开发者社区> 兰亭侠> 正文
阿里云
为了无法计算的价值
打开APP
阿里云APP内打开

neutron flat和vxlan网络访问外网流量走向

简介: OpenStack版本:Mitaka 物理节点: Hostname Management IP Tunnel IP Role test-ctrl-01 192.168.100.11 192.
+关注继续查看

OpenStack版本:Mitaka

物理节点:

Hostname Management IP Tunnel IP Role
test-ctrl-01 192.168.100.11 192.168.120.11 Controller Node、Network Node
test-cmpt-01 192.168.100.21 192.168.120.21 Compute Node
test-cmpt-02 192.168.100.22 192.168.120.22 Compute Node

 

 

 

 

Neutron网络:

网络 网络类型 网络模式 子网
public_net External Network Flat 192.168.100.0/24
share_net Private Network Vxlan 192.168.111.0/24

 

 

 

网络拓扑:

 

虚拟机:

test-01:直接连接到public_net,fixed ip为192.168.100.101

test-02:连接到share_net,fixed ip 192.168.111.4,绑定floating ip 192.168.100.102

特意将两个虚拟机建到同一台宿主机test-cmpt-02上,方便进行对比。

 

网络节点test-ctrl-01的网桥结构图:

计算节点test-cmpt-02上的网桥结构图:

flat网络(虚拟机test-01)访问外网的流量

1. 数据包从虚拟网卡tapaf305168-66出来,到达网桥qbraf305168-66,此处有iptables规则做IP/MAC pairs的匹配,如果配置了安全组规则,还会有对应的iptables规则:

2. 通过qvbaf305168-66和qboaf305168-66这对peer,到达br-int。由于qboaf305168-66在br-int上的vlan tag是2(类似交换机的access口),数据包的vlan_id会被标记成2。

3. br-int的flow table对ip和mac进行过滤,防止ip和mac伪造:

可以看到对arp和icmp有ip和mac的匹配。对mac的检测在mitaka版本以后都有,而kilo版只有arp_spa的规则。

这是些规则是neutron-openvswitch-agent添加的,具体实现在neutron.plugins.ml2.drivers.openvswitch.agent.openflow.ovs_ofctl.br_int. OVSIntegrationBridge的install_icmpv6_na_spoofing_protection(), set_allowed_macs_for_port()和install_arp_spoofing_protection()三个函数。

4. MAC地址检测通过后的action是normal,数据包有两个走向:

1) 通过patch-tun和patch-int这对peer到达br-tun:

最后会到达table 22,此处对于dl_vlan=2没有添加任何规则,会直接被丢弃。

2) 通过int-br-ex和phy-br-ex这对peer到达br-ex:

此处对于dl_vlan=2的action是normal,数据包会根据路由表规则从eth3发出。

 

vxlan网络(虚拟机test-02)访问外网的流量

前3步同test-01。

4. MAC地址检测通过后的action是normal,数据包有两个走向:

1) 通过int-br-ex和phy-br-ex这对peer到达br-ex:

此处对于dl_vlan=1没有添加任何规则,会直接被丢弃。

2) 通过patch-tun和patch-int这对peer到达br-tun:

对于dl_vlan=1的包,会将vlan id去除,设置tunnel id为0x10050(也就是share_net的segmentation_id 65616),从port 2和port 3(分别和test-ctrl-01和test-cmpt-01建立的tunnel隧道)发出。这一步即是vxlan封装。

 

下面的流程在网络节点进行:

5. 网络节点通过tunnel隧道收到这个封装过的vxlan数据包,到达br-tun上的vxlan-c0a87b16这个端口:

匹配到tunnel id是0x10050,会将vlan id设置为1,这一步就是vxlan的解包。然后从port 1送出。

6. 同过patch-int和patch-tun这对peer,到达br-int,br-int的流表对dl_vlan=1的包没有任何处理,action是normal:

7. 数据包有三个走向:

1) 通过int-br-ex和phy-br-ex这对peer到达br-ex:

此处对于dl_vlan=1没有添加任何规则,会直接被丢弃。

2) 到达tap96835b35-be,直接丢弃。

3) 到达qr-466214fa-3d,直接丢弃。

4) 到达qg-169d638e-0e,接收此数据包,进入qrouter-c8aec0d9-3203-4bdb-9237-9818603f521f,根据iptables规则,对来自192.168.111.4的数据包做SNAT:

然后根据路由表规则最终从eth3发出。

 

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
通过 GRE 隧道 实现 VPC 互通方案介绍
背景 不同 VPC 之间或者是云下 IDC 机房和 VPC 网络之间互通,可以通过高速通道、自建 Site to Site VPC 和 GRE 隧道 3 种方式实现互通。本介绍如何使用 GRE 实现互通并对相关问题进行分析。
10211 0
ROS搭建SNAT网关使专有网络访问Internet
利用ROS自动给VPC网络创建和配置SNAT网关以便让专有网络的ECS实例访问公网
5384 0
感觉差不多了。CLOUDSTACK的NAT,端口转发和防火墙结合穿透
构架差不多OK啦。 测试也近尾声啦。 感觉它适合私有云,或是混合云,但结合了SDN的网络,真的很安全。 如果是纯公有云,也是更适合特定方案。或是要第二次开发,毕竟让ACCOUNT登陆到后台,结合GUEST调整网络和主机,更像是企业IT作的事,而不是自动化拎包入住的简单方法。
808 0
+关注
兰亭侠
云计算领域,具有多年的OpenStack、Kubernetes经验
文章
问答
文章排行榜
最热
最新
相关电子书
更多
低代码开发师(初级)实战教程
立即下载
阿里巴巴DevOps 最佳实践手册
立即下载
冬季实战营第三期:MySQL数据库进阶实战
立即下载