前文提要

Neutron 管理的网络相关实体

network 网络：为每个用户提供独立的网络环境，用户可以定义多个 network，彼此之间都独立隔离。network 可以拥有无数个动态可创建和销毁的 ports。而这些端点都会连接到 network 中的 subnets。network 是最基础的实体，subnets 和 ports 都需要关联到 network 上才能生效。每个 network 相当于一个虚拟交换机，同一个 subnet 上的 Instance 可以通过这个 “交换机” 来通信。
subnet 子网：不同的 subnet 拥有不同的网段，其中的每一个 Instances 都有一个 IP，不同 subnet 的 Instance 在 L3 域上彼此不可见，因为路由会阻断广播。所以不同的 subnet 之间的 Instances 需要三层网络设备(网关、DNS、路由)来支持通信。每个 subnet 都必须有一个 CIDR 和关联到一个 network。Instance 的 IP 可以从 CIDR 或者用户指定的地址池中选取。
port 端口：可以进出流量的接口，往往绑定上若干的 MAC 地址和 IP 地址，来进行寻址。一般为虚拟交换机上的虚拟接口。 Instance 将虚拟网卡挂载到 port 上，通过 port 来访问 network 。当 port 有 IP 时，说明它属于某个 subnet 。

OpenVswitch(OVS)

OpenVswitch 虚拟交换机，网络2层(L2)设备，可以创建多个 vSwitch 分配给不同的 network，使 network 中同一个 subnet 的 Instance 能够通信。在同一个 sunbet 中的两个 Instance 之间通信的过程：
Instacne_A
⇒ vNIC(port)
⇒ Virtual Switch
⇒ Physical Switch
⇒ Virtual Switch
⇒ vNIC
⇒ Instance_B

这里写图片描述

Virtual Switch 作为 Physical Switch 和 Instance 之间的桥梁。

OVS 的架构

这里写图片描述

ovsdb-sever：OVS 的数据库服务器，用来存储虚拟交换机的配置信息。它使用 OVSDB(JSON-RPC) 的方式来与 manager 和 ovs-vswitchd 交换信息。
ovs-vswitchd：OVS 的核心部件，它和上层 Controller 通信遵从 OPENFLOW 协议，它与 ovsdb-server 通信使用 OVSDB 协议，它和 ovs kernel module 通过 netlink 通信，它支持多个独立的 datapath(网桥)，它通过更改 flow table 实现了绑定，和 VLAN 等功能。
ovs kernel module：OVS 的内核模块，处理包交换和隧道，缓存 flow，如果在内核的缓存中找到了转发规则，则转发，否则发向用户空间去处理。

VLan

VLan 虚拟局域网，在 L2 上应用。对网包打上 tag 标签。拥有同一个 tag 标签的网包就属于同一个 VLan，VLan 能够将存在于同一个 subnet 的 Instance 隔离成若干个 subnet 。

GRE 隧道

如果希望运行在 Compute Node 上的 Instance 能够通过 Neutron Node 去访问 Pubilc Network，这就表示同一个数据包需要在不同的协议之间(L2的数据帧和L3的报文包之间)被传输，这样的话就需要使用隧道技术来实现这个需求。使用隧道传递的数据可以是不同协议的数据帧或包，隧道协议将其它协议的数据帧或包重新封装然后通过隧道发送。

Compute Node 中的 Instance 通过 GRE 访问 Public Network

涉及的 Linux 网络技术

bridge(网桥)：Linux 中用于表示一个能连接不同网络设备的虚拟设备，Linux 中传统实现的网桥类似于一个 Hub 设备，而 OVS 管理的网桥一般类似交换机。
br-int(bridge-integration)：综合网桥，常用于表示实现主要内部网络功能的网桥。
br-ex(brifge-external)：外部网桥，负责跟外部网络通信的网桥。
GRE(General Routing Encapsulation)：一种通过封装来实现隧道的方式，在 Openstack 中一般是基于 L3 的 GRE。
VETH(虚拟 Ethernet接口)：通常以 Pair 对的方式出现，一端发出网包，会被对应的另一端接收，可以形成两个网桥之前的通道。
qvb(虚拟接口)：neutron veth，Linux Bridge-side
qvo(虚拟接口)：OVS-Side
TAP设备：模拟一个 L2 的网络设备，用于接收和发送 L2 网包。
TUN设备：模拟一个 L3 的网络设备，可以接受和发送 L3 网包。
iptables：Linux 安全策略防火墙。
Vlan：虚拟 Lan，同一个物理 Lan 下用标签来实现隔离，可用标号为1-4094.
VXLAN：一套利用 UDP 协议作为底层传输协议的 Overlay 实现。被认为是 VLan 技术的延伸和替代者。
namespace：命名空间，是一套用于资料隔离的机制，不同 namespace 中的资源之间彼此不可见。
qbr(Linux 传统网桥)：为了让 Instance 能够连接到 br-int (综合网桥上)。因为 br-int 只能对 L3 做防火墙限制，不能针对一个 Instance 做防火墙设置。所以需要 qbr 来完成对一个 Instance 做安全策略。

这里写图片描述

[A, B] (VM1 ⇒ qbr-1 ) : 被应用在 L2 中，将 VM1 的网包传输到 qbr-1 ，为什么不直接传输到 br-int 呢？因为这之中会涉及到一个 SecurityGroup 的问题。 br-int 综合网桥只能对 L3 层做安全策略，即只能对同一个 subnet 内所有的 Instance 做一个统一的安全策略。这样的话就无法防止同一个 subnet 内的 Instance 去攻击另外一个 Instance 。所以还需要针对单个 Instance 做安全策略，来防止同网段中的 Instance 攻击，而这个针对单个 Instance 的安全策略由 qbr-1(传统 Linux 网桥)来提供。
[C，D] (qbr-1 ⇒ br-int) : qvb 和 qvo 分别作为 Bridge-side 和 OVS-side 的虚拟接口。如果 qbr-1 要跟 br-int 传输数据，就需要将这两个虚拟接口对接。在 br-int 中会对整个 Subnet 中的 Instance 做统一的安全策略。而且 br-int 还能提供 VLan 的功能，br-int 对同一个 subnet 上传输来的网包打上相同的 tag 标记，就是说拥有不同的 tag 的响应数据包会被转发到不同的 VLan 。 br-int 提供的 VLan 功能，将不同的 subnet 隔开，实现了 L3 的隔离(L3 的广播阻断)。br-int 和 qbr-1 完成了 OVS 的功能。
[E，F] ( br-int ⇒ br-tun) : 将网包传输给 br-tun 之后会为每个网包做流表限制，保证了网包响应时，能够根据流表找到对应的 VLan ，而不会胡乱的将响应网包分发给错误的 VLan 中。
[G，H] (br-tun ⇒ br-tun) : 直连的GRE隧道传输，即跨协议传输，拥有相同流表的网包会在同一个隧道中被传输，可以同时拥有多条隔离的隧道。
[I，J] (br-tun ⇒ br-int) : 与 [E，F] 类似，主要完成将隧道号(流表号)和 VLan 号对应转换，保证数据的完整传输和独立性。
[O，P] (br-int ⇒ DHCP)：在创建 Instacne 的过程中，会向 DHCP 申请分配 IP。
[M，N] ( br-int ⇒ Route)：将内网 Instance 网包的 IP 转换为 Public Network IP
[K，L] (Route ⇒ br-ex) : 最后再通过 br-ex 将网包转发到物理网卡。

Openstack组件实现原理 — OpenVswitch/Gre/vlan

目录

前文提要

Neutron 管理的网络相关实体

OpenVswitch(OVS)

OVS 的架构

VLan

GRE 隧道

Compute Node 中的 Instance 通过 GRE 访问 Public Network

涉及的 Linux 网络技术

热门文章

最新文章

相关课程

相关电子书