1.firewall rule
就是一条单独的防火墙规则,一条firewall rule只能添加到一个firewall policy上
2.firewall policy
一组防火墙规则的集合, a set of firewall rules，一个firewall policy可以添加到多个firewall上
3.firewall
一个可以与routers进行绑定的实体，一个router通过绑定一个防火墙实体实现流量过滤，一个防火墙只能绑定一个policy,一个router只能绑定一个防火墙,但一个防火墙可以绑定多个router
借鉴ER图表示这个映射关系：
firewall rule m:1 firewall policy 1 : n firewall 1: k router
4.firewall的理解：
当你添加一条规则时，实际上是在IN和OUT两个方向上添加了规则
比如，我下面要允许虚拟机ping 114.114.114.114
规则添加后，用vimdiff查看iptables-save得到下面的结果
在进出两个方向上都添加了该规则
