Subscribe on YouTube

Open vSwitch. Изолируем трафик виртуального сервера используя VLANы.

Организация виртуальной сети (VLAN) на программном коммутаторе Open vSwitch

VLAN - это функция в роутерах и коммутаторах, позволяющая на одном физическом сетевом интерфейсе создать несколько виртуальных локальных сетей.

В документации Open vSwitch предложен самый простой способ добавления существующего порта во VLAN, для этого присваиваем для порта тег (tag) с номером нужного нам VLAN.

ovs-vsctl set port <porn_name> tag=2010

И все бы хорошо, но у этого способа есть несколько минусов.
Во-первых, после выключения виртуального сервера, порт и соответствующие ему настройки автоматически удаляются. Во-вторых, определить соотношение порта к виртуальному серверу, при большом их количестве, становится проблемой. В-третьих, даже если мы создадим для каждого виртуального сервера статический порт и присвоим нужные теги, способа подключить виртуальный сервер к существующему порту при использовании KVM и lib­virt, нет.

Включим в нужный VLAN не отдельный порт, а весь коммутатор. Наш главный, родительский (ovs-br0) мы не изменяем, а создаем необходимо количество других в нужных нам VLAN-ах и подключаем их к главному, как порты.

# ovs-vsctl add-br <новый_дочерний_мост> <родительский_мост> <VLAN ID>
# ovs-vsctl add-br ovs-vlan2010 ovs-br0 2010

Данная команда создает виртуальный коммутатор ovs-vlan2010, подключает к основному, как порт и помещает его в VLAN с номером 2010.

Команда ovs-vsctl show дополнительно будет показывать теги каждого порта, определяя тем самым его принадлежность к VLAN.

Посмотреть в каком VLAN-е находится конкретный коммутатор:

# ovs-vsctl br-to-vlan <имя_коммутатора>

Посмотреть имя родительского коммутатора:

# ovs-vsctl br-to-parent <имя_коммутатора>

Подключаем новую суть через libvirtd

Создаем xml-файл с конфигурацией новой сети ovs-network.xml:

<network>
<name>ovs-network</name>
<forward mode='bridge'/>
<bridge name='ovs-br0'/>
<virtualport type='openvswitch'/>
<portgroup name='94' default='yes'>
</portgroup>
<portgroup name='Vlan2010'>
<vlan>
<tag id='2010'/>
</vlan>
</portgroup>
<portgroup name='Vlan2018'>
<vlan>
<tag id='2018'/>
</vlan>
</portgroup>
<portgroup name='vlan-all'>
<vlan trunk='yes'>
<tag id='2010'/>
<tag id='2018'/>
</vlan>
</portgroup>
</network>

Создаем сеть.

virsh net-define ovs-network.xml

Добавляем в автозапуск.

virsh net-autostart ovs-network

Запускаем сеть.

virsh net-start ovs-network

Для того, чтобы перевести тот или иной виртуальный сервер в нужный нам VLAN, добавляем например portgroup='Vlan2010' в XML:

<interface type='network'>
<mac address='52:54:00:27:0d:45'/>
<source network='ovs-network' portgroup='Vlan2010'/>
<model type='virtio'/>
<address type='pci' domain='0x0000' bus='0x00' slot='0x03' function='0x0'/>
</interface>
Поделиться Комментарии