分析 OVS 如何实现 vlan 隔离 - 每天5分钟玩转 OpenStack（140）

上一节我们完成了 OVS vlan 环境的搭建，当前拓扑结构如下：

cirros-vm1 位于控制节点，属于 vlan100。

cirros-vm2 位于计算节点，属于 vlan100。

cirros-vm3 位于计算节点，属于 vlan101。

今天详细分析 OVS 如何实现 vlan100 和 vlan101 的隔离。

与 Linux Bridge driver 不同，Open vSwitch driver 并不通过 eth1.100, eth1.101 等 VLAN interface 来隔离不同的 VLAN。所有的 instance 都连接到同一个网桥 br-int，Open vSwitch 通过 flow rule（流规则）来指定如何对进出 br-int 的数据进行转发，进而实现 vlan 之间的隔离。

具体来说：当数据进出 br-int 时，flow rule 可以修改、添加或者剥掉数据包的 VLAN tag，Neutron 负责创建这些 flow rule 并将它们配置到 br-int，br-eth1 等 Open vSwitch 上。

下面我们就来研究一下当前的 flow rule。

查看 flow rule 的命令是 ovs-ofctl dump-flow <bridge>

首先查看计算节点 br-eth1 的 flow rule:

br-eth1 上配置了四条 rule，每条 rule 有不少属性，其中比较重要的属性有：

priority

rule 的优先级，值越大优先级越高。Open vSwitch 会按照优先级从高到低应用规则。

in_port

inbound 端口编号，每个 port 在 Open vSwitch 中会有一个内部的编号。

可以通过命令 ovs-ofctl show <bridge> 查看 port 编号。

比如 br-eth1：

eth1 编号为 1；phy-br-eth1 编号为 2。

dl_vlan

数据包原始的 VLAN ID。

actions

对数据包进行的操作。

br-eth1 跟 VLAN 相关的 flow rule 是前面两条，下面我们来详细分析。

清晰起见，我们只保留重要的信息，如下：

priority=4,in_port=2,dl_vlan=1 actions=mod_vlan_vid:100,NORMAL

priority=4,in_port=2,dl_vlan=5 actions=mod_vlan_vid:101,NORMAL

第一条的含义是：

从 br-eth1 的端口 phy-br-eth1（in_port=2）接收进来的包，如果 VLAN ID 是 1（dl_vlan=1），那么需要将 VLAN ID 改为 100（actions=mod_vlan_vid:100）

从上面的网络结构我们可知，phy-br-eth1 连接的是 br-int，phy-br-eth1 的 inbound 包实际上就是 instance 通过 br-int 发送给物理网卡的数据。

那么怎么理解将 VLAN ID 1 改为 VLAN ID 100 呢？

请看下面计算节点 ovs-vsctl show 的输出：

br-int 通过 tag 隔离不同的 port，这个 tag 可以看成内部的 VLAN ID。

从 qvo4139d09b-30（对应 cirros-vm2，vlan100）进入的数据包会被打上 1 的 VLAN tag。

从 qvo98582dc9-db（对应 cirros-vm3，vlan101）进入的数据包会被打上 5 的 VLAN tag。

因为 br-int 中的 VLAN ID 跟物理网络中的 VLAN ID 并不相同，所以当 br-eth1 接收到 br-int 发来的数据包时，需要对 VLAN 进行转换。Neutron 负责维护 VLAN ID 的对应关系，并将转换规则配置在 flow rule 中。

理解了 br-eth1 的 flow rule，我们再来分析 br-int 的 flow rule。

最关键的是下面两条

priority=3,inport=1,dl_vlan=100 actions=mod_vlan_vid:1,NORMAL

priority=3,inport=1,dl_vlan=101 actions=mod_vlan_vid:5,NORMAL

port 1 为 int-br-eth1，那么这两条规则的含义就应该是：

1. 从物理网卡接收进来的数据包，如果 VLAN 为 100，则改为内部 VLAN 1。

2. 从物理网卡接收进来的数据包，如果 VLAN 为 101，则将为内部 VLAN 5。

简单的说，数据包在物理网络中通过 VLAN 100 和 VLAN 101 隔离，在计算节点 OVS br-int 中则是通过内部 VLAN 1 和 VLAN 5 隔离。

控制节点的 flow rule 非常类似，留给大家分析。

到这里，我们已经完成了 Neutron OVS vlan 的学习，下节开讨论 OVS 环境下的路由。

分析 OVS 如何实现 vlan 隔离 - 每天5分钟玩转 OpenStack（140）相关推荐

在 ML2 中配置 OVS vlan network - 每天5分钟玩转 OpenStack（136）
前面我们已经学习了 OVS 的 local 网络和 falt 网络,今天开始讨论 vlan 网络. vlan network 是带 tag 的网络. 在 Open vSwitch 实现方式下,不同 ...
创建 OVS vlan101 并部署 instance - 每天5分钟玩转 OpenStack（139）
前面我们创建了 OVS vlan100 并部署了 instance,今天继续创建 vlan101. subnet IP 地址为 172.16.101.0/24. 底层网络发生了什么变化 Neutron ...
OVS 中的各种网络设备 - 每天5分钟玩转 OpenStack（128）
上一节我们启用了 Open vSwitch,本节将查看当前的网络状态并介绍 Open vSwitch 涉及的各种网络设备. 初始网络状态查看一下当前的网络状态. 控制节点 ifconfig 显示控制 ...
OVS VxLAN Flow 分析 - 每天5分钟玩转 OpenStack（149）
OVS 的数据流向都是由 Flow 规则控制的,今天我们就来分析 VxLAN 的 Flow 规则. 提个醒:这可能是本教程最烧脑的一节,let's rock it ! 下面分析控制节点上的 flow ...
用 namspace 隔离 DHCP 服务 - 每天5分钟玩转 OpenStack（90）
Neutron 通过 dnsmasq 提供 DHCP 服务,而 dnsmasq 如何独立的为每个 network 服务呢? 答案是通过 Linux Network Namespace 隔离,本节将详细 ...
Linux 如何实现 VLAN - 每天5分钟玩转 OpenStack（12）
LAN 表示 Local Area Network,本地局域网,通常使用 Hub 和 Switch 来连接 LAN 中的计算机. 一般来说,两台计算机连入同一个 Hub 或者 Switch 时,它们就 ...
flannel 的连通与隔离 - 每天5分钟玩转 Docker 容器技术（61）
2019独角兽企业重金招聘Python工程师标准>>> 上一节我们在 flannel 网络中部署了容器,本节讨论 flannel 的连通和隔离特性. flannel 网络连通性测试 ...
部署 instance 到 OVS vlan100 - 每天5分钟玩转 OpenStack（138）
2019独角兽企业重金招聘Python工程师标准>>> 上一节创建了 OVS vlan network vlan100,今天部署 instance 到该网络. launch 新的 i ...
创建 OVS vlan100 netwrok - 每天5分钟玩转 OpenStack（137）
2019独角兽企业重金招聘Python工程师标准>>> 上一节完成了 OVS vlan network 的配置准备工作,今天我们创建 vlan100. 打开菜单 Admin -> ...
虚拟 router 原理分析- 每天5分钟玩转 OpenStack（101）
2019独角兽企业重金招聘Python工程师标准>>> 上一节我们创建了虚拟路由器"router_100_101",并通过 ping 验证了 vlan100 和 ...

分析 OVS 如何实现 vlan 隔离 - 每天5分钟玩转 OpenStack（140）

分析 OVS 如何实现 vlan 隔离 - 每天5分钟玩转 OpenStack（140）相关推荐

最新文章

热门文章