Open vSwitch: Sağlayıcı ağlar¶

Denetleyici düğüm¶

1. neutron-server hizmeti ve ML2 eklentisini sağlayan Ağ hizmet bileşenlerini kurun.

2. neutron.conf dosyasında:

   • Genel seçenekleri yapılandır:

     [DEFAULT]
     core_plugin = ml2
     auth_strategy = keystone
     
     [database]
     # ...
     
     [keystone_authtoken]
     # ...
     
     [nova]
     # ...
     
     [agent]
     # ...
     

     [DEFAULT], [database], [keystone_authtoken], [nova], ve [agent] bölümleri için uygun ek yapılandırmaları bulmak için OpenStack sürümünüze göre Kurulum Dökümanları ve Kılavuzları ve Yapılandırma Kılavuzu belgelerine bakın.

   • Hizmet sağlayıcı eklentilerini devre dışı bırakın; çünkü sağlayıcı ağları herhangi bir gereklilik göstermez. Bununla birlikte, bu, Ağ hizmetini yöneten gösterge tablosunun bölümlerini bozar. Daha fazla bilgi için Ocata Kurulum Belgeleri ve Kılavuzları na bakın.

     [DEFAULT]
     service_plugins =
     

   • Ağ başına iki DHCP aracısı etkinleştirin, böylece her iki hesaplama düğümü de DHCP hizmeti sağlayıcısı ağları sağlayabilir.

     [DEFAULT]
     dhcp_agents_per_network = 2
     

   • Gerekli ise, MTU yapılandırın.

3. ml2_conf.ini dosyasında:

   • Sürücüleri ve ağ türlerini yapılandır:

     [ml2]
     type_drivers = flat,vlan
     tenant_network_types =
     mechanism_drivers = openvswitch
     extension_drivers = port_security
     

   • Ağ eşlemelerini yapılandırın:

     [ml2_type_flat]
     flat_networks = provider
     
     [ml2_type_vlan]
     network_vlan_ranges = provider
     

     Not

     tenant_network_types seçeneği, hiçbir değer içermiyor, çünkü mimari self servis ağları desteklemez.

     Not

     network_vlan_ranges seçeneğindeki sağlayıcı değeri keyfi VLAN Kimliklerinin kullanılmasını desteklemek için VLAN ID aralıklarından yoksundur.

4. Veritabanı oluştur.

   # su -s /bin/sh -c "neutron-db-manage --config-file /etc/neutron/neutron.conf \
     --config-file /etc/neutron/plugins/ml2/ml2_conf.ini upgrade head" neutron
   

5. Aşağıdaki servisleri başlatın:

   • Sunucu

Hesaplama düğümleri¶

1. Ağ hizmeti OVS katmanı-2 ajanı, DHCP ajanı ve meta veri ajanını yükleyin.

2. OVS kurun.

3. neutron.conf dosyasında, genel seçenekleri yapılandırın:

   [DEFAULT]
   core_plugin = ml2
   auth_strategy = keystone
   
   [database]
   # ...
   
   [keystone_authtoken]
   # ...
   
   [nova]
   # ...
   
   [agent]
   # ...
   

   [DEFAULT], [database], [keystone_authtoken], [nova], ve [agent] bölümleri için uygun ek yapılandırmaları bulmak için OpenStack sürümünüze göre Kurulum Dökümanları ve Kılavuzları ve Yapılandırma Kılavuzu belgelerine bakın.

4. openvswitch_agent.ini dosyasında OVS ajanını yapılandır:

   [ovs]
   bridge_mappings = provider:br-provider
   
   [securitygroup]
   firewall_driver = iptables_hybrid
   

5. dhcp_agent.ini dosyasında, DHCP ajanını yapılandırın:

   [DEFAULT]
   interface_driver = openvswitch
   enable_isolated_metadata = True
   force_metadata = True
   

   Not

   force_metadata seçeneği, DHCP ajanını alt ağın bir yönlendiricide bir arabirim barındırıp barındırmadığına bakılmaksızın 169.254.169.254 üzerinde meta veri servisine bir ana bilgisayar yolu sunmasını zorlar ve böylece alt ağlar arasında benzer ve öngörülebilir meta veri davranışı sürdürülür.

6. metadata_agent.ini dosyasında, metadata ajanını yapılandır:

   [DEFAULT]
   nova_metadata_ip = controller
   metadata_proxy_shared_secret = METADATA_SECRET
   

   METADATA_SECRET değeri, nova.conf dosyasının [neutron] bölümündeki aynı seçeneğin değeriyle eşleşmelidir.

7. Aşağıdaki servisleri başlatın:

   • OVS

8. OVS sağlayıcı köprüsü ``br-provider``i oluştur:

   $ ovs-vsctl add-br br-provider
   

9. OVS sağlayıcı köprü br-provider üzerinde sağlayıcı ağ arabirimini bağlantı noktası olarak ekle:

   $ ovs-vsctl add-port br-provider PROVIDER_INTERFACE
   

   Sağlayıcı ağları barındıran ilgili arabirimin adı ile PROVIDER_INTERFACE``i yer değiştirin. Örnek, ``eth1.

10. Aşağıdaki servisleri başlatın:

    • OVS ajanı
    • DHCP ajanı
    • Metadata ajanı

Servis işlemini doğrula¶

1. Yönetimsel proje kimlik bilgilerini kaynak olarak verin.

2. Ajanların varlığını ve çalışmasını doğrulayın:

   $ openstack network agent list
   +--------------------------------------+--------------------+----------+-------------------+-------+-------+---------------------------+
   | ID                                   | Agent Type         | Host     | Availability Zone | Alive | State | Binary                    |
   +--------------------------------------+--------------------+----------+-------------------+-------+-------+---------------------------+
   | 1236bbcb-e0ba-48a9-80fc-81202ca4fa51 | Metadata agent     | compute2 |                   | True  | UP    | neutron-metadata-agent    |
   | 457d6898-b373-4bb3-b41f-59345dcfb5c5 | Open vSwitch agent | compute2 |                   | True  | UP    | neutron-openvswitch-agent |
   | 71f15e84-bc47-4c2a-b9fb-317840b2d753 | DHCP agent         | compute2 | nova              | True  | UP    | neutron-dhcp-agent        |
   | a6c69690-e7f7-4e56-9831-1282753e5007 | Metadata agent     | compute1 |                   | True  | UP    | neutron-metadata-agent    |
   | af11f22f-a9f4-404f-9fd8-cd7ad55c0f68 | DHCP agent         | compute1 | nova              | True  | UP    | neutron-dhcp-agent        |
   | bcfc977b-ec0e-4ba9-be62-9489b4b0e6f1 | Open vSwitch agent | compute1 |                   | True  | UP    | neutron-openvswitch-agent |
   +--------------------------------------+--------------------+----------+-------------------+-------+-------+---------------------------+
   

Başlangıç ağları oluştur¶

Yapılandırma, bir düz veya birden çok VLAN sağlayıcı ağını destekler. Kolaylık olması için, aşağıdaki prosedür bir düz tedarikçi ağı oluşturur.

1. Yönetimsel proje kimlik bilgilerini kaynak olarak verin.

2. Bir düz ağ oluşturun.

   $ openstack network create --share --provider-physical-network provider \
     --provider-network-type flat provider1
   +---------------------------+-----------+-
   | Field                     | Value     |
   +---------------------------+-----------+
   | admin_state_up            | UP        |
   | mtu                       | 1500      |
   | name                      | provider1 |
   | port_security_enabled     | True      |
   | provider:network_type     | flat      |
   | provider:physical_network | provider  |
   | provider:segmentation_id  | None      |
   | router:external           | Internal  |
   | shared                    | True      |
   | status                    | ACTIVE    |
   +---------------------------+-----------+
   

   Not

   share seçeneği herhangi bir projenin bu ağı kullanmasına izin verir. Sağlayıcı ağlarına erişimi sınırlamak için Rol-tabanlı Erişim Kontrolü (RBAC) konusuna bakın.

   Not

   Düz bir ağ yerine bir VLAN ağı oluşturmak için, --provider:network_type flat parametresini --provider-network-type vlan olarak değiştirin ve ``–provider-segment``e VLAN ID’e referans eden bir değer ekleyin.

3. Sağlayıcı ağ üzerinde bir IPv4 alt ağı oluştur.

   $ openstack subnet create --subnet-range 203.0.113.0/24 --gateway 203.0.113.1 \
     --network provider1 --allocation-pool start=203.0.113.11,end=203.0.113.250 \
     --dns-nameserver 8.8.4.4 provider1-v4
   +-------------------+----------------------------+
   | Field             | Value                      |
   +-------------------+----------------------------+
   | allocation_pools  | 203.0.113.11-203.0.113.250 |
   | cidr              | 203.0.113.0/24             |
   | dns_nameservers   | 8.8.4.4                    |
   | enable_dhcp       | True                       |
   | gateway_ip        | 203.0.113.1                |
   | ip_version        | 4                          |
   | name              | provider1-v4               |
   +-------------------+----------------------------+
   

   Not

   DHCP’nin etkinleştirilmesi, Ağ hizmetinin fiziksel ağ altyapısında mevcut DHCP hizmetleriyle etkileşime girebilecek DHCP sağlamasına neden olur.

4. Sağlayıcı ağı üzerinde bir IPv6 alt ağı oluşturun.

   $ openstack subnet create --subnet-range fd00:203:0:113::/64 --gateway fd00:203:0:113::1 \
     --ip-version 6 --ipv6-address-mode slaac --network provider1 \
     --dns-nameserver 2001:4860:4860::8844 provider1-v6
   +-------------------+------------------------------------------------------+
   | Field             | Value                                                |
   +-------------------+------------------------------------------------------+
   | allocation_pools  | fd00:203:0:113::2-fd00:203:0:113:ffff:ffff:ffff:ffff |
   | cidr              | fd00:203:0:113::/64                                  |
   | dns_nameservers   | 2001:4860:4860::8844                                 |
   | enable_dhcp       | True                                                 |
   | gateway_ip        | fd00:203:0:113::1                                    |
   | ip_version        | 6                                                    |
   | ipv6_address_mode | slaac                                                |
   | ipv6_ra_mode      | None                                                 |
   | name              | provider1-v6                                         |
   +-------------------+------------------------------------------------------+
   

   Not

   Ağ hizmeti, yönlendirici tanıtımı sağlamak için katman-3 aracısını kullanır. Sağlayıcı ağları, katman-3 aracı yerine katman-3 hizmetleri için fiziksel ağ altyapısına dayalıdır. Dolayısıyla, fiziksel ağ altyapısı IPv6’nın düzgün çalışması için sağlayıcı ağlarında yönlendirici tanıtımı sağlamalıdır.

Ağ işlemlerini doğrula¶

1. Her hesaplama düğümünde, qdhcp ad alanının oluşumunu doğrulayın.

   # ip netns
   qdhcp-8b868082-e312-4110-8627-298109d4401c
   

2. Normal (idari olmayan) bir proje kimlik bilgisi kaynağı.

3. Ağı kullanarak ping ve SSH erişim örneklerine izin vermek için uygun güvenlik grubu kurallarını oluşturun.

   $ openstack security group rule create --proto icmp default
   +------------------+-----------+
   | Field            | Value     |
   +------------------+-----------+
   | direction        | ingress   |
   | ethertype        | IPv4      |
   | protocol         | icmp      |
   | remote_ip_prefix | 0.0.0.0/0 |
   +------------------+-----------+
   
   $ openstack security group rule create --ethertype IPv6 --proto ipv6-icmp default
   +-----------+-----------+
   | Field     | Value     |
   +-----------+-----------+
   | direction | ingress   |
   | ethertype | IPv6      |
   | protocol  | ipv6-icmp |
   +-----------+-----------+
   
   $ openstack security group rule create --proto tcp --dst-port 22 default
   +------------------+-----------+
   | Field            | Value     |
   +------------------+-----------+
   | direction        | ingress   |
   | ethertype        | IPv4      |
   | port_range_max   | 22        |
   | port_range_min   | 22        |
   | protocol         | tcp       |
   | remote_ip_prefix | 0.0.0.0/0 |
   +------------------+-----------+
   
   $ openstack security group rule create --ethertype IPv6 --proto tcp --dst-port 22 default
   +------------------+-----------+
   | Field            | Value     |
   +------------------+-----------+
   | direction        | ingress   |
   | ethertype        | IPv6      |
   | port_range_max   | 22        |
   | port_range_min   | 22        |
   | protocol         | tcp       |
   +------------------+-----------+
   

4. Sağlayıcı ağı üzerindeki bir arayüzle bir sunucuyu başlatın. Örneğin, flavor ID 1’i kullanan bir CirrOS imajı.

   $ openstack server create --flavor 1 --image cirros \
     --nic net-id=NETWORK_ID provider-instance1
   

   ``NETWORK_ID``yi sağlayıcı ağın ID’si ile değiştirin.

5. Sunucunun IPv4 ve IPv6 adreslerini belirleyin.

   $ openstack server list
   +--------------------------------------+--------------------+--------+------------------------------------------------------------+------------+
   | ID                                   | Name               | Status | Networks                                                   | Image Name |
   +--------------------------------------+--------------------+--------+------------------------------------------------------------+------------+
   | 018e0ae2-b43c-4271-a78d-62653dd03285 | provider-instance1 | ACTIVE | provider1=203.0.113.13, fd00:203:0:113:f816:3eff:fe58:be4e | cirros     |
   +--------------------------------------+--------------------+--------+------------------------------------------------------------+------------+
   

6. Denetleyici düğümde veya sağlayıcı ağa erişimi olan herhangi bir ana bilgisayarda, sunucunun IPv4 ve IPv6 adreslerine ping atın.

   $ ping -c 4 203.0.113.13
   PING 203.0.113.13 (203.0.113.13) 56(84) bytes of data.
   64 bytes from 203.0.113.13: icmp_req=1 ttl=63 time=3.18 ms
   64 bytes from 203.0.113.13: icmp_req=2 ttl=63 time=0.981 ms
   64 bytes from 203.0.113.13: icmp_req=3 ttl=63 time=1.06 ms
   64 bytes from 203.0.113.13: icmp_req=4 ttl=63 time=0.929 ms
   
   --- 203.0.113.13 ping statistics ---
   4 packets transmitted, 4 received, 0% packet loss, time 3002ms
   rtt min/avg/max/mdev = 0.929/1.539/3.183/0.951 ms
   
   $ ping6 -c 4 fd00:203:0:113:f816:3eff:fe58:be4e
   PING fd00:203:0:113:f816:3eff:fe58:be4e(fd00:203:0:113:f816:3eff:fe58:be4e) 56 data bytes
   64 bytes from fd00:203:0:113:f816:3eff:fe58:be4e icmp_seq=1 ttl=64 time=1.25 ms
   64 bytes from fd00:203:0:113:f816:3eff:fe58:be4e icmp_seq=2 ttl=64 time=0.683 ms
   64 bytes from fd00:203:0:113:f816:3eff:fe58:be4e icmp_seq=3 ttl=64 time=0.762 ms
   64 bytes from fd00:203:0:113:f816:3eff:fe58:be4e icmp_seq=4 ttl=64 time=0.486 ms
   
   --- fd00:203:0:113:f816:3eff:fe58:be4e ping statistics ---
   4 packets transmitted, 4 received, 0% packet loss, time 2999ms
   rtt min/avg/max/mdev = 0.486/0.796/1.253/0.282 ms
   

7. Sunucuya erişim alın.

8. Internet veya diğer harici ağlara IPv4 ve IPv6 bağlanılabilirliğini test edin.

Kuzey-güney¶

• Sunucu, hesaplama düğümü 1’de bulunur ve sağlayıcı ağı 1’i kullanır.
• Sunucu ana bilgisayara internet üzerinden bir paket gönderir.

Aşağıdaki adımlar hesaplama düğüm 1’i içerir.

1. Sunucu arabirimi (1) paketi veth çifti aracılığıyla güvenlik grubu köprüsü sunucu portuna (2) iletir.
2. Güvenlik grubu köprüsündeki güvenlik grubu kuralları (3), paket için güvenlik duvarını ve bağlantı izlemeyi ele alır.
3. Güvenlik grubu köprüsü OVS portu (4), paketin veth çifti aracılığıyla OVS entegrasyon köprü güvenlik grubu portuna (5) iletilmesini sağlar.
4. OVS entegrasyon köprüsü pakete dahili bir VLAN etiketi ekler.
5. OVS entegrasyon köprüsü int-br-provider yama bağlantı noktası (6), paketi, OVS sağlayıcı köprüsü``phy-br-provider`` yama bağlantı noktasına (7) iletir.
6. OVS sağlayıcı köprüsü, dahili VLAN etiketini gerçek VLAN etiketi 101 ile değiştirir.
7. OVS sağlayıcısı köprü sağlayıcısı ağ bağlantı noktası (8) paketi fiziksel ağ arabirimine iletir (9).
8. Fiziksel ağ arabirimi paketi fiziksel ağ altyapısı anahtarına iletir (10).

Aşağıdaki adımlar fiziksel ağ altyapısını içerir:

1. Anahtar, VLAN 101 etiketini paketten kaldırır ve yönlendiriciye (11) iletir.
2. Yönlendirci, pakeri sağlayıcı ağdan (12) harici ağa (13) gönderir ve paketi switch’e (14) gönderir.
3. Switch paketi harici ağa iletir (15).
4. Harici ağ (16) paketi alır.

Doğu-batı senaryosu 1: Aynı ağ üzerindeki sunucular¶

Aynı ağdaki sunucular, doğrudan bu sunucuları içeren hesaplama düğümleri arasında iletişim kurar.

• Sunucu 1, hesap düğümü 1’de bulunur ve sağlayıcı ağı 1’i kullanır.
• Sunucu 2, düğüm 2 üzerindedir ve sağlayıcı ağ 2’yi kullanır.
• Sunucu 1, sunucu 2’ye bir paket gönderir.

Aşağıdaki adımlar hesaplama düğümü 1’i içerir:

1. Sunucu 1 arabirimi (1) paketi veth çifti aracılığıyla güvenlik grubu köprü sunucu bağlantı noktasına iletir.
2. Güvenlik grubu köprüsündeki güvenlik grubu kuralları (3), paket için güvenlik duvarını ve bağlantı izlemeyi ele alır.
3. Güvenlik grubu köprüsü OVS portu (4), paketin veth çifti aracılığıyla OVS entegrasyon köprü güvenlik grubu portuna (5) iletilmesini sağlar.
4. OVS entegrasyon köprüsü pakete dahili bir VLAN etiketi ekler.
5. OVS entegrasyon köprüsü int-br-provider yama bağlantı noktası (6), paketi, OVS sağlayıcı köprüsü``phy-br-provider`` yama bağlantı noktasına (7) iletir.
6. OVS sağlayıcı köprüsü, dahili VLAN etiketini gerçek VLAN etiketi 101 ile değiştirir.
7. OVS sağlayıcısı köprü sağlayıcısı ağ bağlantı noktası (8) paketi fiziksel ağ arabirimine iletir (9).
8. Fiziksel ağ arabirimi paketi fiziksel ağ altyapısı anahtarına iletir (10).

Aşağıdaki adımlar fiziksel ağ altyapısını içerir:

1. Switch paketi hesaplama düğümü 1’den hesaplama düğümü 2’ye (11) iletir.

Aşağıdaki adımlar hesaplama düğüm 2’yi içerir:

1. Fiziksel ağ arabirimi (12) pakeri OVS sağlayıcı köprü sağlayıcı ağı bağlantı noktasına (13) iletir.
2. OVS sağlayıcı köprüsü phy-br-provider yama bağlantı noktası (14) paketi OVS entegrasyon köprüsü int-br-provider yama bağlantı noktasına (15) iletir.
3. OVS entegrasyon köprüsü, gerçek VLAN 101 etiketini dahili VLAN etiketi ile değiştirir.
4. OVS entegrasyon köprü güvenlik grubu bağlantı noktası (16), paketi güvenlik grubu köprüsü OVS bağlantı noktasına (17) iletir.
5. Güvenlik grubu köprüsündeki güvenlik grubu kuralları (18), paket için güvenlik duvarını ve bağlantı izlemeyi ele alır.
6. Güvenlik grubu köprü sunucu portu (19) paketi veth çifti vasıtasıyla sunucu 2 arabirimine (20) iletir.

Doğu-batı senaryosu 2: Farklı ağlardaki sunucular¶

Sunucular, yönlendirici aracılığıyla fiziksel ağ altyapısında iletişim kurar.

• Sunucu 1, hesap düğümü 1’de bulunur ve sağlayıcı ağı 1’i kullanır.
• Sunucu 2, hesap düğümü 1’de bulunur ve sağlayıcı ağı 2’yi kullanır.
• Sunucu 1, sunucu 2’ye bir paket gönderir.

Aşağıdaki adımlar, hesaplama düğümünü içerir:

1. Sunucu 1 arabirimi (1) paketi veth çifti aracılığıyla güvenlik grubu köprü sunucu bağlantı noktasına iletir.
2. Güvenlik grubu köprüsündeki güvenlik grubu kuralları (3), paket için güvenlik duvarını ve bağlantı izlemeyi ele alır.
3. Güvenlik grubu köprüsü OVS portu (4), paketin veth çifti aracılığıyla OVS entegrasyon köprü güvenlik grubu portuna (5) iletilmesini sağlar.
4. OVS entegrasyon köprüsü pakete dahili bir VLAN etiketi ekler.
5. OVS entegrasyon köprüsü int-br-provider yama bağlantı noktası (6), paketi, OVS sağlayıcı köprüsü``phy-br-provider`` yama bağlantı noktasına (7) iletir.
6. OVS sağlayıcı köprüsü, dahili VLAN etiketini gerçek VLAN etiketi 101 ile değiştirir.
7. OVS sağlayıcısı köprü sağlayıcısı ağ bağlantı noktası (8) paketi fiziksel ağ arabirimine iletir (9).
8. Fiziksel ağ arabirimi paketi fiziksel ağ altyapısı anahtarına iletir (10).

Aşağıdaki adımlar fiziksel ağ altyapısını içerir:

1. Anahtar, VLAN 101 etiketini paketten kaldırır ve yönlendiriciye (11) iletir.
2. Yöneltici, paketi, sağlayıcı ağı 1’den (12) sağlayıcı ağı 2’ye (13) yönlendirir.
3. Yönlendirici paketi switch’e yönlendirir (14).
4. Switch pakete VLAN 102 etiketini ekler ve hesaplama düğümü 1’e iletir (15).

Aşağıdaki adımlar, hesaplama düğümünü içerir:

1. Fiziksel ağ arabirimi (16) paketi OVS sağlayıcı köprü sağlayıcı ağ bağlantı noktasına (17) iletir .
2. OVS sağlayıcı köprü phy-br-provider yama bağlantı noktası (18) paketi OVS entegrasyon köprüsü int-br-provider yama bağlantı noktasına (19) iletir.
3. OVS entegrasyon köprüsü gerçek VLAN 102 etiketini dahili VLAN etiketi ile değiştirir.
4. OVS integrasyon köprü güvenlik grup bağlantı noktası (20) dahili VLAN etiketini kaldırır ve paketi güvenlik grup köprüsü OVS bağlantı noktasına (21) iletir.
5. Güvenlik grubu köprüsündeki güvenlik grubu kuralları (22), paket için güvenlik duvarını ve bağlantı izlemeyi ele alır.
6. Güvenlik grubu köprü sunucu bağlantı noktası (23), paketi veth çifti aracılığıyla sunucu 2 arabirimine (24) iletir.