
<a href="http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev" target="_blank">http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev</a><br>
<br></blockquote></div><br></div></div>
</blockquote></div><br><br><span title="neteasefooter"><span id="netease_mail_footer"></span></span>