Openstack组件实现原理 — OpenVswitch/Gre/vlan

2016-08-14 706

前文提要

Neutron 管理的网络相关实体

network 网络：为每个用户提供独立的网络环境，用户可以定义多个 network，彼此之间都独立隔离。network 可以拥有无数个动态可创建和销毁的 ports。而这些端点都会连接到 network 中的 subnets。network 是最基础的实体，subnets 和 ports 都需要关联到 network 上才能生效。每个 network 相当于一个虚拟交换机，同一个 subnet 上的 Instance 可以通过这个 “交换机” 来通信。
subnet 子网：不同的 subnet 拥有不同的网段，其中的每一个 Instances 都有一个 IP，不同 subnet 的 Instance 在 L3 域上彼此不可见，因为路由会阻断广播。所以不同的 subnet 之间的 Instances 需要三层网络设备(网关、DNS、路由)来支持通信。每个 subnet 都必须有一个 CIDR 和关联到一个 network。Instance 的 IP 可以从 CIDR 或者用户指定的地址池中选取。
port 端口：可以进出流量的接口，往往绑定上若干的 MAC 地址和 IP 地址，来进行寻址。一般为虚拟交换机上的虚拟接口。 Instance 将虚拟网卡挂载到 port 上，通过 port 来访问 network 。当 port 有 IP 时，说明它属于某个 subnet 。

OpenVswitch(OVS)

OpenVswitch 虚拟交换机，网络2层(L2)设备，可以创建多个 vSwitch 分配给不同的 network，使 network 中同一个 subnet 的 Instance 能够通信。在同一个 sunbet 中的两个 Instance 之间通信的过程：
Instacne_A
⇒ vNIC(port)
⇒ Virtual Switch
⇒ Physical Switch
⇒ Virtual Switch
⇒ vNIC
⇒ Instance_B

Virtual Switch 作为 Physical Switch 和 Instance 之间的桥梁。

OVS 的架构

ovsdb-sever：OVS 的数据库服务器，用来存储虚拟交换机的配置信息。它使用 OVSDB(JSON-RPC) 的方式来与 manager 和 ovs-vswitchd 交换信息。
ovs-vswitchd：OVS 的核心部件，它和上层 Controller 通信遵从 OPENFLOW 协议，它与 ovsdb-server 通信使用 OVSDB 协议，它和 ovs kernel module 通过 netlink 通信，它支持多个独立的 datapath(网桥)，它通过更改 flow table 实现了绑定，和 VLAN 等功能。
ovs kernel module：OVS 的内核模块，处理包交换和隧道，缓存 flow，如果在内核的缓存中找到了转发规则，则转发，否则发向用户空间去处理。

VLan

VLan 虚拟局域网，在 L2 上应用。对网包打上 tag 标签。拥有同一个 tag 标签的网包就属于同一个 VLan，VLan 能够将存在于同一个 subnet 的 Instance 隔离成若干个 subnet 。

GRE 隧道

如果希望运行在 Compute Node 上的 Instance 能够通过 Neutron Node 去访问 Pubilc Network，这就表示同一个数据包需要在不同的协议之间(L2的数据帧和L3的报文包之间)被传输，这样的话就需要使用隧道技术来实现这个需求。使用隧道传递的数据可以是不同协议的数据帧或包，隧道协议将其它协议的数据帧或包重新封装然后通过隧道发送。

Compute Node 中的 Instance 通过 GRE 访问 Public Network

涉及的 Linux 网络技术

bridge(网桥)：Linux 中用于表示一个能连接不同网络设备的虚拟设备，Linux 中传统实现的网桥类似于一个 Hub 设备，而 OVS 管理的网桥一般类似交换机。
br-int(bridge-integration)：综合网桥，常用于表示实现主要内部网络功能的网桥。
br-ex(brifge-external)：外部网桥，负责跟外部网络通信的网桥。
GRE(General Routing Encapsulation)：一种通过封装来实现隧道的方式，在 Openstack 中一般是基于 L3 的 GRE。
VETH(虚拟 Ethernet接口)：通常以 Pair 对的方式出现，一端发出网包，会被对应的另一端接收，可以形成两个网桥之前的通道。
qvb(虚拟接口)：neutron veth，Linux Bridge-side
qvo(虚拟接口)：OVS-Side
TAP设备：模拟一个 L2 的网络设备，用于接收和发送 L2 网包。
TUN设备：模拟一个 L3 的网络设备，可以接受和发送 L3 网包。
iptables：Linux 安全策略防火墙。
Vlan：虚拟 Lan，同一个物理 Lan 下用标签来实现隔离，可用标号为1-4094.
VXLAN：一套利用 UDP 协议作为底层传输协议的 Overlay 实现。被认为是 VLan 技术的延伸和替代者。
namespace：命名空间，是一套用于资料隔离的机制，不同 namespace 中的资源之间彼此不可见。
qbr(Linux 传统网桥)：为了让 Instance 能够连接到 br-int (综合网桥上)。因为 br-int 只能对 L3 做防火墙限制，不能针对一个 Instance 做防火墙设置。所以需要 qbr 来完成对一个 Instance 做安全策略。

[A, B] (VM1 ⇒ qbr-1 ) : 被应用在 L2 中，将 VM1 的网包传输到 qbr-1 ，为什么不直接传输到 br-int 呢？因为这之中会涉及到一个 SecurityGroup 的问题。 br-int 综合网桥只能对 L3 层做安全策略，即只能对同一个 subnet 内所有的 Instance 做一个统一的安全策略。这样的话就无法防止同一个 subnet 内的 Instance 去攻击另外一个 Instance 。所以还需要针对单个 Instance 做安全策略，来防止同网段中的 Instance 攻击，而这个针对单个 Instance 的安全策略由 qbr-1(传统 Linux 网桥)来提供。
[C，D] (qbr-1 ⇒ br-int) : qvb 和 qvo 分别作为 Bridge-side 和 OVS-side 的虚拟接口。如果 qbr-1 要跟 br-int 传输数据，就需要将这两个虚拟接口对接。在 br-int 中会对整个 Subnet 中的 Instance 做统一的安全策略。而且 br-int 还能提供 VLan 的功能，br-int 对同一个 subnet 上传输来的网包打上相同的 tag 标记，就是说拥有不同的 tag 的响应数据包会被转发到不同的 VLan 。 br-int 提供的 VLan 功能，将不同的 subnet 隔开，实现了 L3 的隔离(L3 的广播阻断)。br-int 和 qbr-1 完成了 OVS 的功能。
[E，F] ( br-int ⇒ br-tun) : 将网包传输给 br-tun 之后会为每个网包做流表限制，保证了网包响应时，能够根据流表找到对应的 VLan ，而不会胡乱的将响应网包分发给错误的 VLan 中。
[G，H] (br-tun ⇒ br-tun) : 直连的GRE隧道传输，即跨协议传输，拥有相同流表的网包会在同一个隧道中被传输，可以同时拥有多条隔离的隧道。
[I，J] (br-tun ⇒ br-int) : 与 [E，F] 类似，主要完成将隧道号(流表号)和 VLan 号对应转换，保证数据的完整传输和独立性。
[O，P] (br-int ⇒ DHCP)：在创建 Instacne 的过程中，会向 DHCP 申请分配 IP。
[M，N] ( br-int ⇒ Route)：将内网 Instance 网包的 IP 转换为 Public Network IP
[K，L] (Route ⇒ br-ex) : 最后再通过 br-ex 将网包转发到物理网卡。

微信关注我们

原文链接：https://yq.aliyun.com/articles/237365

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

墙内三大云数据库测试对比不指定

我司CTO和技术总监都是腾讯系的，所以我们一开始就选用腾讯云的服务。他们家的云数据库提供了可视化的运维操作页面和自动备份的能力，降低了DB运维的门槛。同时云数据库还支持高可用架构，对数据的安全性和服务的可靠性更有保障。另外有的云数据库厂商还提供了诸如数据库审计、慢查询分析、数据回档等能力，大大减轻了数据库运维和DBA的工作量。其实我们就没有专门的DBA，都是开发自己上去折腾，通过把数据库的可靠性外包给云端，确实极大地降低了我们的工作量，这一点还是挺爽的。但是在具体的使用过程中，发现还是有些地方不够满意，比如MySQL最高版只有5.6，没法用上5.7.8+新增的JSON字段；建立数据库自带的只读从库门槛较高（要最高版本）；binlog的备份不方便；数据库授权上的坑（没有FILE和SHUTDOWN，不能grant all on *.*）等。记得以前对比过阿里云和UCloud的云主机磁盘IO（那时候腾讯云好像才刚起步呢），这么久过去了，再来比比看，他们的云数据库怎么样。墙内目前就只有这三家还算比较能入眼吧，网易和百度的就先跳过，都没听说谁家在用。另外那个不要脸的X云就算了，期权都能黑下来的公...

2016-08-12

674

Core Plugin/Agent 负责管理核心实体：net, subnet 和 port。而对于更高级的网络服务，则由 Service Plugin/Agent 管理。Service Plugin 及其 Agent 提供更丰富的扩展功能，包括路由，load balance，firewall等，如图所示： DHCPdhcp agent 通过 dnsmasq 为 instance 提供 dhcp 服务。 Routingl3 agent 可以为 project（租户）创建 router，提供 Neutron subnet 之间的路由服务。路由功能默认通过 IPtables 实现。 Firewalll3 agent 可以在 router 上配置防火墙策略，提供网络安全防护。另一个与安全相关的功能是 Security Group，也是通过 IPtables 实现。 Firewall 与 Security Group 的区别在于： Firewall 安全策略位于 router，保护的是某个 project 的所有 network。 Security Group 安全策略位于 instance，...

2016-08-15

564

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。