|
|
楼主 |
发表于 2021-6-1 08:51:37
|
显示全部楼层
一、OVS概念
$ I3 |, n& H# a使用OpenStack neutron+vxlan部署模式下网络节点OVS网桥作为例子
9 D0 B1 q& b- Bovs-vsctl show5 m' ]6 v6 P+ L8 a% Y8 C
e44abab7-2f65-4efd-ab52-36e92d9f0200- I9 S4 p8 N- f1 P
Manager "ptcp:6640:127.0.0.1"
% X4 i" Z& b# D; @6 S5 ^4 }2 z is_connected: true* ^8 {0 v/ A- _! B
Bridge br-ext$ v/ h3 T3 D3 }) W+ }: k& w- C
Controller "tcp:127.0.0.1:6633"" T" \( `+ [% s+ L/ G! Z- W' D
is_connected: true
7 p& }6 O0 n- q, I% S# V# |. ~ T fail_mode: secure. P- O1 E* e* J2 w5 a4 D
Port br-ext
; F v1 w, m8 Y& q% Z( Z# E" D: g Interface br-ext! c2 {& H1 Z1 [$ |
type: internal
) v( M" {' n, j% a Port "eth1"
3 |! g! c/ a& r! B/ q9 U, b Interface "eth1"5 E9 w+ b( V) d8 R
Port phy-br-ext, u( ~- N7 [0 i3 U. H" E
Interface phy-br-ext
" g1 ~9 s) Y- F7 u type: patch- Z3 V( V: w" z' p! k P9 n; y. ^
options: {peer=int-br-ext}4 [! Z8 Z7 i0 B. }. A
Bridge br-tun6 W8 e1 B5 @2 y. Z) O S
Controller "tcp:127.0.0.1:6633"6 K# i# ?0 U2 ]+ S# n: t$ o
is_connected: true7 T$ n' h$ t3 v% y2 p
fail_mode: secure
! A4 M8 Q% g1 F' Z Port br-tun
9 d6 u# Q6 u; d8 E& R4 \ Interface br-tun
' H. d2 N4 {; O$ c0 L0 _ type: internal2 r X- |7 P0 ]) F
Port patch-int
5 e8 u U( c* W/ T0 f7 d: P Interface patch-int
7 z3 U+ ~4 q, ~# Q6 u type: patch$ @5 p; L7 |3 E9 ?6 K! }
options: {peer=patch-tun}5 W. D9 f, @2 s( m+ J; h0 t
Port "vxlan-080058ca"- i2 S& e: ?8 o4 M. b: j" H. @* Y
Interface "vxlan-080058ca"
4 i& E* W8 f+ {! C& q8 G H8 \# p type: vxlan
& C$ V, x) O- l4 v7 T( ?) {1 T options: {df_default="true", in_key=flow, local_ip="8.0.88.201", out_key=flow, remote_ip="8.0.88.202"}% ]; i- P. \* z# |# F4 j
Bridge br-int! u4 f a( N( r' X2 {
Controller "tcp:127.0.0.1:6633"
2 @- T/ e/ I3 q is_connected: true
. E% t- c; N/ V) Z7 S6 @8 Y fail_mode: secure- v K+ B" h# E9 k% Y- b. Y* j
Port "qr-11591618-c4"
; D) C8 ]7 R; K1 m6 G8 W9 _ tag: 3: J/ j1 D" U" V! w: o/ v9 g
Interface "qr-11591618-c4"
+ N( N* f$ }# s; e* ] type: internal
6 z! q Q, o- u# ] Port patch-tun
! V# V# P1 C# J8 W7 Z Interface patch-tun
0 s3 }+ i/ U% H6 K/ S$ H d$ H type: patch
2 h' l* R- }% C/ A- P# i/ X8 @ options: {peer=patch-int}3 G/ K9 r4 \& X1 g0 R$ X& m0 I
Port int-br-ext
$ v, W- t8 E7 u2 x Interface int-br-ext: m4 c7 O' f2 b- M* }2 R
type: patch4 Z j( Y6 j$ f2 Z1 T# U
options: {peer=phy-br-ext}1 T3 k5 w! \5 ]2 z& P) Y
* }* A5 q5 ~) t4 V8 K6 r* [( s
1、Bridge5 P: X0 q7 o/ r4 c0 t& f/ _
Bridge代表一个以太网交换机(Switch)，一个主机中可以创建一个或者多个Bridge。Bridge的功能是根据一定规则，把从端口收到的数据包转发到另一个或多个端口，上面例子中有三个Bridge，br-tun，br-int，br-ext
$ A# C! |# f; v9 F8 M9 U4 }添加一个网桥br0/ Y$ `" G1 [+ { J* C# D4 k' E# z6 n
ovs-vsctl add-br br0
" U Z2 h5 r9 E8 S+ F3 m) }1: s# g. n0 h( I9 _5 f0 o
网桥的fail-mode设置, t- A, u; `; \1 _# N( g! U' @6 j: B
standalone：该模式下，没有运行controller的情况下，OVS会自动调整为普通交换机模式，像物理交换机一样，此时可能会有环路产生的问题。如果有controller的情况，OVS会自动变成openflow交换机
' j/ H9 V+ U! U0 {: I; |4 h/ msecure： 该模式下，无论有没有controller，OVS都会作为openflow交换机运行，也就是所有网桥上的端口，等待controller或者用户添加flow到OVS来进行通信。
K6 r6 T/ I* @% U- f3 J% }2、Port
% s- W) l) e5 w+ S9 v端口Port与物理交换机的端口概念类似，Port是OVS Bridge上创建的一个虚拟端口，每个Port都隶属于一个Bridge。Port有以下几种类型
% T3 C9 R( a0 x( ?% ~5 X( D1）Normal6 K! W, [" S; G7 {# Y
可以把操作系统中已有的网卡(物理网卡em1/eth0,或虚拟机的虚拟网卡tapxxx)挂载到ovs上，ovs会生成一个同名Port处理这块网卡进出的数据包。此时端口类型为Normal。) H) o( ^! Y% f; e5 r) \9 |
如下，主机中有一块物理网卡eth1，把其挂载到OVS网桥br-ext上，OVS会自动创建同名Port eth1。2 D' D) G4 U* e& a# u
ovs-vsctl add-port br-ext eth1 //Bridge br-ext中出现port “eth1”6 n* G# W+ I8 w3 ~9 P
1/ @1 S- \- O ^ n7 W) H
有一点要注意的是，挂载到OVS上的网卡设备不支持分配IP地址，因此若之前eth1配置有IP地址，挂载到OVS之后IP地址将不可访问。这里的网卡设备不只包括物理网卡，也包括主机上创建的虚拟网卡。
7 v. ]8 W! n9 h" J% y2）Internal! o! G5 } q* k& R& C
Internal类型是OVS内部创建的虚拟网卡接口，每创建一个Port，OVS会自动创建一个同名接口(Interface)挂载到新创建的Port上。接口的概念下面会提到。
# W2 `2 {/ Y& I0 [下面创建一个网桥br0，并创建一个internal类型的Port p0: S$ p0 s6 E% r2 S4 z
ovs-vsctl add-br br0
. \' y/ }2 m+ D7 S1 lovs-vsctl add-port br0 p0 -- set Interface p0 type=internal3 [$ H+ h$ N. ], o1 y5 L& M
1, F0 j; B5 |9 `9 r; ]4 g6 d
2
3 ?$ f* N- e0 @ Y8 f1 t6 W查看结果
. w0 N$ [# O( ?& r: R: C//查看网桥br0( g* W, g4 w8 u; Y& O T$ b# [9 W
ovs-vsctl show br0
6 v* C5 `& g c$ W F Bridge "br0"3 S' C! | i t, X3 e
fail_mode:secure: n8 G% h& V# i; J
Port "p0"/ G, {2 q1 @: D- W8 ?/ s
Interface "p0"' {( ?, Z: s% c, `9 N. f5 n8 P
type:internal
7 t* `0 p5 {' I7 P( N# u Port "br0"
' I+ x- R* B" x Interface "br0"
+ c2 i+ x k9 A: ^" V type:internal
7 ~+ v8 a4 ^6 m$ ?5 { N$ m3 Z' K# Z/ g6 c( w
可以看到有两个Port。当ovs创建一个新网桥时，默认会创建一个与网桥同名的Internal Port。在OVS中，只有”internal”类型的设备才支持配置IP地址信息，因此我们可以为br0接口配置一个IP地址，当然p0也可以配置IP地址+ @! c5 v9 `! e1 ]
ip addr add 192.168.10.11/24 dev br0
$ K5 ` P+ l6 c+ |ip link set br0 up6 u4 E# R# K% S& C9 `0 y
//添加默认路由
3 ^! y% A! v% x+ b0 bip route add default via 192.168.10.1 dev br0
% n( |) b! z' r5 Z. W' g0 h
D2 ] O* A' Z, y1 W* {( p' W# d上面两种Port类型区别在于，Internal类型会自动创建接口(Interface)，而Normal类型是把主机中已有的网卡接口添加到OVS中
& r% u6 y/ ]/ |. o [7 s0 ~ h3 g3）Patch$ }# R$ q" S5 V
当主机中有多个ovs网桥时，可以使用Patch Port把两个网桥连起来。Patch Port总是成对出现，分别连接在两个网桥上，从一个Patch Port收到的数据包会被转发到另一个Patch Port，类似于Linux系统中的veth。使用Patch连接的两个网桥跟一个网桥没什么区别，OpenStack Neutron中使用到了Patch Port。上面网桥br-ext中的Port phy-br-ext与br-int中的Port int-br-ext是一对Patch Port) d' ]6 ] ^' h# e9 z
可以使用ovs-vsctl创建patch设备，如下创建两个网桥br0,br1，然后使用一对Patch Port连接它们
3 z% o' K6 V* _ovs-vsctl add-br br03 W0 O, w+ J( ^8 W+ _0 y7 \
ovs-vsctl add-br br1
. f( _6 e% s- N3 Qovs-vsctl \
8 {5 m$ l2 _* B9 k- p0 N-- add-port br0 patch0 --set interface patch0 type=patch options:peer=patch1 \# t. i! j5 A+ n3 ]" X" h& m% E
-- add-port br1 patch1 --set interface patch1 type=patch options:peer=patch0( z+ ?7 j' s [2 E4 Y5 E
/ z* p( H2 C+ G% g
结果如下% c* O9 G$ u0 p0 M
ovs-vsctl show+ ]; f4 S6 Y2 @) F2 }! O4 A
Bridge "br0"
3 J1 i% Z) p( v. B% \6 M Port "br0"# {1 {) h: N4 W" C
Interface "br0") ~, }; F. v2 n8 p9 O
type:internal7 Y7 \: \+ g6 k9 Q
Port "patch0"
1 p, `5 d& m( [ Interface "patch0"- q: t9 p9 Y0 T6 A6 w
type:patch$ G; Q( R" k& ~" C: `. X
options:{peer="patch1"}. m6 ~9 N) W! G" u
Bridge "br1"
7 Q6 t/ z2 ^/ B# b Port "br1"# c1 H6 Q! Y* g( H8 q( }- A! Q
Interface "br1"
& t! S/ F' t( I, v$ F type:internal
! u9 P: h5 ^% i7 ]7 x& r' i Port "patch1"# W0 t7 `! J3 T! ^
Interface "patch1"$ U3 @2 k4 R" B! R1 P$ l
type:patch" p# D3 P# P% E. U9 g: n: k: p
options:{peer="patch0"}
5 C: s, {1 Y& b5 o8 R0 P
0 A$ \! x, O* p+ G) _" @1 O4）Tunnel
/ Z0 y) K6 Q, F4 T. n5 \' oOVS中支持添加隧道(Tunnel)端口，常见隧道技术有两种gre或vxlan。隧道技术是在现有的物理网络之上构建一层虚拟网络，上层应用只与虚拟网络相关，以此实现的虚拟网络比物理网络配置更加灵活，并能够实现跨主机的L2通信以及必要的租户隔离。不同隧道技术其大体思路均是将以太网报文使用隧道协议封装，然后使用底层IP网络转发封装后的数据包，其差异性在于选择和构造隧道的协议不同。Tunnel在OpenStack中用作实现大二层网络以及租户隔离，以应对公有云大规模，多租户的复杂网络环境。
) g/ [1 A" z/ a7 [/ y( p) yOpenStack是多节点结构，同一子网的虚拟机可能被调度到不同计算节点上，因此需要有隧道技术来保证这些同子网不同节点上的虚拟机能够二层互通，就像他们连接在同一个交换机上，同时也要保证能与其它子网隔离。
! W" e# Y7 n) eOVS在计算和网络节点上建立隧道Port来连接各节点上的网桥br-int，这样所有网络和计算节点上的br-int互联形成了一个大的虚拟的跨所有节点的逻辑网桥(内部靠tunnel id或VNI隔离不同子网)，这个逻辑网桥对虚拟机和qrouter是透明的，它们觉得自己连接到了一个大的br-int上。从某个计算节点虚拟机发出的数据包会被封装进隧道通过底层网络传输到目的主机然后解封装。
0 y) O% ?: L" F上面网桥br-tun中Port "vxlan-080058ca"就是一个vxlan类型tunnel端口。下面使用两台主机测试创建vxlan隧道5 Z, T! L, u- Y2 P9 |
//主机192.168.7.21上
* x. S9 T9 c: |ovs-vsctl add-br br-vxlan2 N/ b$ `, Y, q3 R8 @! I
//主机192.168.7.23上
4 I ]4 s1 w6 | s; {ovs-vsctl add-br br-vxlan
& {$ _ K( j: v& D//主机192.168.7.21上添加连接到7.23的Tunnel Port- w0 A5 r& {0 D+ I( i+ _
ovs-vsctl add-port br-vxlan tun0 --set Interface tun0 type=vxlan options:remote_ip=192.168.7.23/ w: \4 [; E0 B) l' Z
//主机192.168.7.23上添加连接到7.21的Tunnel Port+ X; W& `; q! k( |0 \& T1 D, z
ovs-vsctl add-port br-vxlan tun0 --set Interface tun0 type=vxlan options:remote_ip=192.168.7.21
4 r" L4 B# O; a: s! |0 G5 h3 z! A3 Y9 b, V1 `6 e3 ^
然后，两个主机上桥接到br-vxlan的虚拟机就像连接到同一个交换机一样，可以实现跨主机的L2连接，同时又完全与物理网络隔离。
2 L" P* t c' z5 r. d3、Interface
; M5 V$ r9 L0 iInterface是连接到Port的网络接口设备，是OVS与外部交换数据包的组件，在通常情况下，Port和Interface是一对一的关系，只有在配置Port为 bond模式后，Port和Interface是一对多的关系。这个网络接口设备可能是创建Internal类型Port时OVS自动生成的虚拟网卡，也可能是系统的物理网卡或虚拟网卡(TUN/TAP)挂载在ovs上。 OVS中只有”Internal”类型的网卡接口才支持配置IP地址
& n% o5 v6 L! l; q D. GInterface是一块网络接口设备，负责接收或发送数据包，Port是OVS网桥上建立的一个虚拟端口，Interface挂载在Port上。一个接口就是操作系统的一块网卡. k* p: y' i/ R' m$ z$ x
当Open vSwitch创建一个新网桥时，默认会创建一个与网桥同名的Internal Port，同时也创建一个与Port同名的Interface。三位一体，所以操作系统里就多了一块网卡，但是状态是down的。+ U/ Y$ @, V5 T4 [- ^
4、Controller
* P& \& A# L$ }OpenFlow控制器。OVS可以同时接受一个或者多个OpenFlow控制器的管理。主要作用是下发流表(Flow Tables)到OVS，控制OVS数据包转发规则。控制器与OVS通过网络连接，不一定要在同一主机上
: u% h. y/ Y4 R; A! j可以看到上面实例中三个网桥br-int,br-ext,br-tun都连接到控制器Controller "tcp:127.0.0.1:6633上
! ^+ U: x, B/ f4 J5、Datapath% g y- L- \/ c1 O# ?* g
OVS内核模块，负责执行数据交换。由于流可能非常复杂，对每个进来的数据包都去尝试匹配所有流，效率会非常低，所以有了datapath这个东西。Datapath是流的一个缓存，会把流的执行结果保存起来，当下次遇到匹配到同一条流的数据包，直接通过datapath处理。考虑到转发效率，datapath完全是在内核态实现的，并且默认的超时时间非常短，大概只有3秒左右。
! B- a0 S8 V9 o }4 R3 E& V二、open vswitch常用操作 e" G- P" j. m, K' ?# N1 Y( X
1、ovs-vsctl
. p+ c# a) c5 Z: ~! Tovs-vsctl是一个管理或配置ovs-vswitchd的高级命令行工具，高级是说其操作对用户友好，封装了对数据库的操作细节。它是管理OVS最常用的命令，除了配置flows之外，其它大部分操作比如Bridge/Port/Interface/Controller/Database/Vlan等都可以完成6 k$ |2 g! V; k/ U2 f# Q. j
添加网桥br0
$ M% x( s) M8 H2 `0 i: X; x* z. sovs-vsctl add-br br03 t5 Z4 H$ J4 h; H C. q; y+ s/ S
列出所有网桥
' l( l! E8 Z! Q. Y( j5 Qovs-vsctl list-br
5 G) Q; {# }. \6 t添加一个Port p1到网桥br0
( B$ [( P' a$ M1 {+ rovs-vsctl add-port br0 p1$ C/ O6 U+ @2 _; j% u3 ^6 m1 D# i$ w
查看网络br0上所有Port
. P( |: m6 t. x+ Qovs-vsctl list-ports br0
% }. }# Y+ ~1 f: s L获取br0网桥的Openflow控制器地址，没有控制器则返回空
8 ~$ ~( }2 t+ W1 @, ]# z$ b9 L9 iovs-vsctl get-controller br0
4 J7 z! Y" I1 U, Q设置OpenFlow控制器，控制器地址为192.168.1.10，端口为6633$ A+ Z l; _: P( L; V+ T
ovs-vsctl set-controller br0 tcp:192.168.1.10:6633
9 d; A" ?3 N5 \8 P' h; R B移除controller! V; v8 W- @, B" q6 [0 _1 ^
ovs-vsctl del-controller br0
- v# s* W( E0 J& ~) o删除网桥br06 x3 l' A% |, e: T1 Y1 O$ j, m
ovs-vsctl del-br br00 w$ D; Q* I8 K, V
设置端口p1的vlan tag为1008 ]5 R8 e: f# q5 h) t8 ^
ovs-vsctl set Port p1 tag=100
# W% C# B5 ]5 S* Q+ i. i' H6 e! ^设置端口p0类型为internal
, `) _- P+ g6 u2 Eovs-vsctl set Interface p0 type=internal: i, q8 @2 l0 A- W0 a
添加vlan10端口，并设置vlan tag为10，Port类型为Internal4 \. ^" [0 K" ^5 f# }5 Q
ovs-vsctl add-port br0 vlan10 tag=10 --set Interface vlan10 type=internal8 R0 _) Y/ A# O; ]8 T# x
添加隧道端口gre0，类型为gre，远端IP为1.2.3.48 [' c1 L3 m5 F, b' L, D8 N
ovs-vsctl add-port br0 gre0 --set Interface gre0 type=gre options:remote_ip=1.2.3.4# H! @ W/ g1 l0 G% e5 ^$ G
: C% [/ d9 P" \& c
2、ovsdb-tool
5 q3 g& P0 z* ~: u) H& vovsdb-tool是一个专门管理OVS数据库文件的工具，不常用，它不直接与ovsdb-server进程通信
% F! D! Y$ D. V& n$ W//可以使用此工具创建并初始化database文件" F+ o7 S' O0 o% H" m
ovsdb-tool create [db][schema]# |8 ]+ `# S, g
//可以使用ovsdb-client get-schema [database]获取某个数据库的schema（json格式）
& |- d. H% z0 x0 E! e- z4 W1 g/ Y//可以查看数据库更改记录，具体到操作命令，这个比较有用
* R6 @1 I$ s; [/ J R7 xovsdb-tool show-log -m; E9 D0 l1 J( _& h" g
record 48: 2017-01-07 03:34:15.147 "ovs-vsctl: ovs-vsctl --timeout=5 -- --if-exists del-port tapcea211ae-10"! g* T6 ?: t& `0 Y
table Interface row "tapcea211ae-10" (151f66b6):
5 |+ ? v q# _6 b' |1 S5 @ delete row
1 u! O. w4 G# G8 p3 f table Port row "tapcea211ae-10" (cc9898cd):
; q# N0 G' R' D* ]& } delete row r* ^$ Z: _7 O3 Q2 B* X
table Bridge row "br-int" (fddd5e27):% u# u1 `5 u, x: Y3 @
table Open_vSwitch row a9fc1666 (a9fc1666):
+ P$ H0 Z7 m P, o- r" Hrecord 49: 2017-01-07 04:18:23.671 "ovs-vsctl: ovs-vsctl --timeout=5 -- --if-exists del-port tap5b4345ea-d5 -- add-port br-int tap5b4345ea-d5 -- set Interface tap5b4345ea-d5 "external-ids:attached-mac=\"fa:16:3e:50:1b:5b\"" -- set Interface tap5b4345ea-d5 "external-ids:iface-id=\"5b4345ea-d5ea-4285-be99-0e4cadf1600a\"" -- set Interface tap5b4345ea-d5 "external-ids:vm-id=\"0aa2d71e-9b41-4c88-9038-e4d042b6502a\"" -- set Interface tap5b4345ea-d5 external-ids:iface-status=active"
2 u+ u- Q9 K* L) i! i table Port insert row "tap5b4345ea-d5" (4befd532):
, u5 R; k+ m9 p0 f table Interface insert row "tap5b4345ea-d5" (b8a5e830):
( {$ d0 ?8 C+ O9 @ table Bridge row "br-int" (fddd5e27): V2 }& M4 J0 z
table Open_vSwitch row a9fc1666 (a9fc1666):0 q3 i( L( @# i" s
...( A. }% D& f/ `4 p, o( e
" Q4 D# v# x7 W
3、ovsdb-client
0 ~) `$ _0 @5 |6 Sovsdb-client是ovsdb-server进程的命令行工具，主要是从正在运行的ovsdb-server中查询信息，操作的是数据库相关- y1 w+ ~; v5 D, t* N0 X# F
//列出主机上的所有databases，默认只有一个库Open_vSwitch5 ]6 W+ k$ q; L+ |6 z
ovsdb-client list-dbs& K# J- c9 U% k9 a
//获取指定数据库的schema信息
5 o- [2 m3 m9 ^) Hovsdb-client get-schema [DATABASE]% u X' }8 b. _" B: ?
//列出指定数据库的所有表
; ^' i4 X6 z7 v% c# l' ]ovsdb-client list-tables [DATABASE]
- o y, Q2 ~. M//dump指定数据库所有数据,默认dump所有table数据，如果指定table，只dump指定table数据
) T3 v. V) n8 s. eovsdb-client dump [DATABASE] [TABLE]
+ F' \1 F* r' y//监控指定数据库中的指定表记录改变 1 g, z, f9 T% j8 l) H1 s
ovsdb-client monitor DATABASE TABLE, N" h/ F0 t# p# y v6 j, q+ e
+ _5 Y9 F! l$ B j9 g4、ovs-ofctl
9 O" ]. ~" n, I" r: \5 L$ movs-ofctl是专门管理配置OpenFlow交换机的命令行工具，我们可以用它手动配置OVS中的OpenFlow flows，注意其不能操作datapath flows和”hidden” flows$ A1 r- Y: G- ^/ c( M- K
//查看br-tun中OpenFlow flows5 s4 j' t1 v" d3 I/ u
ovs-ofctl dump-flows br-tun/ k" n$ q9 N2 g Q
//查看br-tun端口信息
; N7 ` M! y) b2 ?9 X, I4 {- |( O# ~ovs-ofctl show br-tun5 y. n! f, ?8 S
//添加新的flow：对于从端口p0进入交换机的数据包，如果它不包含任何VLAN tag，则自动为它添加VLAN tag 101( F; m, e& L5 S/ @& f$ J
ovs-ofctl add-flow br0 "priority=3,in_port=100,dl_vlan=0xffff,actions=mod_vlan_vid:101,normal"! b: c2 \2 P4 A/ W; j0 R
//对于从端口3进入的数据包，若其vlan tag为100，去掉其vlan tag，并从端口1发出
5 ~; T9 F: G! \5 ]ovs-ofctl add-flow br0 in_port=3,dl_vlan=101,actions=strip_vlan,output:1
% j- N* j4 R9 I//添加新的flow: 修改从端口p1收到的数据包的源地址为9.181.137.1,show 查看p1端口ID为100 1 j/ E4 g2 N7 |. A+ {3 Y0 Q/ g
ovs-ofctl add-flow br0 "priority=1 idle_timeout=0,in_port=100,actions=mod_nw_src:9.181.137.1,normal"" E& X- o; C0 x* f9 L8 d
//添加新的flow: 重定向所有的ICMP数据包到端口 p24 H8 d" ~# F( b8 S# P( h; V
ovs-ofctl add-flow br0 idle_timeout=0,dl_type=0x0800,nw_proto=1,actions=output:1021 I+ k+ z# k$ a/ j0 E7 z0 [
//删除编号为 100 的端口上的所有流表项 ( D# H( w; |8 y5 j: K3 M
ovs-ofctl del-flows br0 "in_port=100"
9 A& t: i0 N U0 t& R
" o! {7 G# }8 I三、使用open vswitch构建虚拟网络
0 g7 [; O# h, H1、构建物理机和物理机相互连接的网络/ A6 w t1 _1 o9 z2 g& w) L
在安装open vswitch的主机上有两块网卡，分别为eth0、eth1，把这两块网卡挂接到open vswitch的网桥上，然后有两台物理机host1、host2分别连接到eth0和eth1上，实现这两台物理机的通信。构建结果图如下：' `# d8 o. J1 o% V- \0 n, b/ C1 N
在这里插入图片描述
* n; o( A6 q2 ^ o% B L执行以下命令：1 f ? X2 { D2 O# i
ovs-vsctl add-br br0 //建立一个名为br0的open vswitch网桥
) p, M3 B, W8 S# I7 M+ Govs-vsctl add-port br0 eth0 //把eth0挂接到br0中3 Z5 N. T' F5 F1 {" N" V: \; z9 Y! R
ovs-vsctl add-port br0 eth1 //把eth1挂接到br0中
1 O t4 y* Z1 u) `& v: @
- h7 c, O: {" d3 t2、构建虚拟机与虚拟机相连的网络* I" C& t: L8 g' l" e
在安装open vswitch的主机上安装两个虚拟机，把两个虚拟机的网卡都挂接在open vswitch的网桥上，实现两台虚拟机的通信，构建结果图如下：' t; L7 N# ~; l' A5 s
在这里插入图片描述/ t: z' x0 h1 q" {/ \
执行以下命令：
: ]' i. n8 A$ @, j2 B/ d' O2 dovs-vsctl add-br br0 //建立一个名为br0的open vswitch网桥/ V0 Z7 g# S9 }# P3 `9 g
1, m) q8 _4 S: W8 C) _! P
如果使用vbox或virt-manager把bridge设置为br0即可，如果使用cli kvm则先创建两个文件，用于虚拟网卡的添加与删除。假设这两个文件分别为/etc/ovs-ifup和/etc/ovs-ifdown，则向这两个文件中写入以下内容：; U1 e! w; j ?! O9 ^
/etc/ovs-ifup5 P; v N* |* q. T* j
#!/bin/sh
! [' p G' H9 D1 ]1 s# g$ r; F- Sswitch='br0'
* H" O+ N" }* a, }/sbin/ifconfig $1 0.0.0.0 up$ I6 @, E- ]/ @! z, T
ovs-vsctl add-port $(switch) $1. o$ q' j: Q& J( h3 S" o
( G2 c4 X+ m+ H' m) H5 K( r/etc/ovs-ifdown
+ S0 P, N7 t9 `2 x2 ?& H#!/bin/sh2 `- L1 K; F* L6 H" p# k
switch='br0'% U- w1 G" n8 I/ w
/sbin/ifconfig $1 0.0.0.0 down( B+ M% q- C1 @' ~3 V4 m# A% e
ovs-vsctl del-port $(switch) $12 [, |9 t. i( b( I' r" ~
: L n- x# d9 h v8 u5 Y$ t, v
使用以下命令建立虚拟机
* f0 `. r9 B1 |9 i, m" ~kvm -m 512 -net nic,macaddr=00:11:22:33:44:55 \. t% E4 R% {# X' D, \- P2 u
-net tap,script=/etc/ovs-ifup,downscript=/etc/ovs-ifdown \
) v1 e; c6 ^5 f7 {1 ?-drive file=/path/to/disk-image,boot=on " p, G7 ~ F! W5 w+ v% H
kvm -m 512 -net nic,macaddr=11:22:33:44:55:66 \
7 @6 ]' d2 G! m! N W-net tap,script=/etc/ovs-ifup,downscript=/etc/ovs-ifdown-drive \' n( {; j; o* C0 \
file=/path/to/disk-image,boot=on
% s% J, F1 h3 M. H8 Z
- _' `% D# a& h4 F3、构建虚拟机与物理机相连的网络7 N/ D9 Y- i7 Y! P' `; Q
在装有open vswitch的主机上有一个物理网卡eth0，一台主机通过网线和eth0相连，在open vswitch的主机上还装有一台虚拟机，把此虚拟机和连接到eth0的主机挂接到同一个网桥上，实现两者之间的通信，构建结果图如下：
+ Y$ p+ a. V7 H' h, |- e在这里插入图片描述. i2 I3 J% f7 h8 Q7 L6 P& w/ x( e% s
执行命令：; K" D/ G7 P& m5 Y% W- i
ovs-vsctl add-br br0 //建立一个名为br0的open vswitch网桥% k; [( l6 o7 h( O0 q% C5 c2 B
ovs-vsctl add-port br0 eth0 //把eth0挂接到br0中5 ^2 C% L3 k+ {9 C" Z
kvm -m 512 -net nic,macaddr=00.11.22.33.44.55-net \
L+ p F# _+ X& }( q6 Z1 i1 \$ Atap,script=/etc/ovs-ifup,downscript=/etc/ovs-ifdown-drive \/ K, W+ T# L1 |% f
file=/path/to/disk-image,boot=on //ovs-ifup和ovs-ifdown和上一节相同* Q% y5 G7 w: S; G
0 m- U% e* l. z L
4、构建网桥和网桥相连的网络 j1 w. f4 `* Q- y1 _& j
以上操作都是将多个主机（物理机或虚拟机）连接到同一个网桥上，实现它们之间的通信，但是要构建复杂的网络，就需要多个网桥，在装有open vswitch的主机上建立两个网桥，实现它们之间的连接，构建结果如下：2 j- M% {8 R1 s, B4 C% q7 ]
在这里插入图片描述5 a6 ]5 B* v! D7 |4 @9 l; B
执行命令：% ?: @: j0 @3 T, k
ovs-vsctl add-br br0 //添加一个名为br0的网桥" h) m9 R1 i" G" H
ovs-vsctl add-br br1 //添加一个名为br1的网桥
$ A- P9 ?+ y, Y& ~ovs-vsctl add-port br0 patch-to-br1 //为br0添加一个虚拟端口
6 s1 y1 Y$ C# j: D6 s& @! lovs-vsctl set interface patch-to-br1 type=patch //把patch-to-br1的类型设置为patch
1 t! B) g, t- L* dovs-vsctl set interface patch-to-br1 options:peer=patch-to-br0 //把对端网桥和此网桥连接的端口名称设置为patch-to-br0
7 E% j) B+ y) l, ?ovs-vsctl add-port br1 patch-to-br0 //为br0添加一个虚拟端口) X: |+ q! m: y5 Z
ovs-vsctl set interface patch-to-br0 type=patch //把patch-to-br0的类型设置为patch3 | q9 R b3 g6 M& U9 K
ovs-vsctl set interface patch-to-br0 options:peer=patch-to-br1 //把对端网桥和此网桥连接的端口名称设置为patch-to-br1
4 q! L3 n) R! I' q1
: k* |: C- n. N" `- B9 T; q! F/ @+ G7 A- u8 Z" j8 T9 x5 L' o7 M
5、在不同的主机之间构建网桥之间的连接
+ l3 ? ?& c" V) n7 P! x8 D4 I, x在两台机器上分别安装上open vswitch并创建网桥，分别为两个网桥添加物理网卡，然后通过网线连接两个网桥，实现两个网桥之间的互通。构建结果图如下：% A0 B& s" Y8 w: ?9 Z. Y: p& y3 r
在这里插入图片描述
0 F6 t' s! b1 ^0 W" A7 ?/ I. Z执行命令：
) F M2 A! W6 T8 p. Zhost13 x9 x' R1 B; t; k8 h) I4 I
ovs-vsctl add-br br0 //添加名为br0的网桥
# `" c3 }, g, r( Y# {. movs-vsctl add-port br0 eth0 //把eth0挂接到br0上
, E" `% c& h5 s: w( L6 F [9 b! `
% }$ D4 _+ ^, t; r# T+ g- q# j- M, k" E/ \* t7 \9 Q
host2
& {9 t" r# t. u, hovs-vsctl add-br br0 //添加名为br0的网桥
& j4 w( Y, m# x' v/ a# xovs-vsctl add-port br0 eth0 //把eth0挂接到br0上
7 J# |, I g& Y9 z; i
0 \1 B3 w" R" H4 P( f然后使用网线把host1的eth0和host2的eth0相连即可。2 q- J2 [! f8 W Z) M' A
使用上边五种方法的组合就可以构建出各种复杂的网络，为各种实验提供网络的支持。
7 n4 V' A+ g3 t7 i/ C四、OVS中的各种流（flows）
( T5 m: K" f2 l: A4 |- iflows是OVS进行数据转发策略控制的核心数据结构，区别于Linux Bridge是个单纯基于MAC地址学习的二层交换机，flows的存在使OVS作为一款SDN交换机成为云平台网络虚拟机化主要组件
$ [6 _$ P5 [+ _8 Q. lOVS中有多种flows存在，用于不同目的，但最主要的还是OpenFlow flows这种，文中未明确说明的flows都是指OpenFlow flows% V- t9 I0 U& L1 S4 W) g
1、OpenFlow flows
- P" p! r8 s) c0 w( V( o3 ~0 oOVS中最重要的一种flows，Controller控制器下发的就是这种flows，OVS架构部分已经简单介绍过，关于OpenFlow 的具体使用，会在另一篇文章中说明
3 j% K$ J6 R- K$ f5 o3 c2、“hidden” flows
4 @) R- v& Q9 q% j& GOVS在使用OpenFlow flows时，需要与OpenFlow控制器建立TCP连接，若此TCP连接不依赖OVS，即没有OVS依然可以建立连接，此时就是out-of-band control模式，这种模式下不需要"hidden" flows。
# |# c3 C- y; c1 f但是在in-band control模式下，TCP连接的建立依赖OVS控制的网络，但此时OVS依赖OpenFLow控制器下发的flows才能正常工作，没法建立TCP连接也就无法下发flows，这就产生矛盾了，因此需要存在一些"hidden" flows，这些"hidden" flows保证了TCP连接能够正常建立。关于in-band control详细介绍，参考OVS官方文档Design Decisions In Open vSwitch 中In-Band Control部分，“hidden” flows优先级高于OpenFlow flows，它们不需要手动设置。可以使用ovs-appctl查看这些flows，下面命令输出内容包括OpenFlow flows,"hidden" flows9 i/ y9 L8 Y" O
ovs-appctl bridge/dump-flows<br>
1 ]7 J4 e( o5 }* A6 M8 m# f' i1 h0 H. i( C f- S8 h
3、datapath flows
$ z" X! l) p' ^# {# Q: _6 Udatapath flows是datapath内核模块维护的flows，由内核模块维护意味着我们并不需要去修改管理它。与OpenFlow flows不同的是，它不支持优先级，并且只有一个表，这些特点使它非常适合做缓存。与OpenFlow一样的是它支持通配符，也支持指令集(多个action), i( T+ C" R4 Q* ^4 J
datapath flows可以来自用户空间ovs-vswitchd缓存，也可以是datapath内核模块进行MAC地址学习到的flows，这取决与OVS是作为SDN交换机，还是像Linux Bridge那样只是一个简单基于MAC地址学习的二层交换机
) N6 d( s, C* q1 q4、管理flows的命令行工具' z* _& C( H! R/ _1 O: z) Z: C4 t) c
我们可以修改和配置的是OpenFlow flows。datapath flow和"hidden" flows由OVS自身管理，我们不必去修改它。当然，调试场景下还是可以使用工具修改的
; J# E% |: e. ^1 {介绍下上面三种flows管理工具，不具体说明，具体使用可以查看相关man手册% }0 O3 r l5 _: m& g
ovs-ofctl dump-flows <br> 打印指定网桥内的所有OpenFlow flows，可以存在多个流表(flow tables)，按表顺序显示。不包括"hidden" flows。这是最常用的查看flows命令，当然这条命令对所有OpenFlow交换机都有效，不单单是OVS6 X6 I% c: N' I- O
ovs-appctl bridge/dump-flows <br> 打印指定网桥内所有OpenFlow flows，包括"hidden" flows，in-band control模式下排错可以用到
3 H/ y0 B/ K! l6 Vovs-dpctl dump-flows [dp] 打印内核模块中datapath flows，[dp]可以省略，默认主机中只有一个datapath system@ovs-system man手册可以找到非常详细的用法说明，注意ovs-ofctl管理的是OpenFlow flows6 X( \6 V$ X: Q9 E3 \
|
|
发表于 2021-5-31 12:38:02