讲清楚说明白openstack中vm流量走向之1——集中式网络节点

「爱情、让人受尽委屈。」 2022-08-31 06:59 207阅读 0赞

# 一、背景介绍 #

openstack被广大公有云厂商所采用，对于公有云场景来讲Newtron组件所提供的网络功能，一直是较难理解的部分，本文详细介绍在openstack集中网络节点架构下，vm的南北向与东西向流量实现。

# 二、网络节点功能 #

由于openstack默认部署模式下，计算节点通过ml2插件实现二层互通，所有三层流量都要经过网络节点，如下图所示：  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5oWi6Zu-_size_19_color_FFFFFF_t_70_g_se_x_16]

图中同一tenant下有2个不同子网，vm1/2和vm3/4分别属于不同的subnet，通过上图可以看出不同子网之间通信，以及未绑定fip的vm与公网间通信，和拥有fip的vm通过公网访问都需要经过网络节点，网络节点存在单点隐患，对此需要通过L3 HA来对该节点进行高可用。

# 三、openstack中的网络类型 #

openstack中网络模式分为2种：provider网络和self-service网络。provider是一个半虚拟化的二层网络架构，只能通过桥接的方式实现，处于provider网络模式下vm获取到的ip地址与物理网络在同一网段，可以看成是物理网络的扩展，在该模式下，控制节点不需要安装L3 agent，也不需要网络节点，vm直接通过宿主机的NIC与物理网络通信,provider网络只支持flat和vlan两种模式。其架构如下：  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5oWi6Zu-_size_20_color_FFFFFF_t_70_g_se_x_16]

而self-service模式允许租户自己创建网络，最终租户创建的网络借助provider网络以NAT方式访问外网，所以self-service模式可以看成是网络层级的延伸，要实现self-service模式必须先创建provider网络,self-service网络支持flat、vlan、vxlan、gre模式。其架构如下：  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5oWi6Zu-_size_20_color_FFFFFF_t_70_g_se_x_16 1]

vm从self-service获取到的IP地址称为fix ip，vm从provider网络获取到的IP地址称为floating IP。不管租户创建的网络类型为vxlan或者vlan（br-tun或br-vlan）租户vm之间通过fix ip之间的互访流量称为东西走向，只有当vm需要通过snat访问外网或者从通过fip访问vm时，此时的流量称为南北走向。

# 四、网络节点内部组件 #

相对于计算机点，网络节点中多了租户的dhcp和router空间和连接internet的br-ex（计算节点同样拥有br-int和br-tun/vlan的OVS，详见作者其他博文），  
网络节点的内部组件通信如下图所示：  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5oWi6Zu-_size_20_color_FFFFFF_t_70_g_se_x_16 2]

从上图得知：fix ip最终需要借助router namespace中的iptables规则，以sant或dnat的方式实现vm访问外网或被外网访问。当然也可以让vm直接接入provider网络，但provider网络只是一个二层的虚拟化网络，需要借助物理设备来实现三层及以上功能。以下就以self-service模式为例，详细说明vm的东西和南北流量走向。

# 五、vm的东西流量分析 #

通过前面知道，一个tenant可以创建多个subnet，此时vm之间的通信就分为同一个subnet和不同subnet之间两种情况，区别就是，不同subnet之间的通信需要经过网关（网络节点），而同subnet之间的通信不需要经过网络节点。

## 1.不同subnet之间的通信 ##

无论tenant创建的网络类型是隧道还是vlan，不同subnet之间的通信必须借助L3 Agent完成，而在集中式网络节点架构中，只有网络节点部署了该角色，vm之间的流量如下图所示：  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5oWi6Zu-_size_20_color_FFFFFF_t_70_g_se_x_16 3]

*  1.vm1向vm2发出通信请求，根据目的IP地址得知vm2和自己不在同一网段，将数据包送往网关。
 *  2.数据包经过linux bridge通过其上的iptables安全策略检查，按后送往br-int并打上内部vlan号。
 *  3.数据包脱掉br-int的内部vlan号进入br-tun/br-vlan。
 *  4.进入br-tun的数据包此时vxlan封装并打上vni号，进入br-vlan的数据包此时打上外部vlan号，通过nic离开compute1。
 *  5.数据包进入网络节点，经过br-tun的数据包完成vxlan的解封装去掉vni号，经过br-vlan的数据包去掉vlan号。
 *  6.数据包进入br-int，此时会被打上内部vlan号。
 *  7.进入router namespace路由空间找到网关，vm1的网关配置在此路由器接口qr-1口上。
 *  8.将数据包路由到vm2的网关，vm2的网关配置在qr-2口上，送回br-int并打上内部vlan号。
 *  9.数据包脱掉br-int的内部vlan号进入br-tun/br-vlan。
 *  10.进入br-tun的数据包此时vxlan封装并打上vni号，进入br-vlan的数据包此时打上外部vlan号，通过nic离开network node。
 *  11.数据包进入compute2，经过br-tun的数据包完成vxlan的解封装去掉vni号，经过br-vlan的数据包去掉vlan号。
 *  12.数据包进入br-int，此时会被打上内部vlan号。
 *  13.数据包经过离开br-int并去掉内部vlan号，送往linux bridge通过其上的iptables安全策略检查。
 *  14.最后数据包送到vm2。

## 2.相同subnet间通信 ##

相同subnet之间通信不需要借助L3 Agent，vm之间流量如下图所示：  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5oWi6Zu-_size_20_color_FFFFFF_t_70_g_se_x_16 4]

*  1.vm1向vm2发起请求，通过目的IP地址得知vm2与自己在同一网段。
 *  2.数据包经过linux bridge，进行安全策略检查，进入br-int打上内部vlan号。
 *  3.数据包脱掉br-int的内部vlan号进入br-tun/br-vlan。
 *  4.进入br-tun的数据包此时vxlan封装并打上vni号，进入br-vlan的数据包此时打上外部vlan号，通过nic离开compute1。
 *  5.数据包进入compute2，经过br-tun的数据包完成vxlan的解封装去掉vni号，经过br-vlan的数据包去掉vlan号。
 *  6.数据包进入br-int，此时会被打上内部vlan号。
 *  7.数据包经过离开br-int并去掉内部vlan号，送往linux bridge通过其上的iptables安全策略检查。
 *  8.最后数据包送到vm2。

# 六、vm的南北流量分析 #

南北流量也分为有floating ip和无floating ip（fix ip）两种情况，唯一的区别在于vm最终离开network node访问internet时，有floating ip的vm源地址为floating ip，而使用fix ip的vm通过snat方式，源地址为network node的ip，vm南北流量如下图所示：  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5oWi6Zu-_size_20_color_FFFFFF_t_70_g_se_x_16 5]

*  1.vm1向公网发出通信请求，数据包被送往网关。
 *  2.数据包经过linux bridge通过其上的iptables安全策略检查，按后送往br-int并打上内部vlan号。
 *  3.数据包脱掉br-int的内部vlan号进入br-tun/br-vlan，进入br-tun的数据包此时vxlan封装并打上vni号，进入br-vlan的数据包此时打上外部vlan号，通过nic离开compute1。
 *  4.数据包进入网络节点，经过br-tun的数据包完成vxlan的解封装去掉vni号，经过br-vlan的数据包去掉vlan号，再被送往br-int，此时会被打上内部vlan号。
 *  5.进入router namespace路由空间查询路由表项，vm1的网关配置在此路由器qr接口上。
 *  6.数据包在此路由器上完成地址转换，源地址变成qg口network node节点的外网地址（floating ip在qg口使用的是给vm分配的外网地址，需要提前将fix ip和floating ip绑定），送回br-int并打上内部vlan号。
 *  7.数据包离开br-int进入br-ex，脱掉内部vlan号，打上外网ip的vlan号。
 *  8.最后借助provider网络访问公网，此处也印证了provider网络只能是vlan或flat类型。

# 七、网络节点HA #

通过前文得知，整个架构的三层通信需要借助安装在网络节点的L3 Agent来完成，这样，网络节点在架构中就成了单点隐患，为了解决这个问题，需要对network node做高可用，L3 Agent实现ha的方式是利用keepalive的VRRP协议提供一个vip，同时在br-int和Router上增加一个ha接口，以实现心跳传递，此时网络节点的内部组件通信如下图所示：  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5oWi6Zu-_size_20_color_FFFFFF_t_70_g_se_x_16 6]

从部署结构来看，route namespace的接口上分别是subnet的网关地址和外网地址（或者floating ip地址），所以当使用keepalive此时网络节点架构如下图所示：  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5oWi6Zu-_size_20_color_FFFFFF_t_70_g_se_x_16 7]

至此集中网络节点模式下vm的流量就介绍完毕。

[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5oWi6Zu-_size_19_color_FFFFFF_t_70_g_se_x_16]: /images/20220829/1813e75a66374de788c615ec9bcc068d.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5oWi6Zu-_size_20_color_FFFFFF_t_70_g_se_x_16]: /images/20220829/dd44534cca56487a971d8343cf9b26ea.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5oWi6Zu-_size_20_color_FFFFFF_t_70_g_se_x_16 1]: /images/20220829/9e0f4991cb2c42c4a779d003346d87aa.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5oWi6Zu-_size_20_color_FFFFFF_t_70_g_se_x_16 2]: /images/20220829/f0bcfe20a56140b98869addc3cf4134a.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5oWi6Zu-_size_20_color_FFFFFF_t_70_g_se_x_16 3]: /images/20220829/f57e8ca994344b2a8160ec2a9e736881.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5oWi6Zu-_size_20_color_FFFFFF_t_70_g_se_x_16 4]: /images/20220829/280b5c3bc1774ac5a729a293a261b0f4.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5oWi6Zu-_size_20_color_FFFFFF_t_70_g_se_x_16 5]: /images/20220829/afdbdb8ac83f4709b9dd648b983e9e62.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5oWi6Zu-_size_20_color_FFFFFF_t_70_g_se_x_16 6]: /images/20220829/dcb98648cdd241cb9966486f03ac43e0.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5oWi6Zu-_size_20_color_FFFFFF_t_70_g_se_x_16 7]: /images/20220829/d563e2fed44d48a7b930cac8c3b1dd15.png