文档章节

分析 OVS 如何实现 vlan 隔离 - 每天5分钟玩转 OpenStack(140)

CloudMAN
 CloudMAN
发布于 2017/01/20 06:30
字数 913
阅读 196
收藏 5

上一节我们完成了 OVS vlan 环境的搭建,当前拓扑结构如下:

cirros-vm1 位于控制节点,属于 vlan100。
cirros-vm2 位于计算节点,属于 vlan100。
cirros-vm3 位于计算节点,属于 vlan101。

今天详细分析 OVS 如何实现 vlan100 和 vlan101 的隔离。
与 Linux Bridge driver 不同,Open vSwitch driver 并不通过 eth1.100, eth1.101 等 VLAN interface 来隔离不同的 VLAN。所有的 instance 都连接到同一个网桥 br-int,Open vSwitch 通过 flow rule(流规则)来指定如何对进出 br-int 的数据进行转发,进而实现 vlan 之间的隔离

具体来说:当数据进出 br-int 时,flow rule 可以修改、添加或者剥掉数据包的 VLAN tag,Neutron 负责创建这些 flow rule 并将它们配置到 br-int,br-eth1 等 Open vSwitch 上。

下面我们就来研究一下当前的 flow rule。

查看 flow rule 的命令是 ovs-ofctl dump-flow <bridge>
首先查看计算节点 br-eth1 的 flow rule:

br-eth1 上配置了四条 rule,每条 rule 有不少属性,其中比较重要的属性有:

priority
rule 的优先级,值越大优先级越高。Open vSwitch 会按照优先级从高到低应用规则。

in_port
inbound 端口编号,每个 port 在 Open vSwitch 中会有一个内部的编号。
可以通过命令 ovs-ofctl show <bridge> 查看 port 编号。
比如 br-eth1:

eth1 编号为 1;phy-br-eth1 编号为 2。

dl_vlan
数据包原始的 VLAN ID。

actions
对数据包进行的操作。

br-eth1 跟 VLAN 相关的 flow rule 是前面两条,下面我们来详细分析。
清晰起见,我们只保留重要的信息,如下:

priority=4,in_port=2,dl_vlan=1 actions=mod_vlan_vid:100,NORMAL priority=4,in_port=2,dl_vlan=5 actions=mod_vlan_vid:101,NORMAL

第一条的含义是:
从 br-eth1 的端口 phy-br-eth1(in_port=2)接收进来的包,如果 VLAN ID 是 1(dl_vlan=1),那么需要将 VLAN ID 改为 100(actions=mod_vlan_vid:100)

从上面的网络结构我们可知,phy-br-eth1 连接的是 br-int,phy-br-eth1 的 inbound 包实际上就是 instance 通过 br-int 发送给物理网卡的数据。

那么怎么理解将 VLAN ID 1 改为 VLAN ID 100 呢?
请看下面计算节点 ovs-vsctl show 的输出:

br-int 通过 tag 隔离不同的 port,这个 tag 可以看成内部的 VLAN ID。
从 qvo4139d09b-30(对应 cirros-vm2,vlan100)进入的数据包会被打上 1 的 VLAN tag。
从 qvo98582dc9-db(对应 cirros-vm3,vlan101)进入的数据包会被打上 5 的 VLAN tag。

因为 br-int 中的 VLAN ID 跟物理网络中的 VLAN ID 并不相同,所以当 br-eth1 接收到 br-int 发来的数据包时,需要对 VLAN 进行转换。Neutron 负责维护 VLAN ID 的对应关系,并将转换规则配置在 flow rule 中。

理解了 br-eth1 的 flow rule,我们再来分析 br-int 的 flow rule。

最关键的是下面两条:

priority=3,inport=1,dl_vlan=100 actions=mod_vlan_vid:1,NORMAL priority=3,inport=1,dl_vlan=101 actions=mod_vlan_vid:5,NORMAL

port 1 为 int-br-eth1,那么这两条规则的含义就应该是:
1. 从物理网卡接收进来的数据包,如果 VLAN 为 100,则改为内部 VLAN 1。
2. 从物理网卡接收进来的数据包,如果 VLAN 为 101,则将为内部 VLAN 5。

简单的说,数据包在物理网络中通过 VLAN 100 和 VLAN 101 隔离,在计算节点 OVS br-int 中则是通过内部 VLAN 1 和 VLAN 5 隔离。

控制节点的 flow rule 非常类似,留给大家分析。

到这里,我们已经完成了 Neutron OVS vlan 的学习,下节开讨论 OVS 环境下的路由。 

© 著作权归作者所有

CloudMAN
粉丝 536
博文 360
码字总数 221704
作品 0
海淀
私信 提问
Openstack中vlan的问题

@CloudMAN 你好,想跟你请教个问题: 老师好,又要麻烦您了。我按照您的《每天5分钟玩转openstack》在虚拟机上使用vlan网络,instance能分配到IP,但获取不到。在物理机上需要配置相应网卡的...

zwpimm
2018/06/09
475
2
查看 Secret - 每天5分钟玩转 Docker 容器技术(156)

可以通过 查看存在的 secret。 显示有两个数据条目, 查看条目的 Key: 如果还想查看 Value,可以用 : 然后通过 base64 将 Value 反编码: 下节学习如何在 Pod 中使用 Secret。 书籍: 1.《...

cloudman6
2018/04/17
0
0
OpenStack Neutron初探

1.什么是OpenStack OpenStack是一个开源的IAAS(基础设施即服务)云计算平台,让任何人都可以自行建立和提供云端运算服务,具体可以从devstack脚本开始熟悉他。OpenStack由一系列相互关联的项...

墨痕hz
2018/06/06
0
0
30 个 Openstack 经典面试问题和解答

现在,大多数公司都试图将它们的 IT 基础设施和电信设施迁移到私有云, 如 OpenStack。如果你打算面试 OpenStack 管理员这个岗位,那么下面列出的这些面试问题可能会帮助你通过面试。 Q:1 说...

作者: Pradeep Kumar
2018/12/09
0
0
Network Policy - 每天5分钟玩转 Docker 容器技术(171)

Network Policy 是 Kubernetes 的一种资源。Network Policy 通过 Label 选择 Pod,并指定其他 Pod 或外界如何与这些 Pod 通信。 默认情况下,所有 Pod 是非隔离的,即任何来源的网络流量都能...

cloudman6
2018/05/22
0
0

没有更多内容

加载失败,请刷新页面

加载更多

Mybatis Plus删除

/** @author beth @data 2019-10-17 00:30 */ @RunWith(SpringRunner.class) @SpringBootTest public class DeleteTest { @Autowired private UserInfoMapper userInfoMapper; /** 根据id删除......

一个yuanbeth
今天
4
0
总结

一、设计模式 简单工厂:一个简单而且比较杂的工厂,可以创建任何对象给你 复杂工厂:先创建一种基础类型的工厂接口,然后各自集成实现这个接口,但是每个工厂都是这个基础类的扩展分类,spr...

BobwithB
今天
5
0
java内存模型

前言 Java作为一种面向对象的,跨平台语言,其对象、内存等一直是比较难的知识点。而且很多概念的名称看起来又那么相似,很多人会傻傻分不清楚。比如本文我们要讨论的JVM内存结构、Java内存模...

ls_cherish
今天
4
0
友元函数强制转换

友元函数强制转换 p522

天王盖地虎626
昨天
5
0
js中实现页面跳转(返回前一页、后一页)

本文转载于:专业的前端网站➸js中实现页面跳转(返回前一页、后一页) 一:JS 重载页面,本地刷新,返回上一页 复制代码代码如下: <a href="javascript:history.go(-1)">返回上一页</a> <a h...

前端老手
昨天
5
0

没有更多内容

加载失败,请刷新页面

加载更多

返回顶部
顶部