OpenStack Neutron Dynamic Routing

最新推荐文章于 2024-02-27 15:16:03 发布

iqifenxia

最新推荐文章于 2024-02-27 15:16:03 发布

阅读量203

点赞数

文章标签： eclipse

原文链接：https://www.fgba.net/forum-53-1.html

版权

如果你还不了解BGP，建议先看这篇BGP漫谈。

作为航空母舰的OpenStack怎么能没有BGP这个功能呢？这次来看看OpenStack里的BGP项目：neutron-dynamic-routing。

Neutron dynamic routing是由HPE工程师发起的项目，其实代码最开始在neutron里面，后来才独立出去的。Neutron号称只处理2-3层的业务，BGP作为7层的协议，独立出去也符合Neutron的发展方向。

以上一篇BGP漫谈里面讲的小明的云4.0版本为案例来说明，小明有了自己的公网IP池，但这个也不是无限的，不可能给每个虚机都分配一个公网IP，这样太奢侈了。现实的数据中心中，通常只能有部分虚机有公网IP，大部分虚机都还是私网IP。例如在一个3层应用架构里面，之需要给web server分配公网IP，application server和DB server用私网IP就可以了，也更安全。

那问题又来了：

1. 小明的云中路由器如何区分公网IP和私网IP。具体来说，公网IP需要直接路由出去，而私网IP需要走NAT访问外网。

2. 小明的BGP服务怎么知道哪些IP可以广播出去，而哪些就算广播出去也没用（私网IP地址）。

为了解决这个问题，我们需要看一下Neutron的address scope。Neutron address scope是我在Neutron Mitaka版本参与完成的功能，我之前和HPE的工程师Carl Baldwin在Austin峰会讲过address scope。

因为Neutron address scope是基于Neutron subnetpool，所以先看看subnetpool。

Subnetpool

Subnetpool是一个逻辑的概念，在Subnetpool之前，Neutron中的subnet是由用户自己申请CIDR，对于CIDR没有一个统一的管理。这就导致，不同的租户申请的CIDR可能是重叠的，一旦重叠，那么租户的网络就不可能通过L3连接在一起。另外在其他的应用场合里面，也要求私网地址不能重叠，例如kuryr。所以kuryr也是基于Neutron subnetpool，这我在之前的文章里面也提过。

Subnetpool就是为了解决这个问题而诞生的，subnetpool预先分配好CIDR池，用户在创建subnet的时候，可以不用自己指定CIDR，而是指定subnetpool，然后subnetpool会给subnet 分配CIDR。通过subnetpool的统一分配，可以保证，一个subnetpool下的所有subnet，CIDR是唯一且不重叠的。对应的也就有，一个subnetpool下面的所有网络端口，IP也是唯一的。

相应的，在Neutron subnet中也新增了一个属性，subnetpool_id，用来表示当前subnet属于哪个subnetpool。Subnetpool与subnet是一对多的关系，并且一个Neutron network下的所有同一类subnet只可能属于一个subnetpool。这里说的同一类是指IPv4或者IPv6。

Address Scope

先看address scope跟subnetpool的关系。

Address scope与subnetpool的对应关系也是一对多。这说明subnetpool只能属于一个address scope，对应的在subnetpool中也新增了一个属性：address_scope_id。相应的Neutron network也新增了两个属性，ipv4_address_scope和ipv6_address_scope。与subnetpool相似，一个address scope内的subnetpool不允许CIDR地址重叠。也就是说，如果两个IP地址都来自一个address scope，那么它们肯定不相同。

不同于subnetpool的是，address scope不仅是一个逻辑功能，还是一个附加在L3上的实际的网络功能。具体的功能有：

这是一个隔离的功能，也就说如果两个网络不在一个address scope中，那么就算用router将它们连接在一起，它们之间还是不能互通。为什么要这么做？当你的address scope1里面的IP地址是公网IP，而address scope2的地址是私网IP，你肯定不想让私网IP通过路由器就能转发到公网IP。另一方面，你也不想让你的私网地址能都直接被公网地址访问。私网和公网之间应该是隔离的。

如果与router gateway在一个address scope内，那么租户网络地址在经过Neutron router时，不会做NAT，而是直接路由出去。相反，如果不在同一个address scope，那么租户网络还是通过NAT访问外网。这是不是就解决了前面提出的第一个问题，在路由器上区分公网IP和私网IP。只需要给公网IP和私网IP指定相应的address scope，那么Neutron router就能区分它们，并且分别执行相应的动作。

为了不影响使用和向前兼容，我们在实现的时候，对于所有未指定address scope的network和subnetpool，都认为属于no scope。在no scope下，CIDR是可以重叠的，且在L3也没有特殊功能（东西向都互通，南北向都走NAT）。也就是说不使用address scope，是感觉不到它的存在的。

Neutron dynamic routing

前面解决了一个问题，那再来看第二个问题，Neutron的BGP服务怎么知道哪些地址是可以通过BGP广播出去的？其实也很明显了。只有跟外网在一个address scope的地址，且这些网络连接到了路由器，才会被广播出去。

为什么需要跟外网在一个address scope，因为address scope确保了IP地址不重叠，这些二手手机靓号拍卖平台CIDR是可以安全的广播出来，另一个方面不同的address scope之间做了隔离，这些CIDR广播出来也不会造成安全问题。

为什么需要连接到路由器的网络地址才会被广播？因为只有连接到路由器的地址才有可能被访问到啊。否则就是在一个二层网络里面了。

上图中，也就是与provider network在同一个address scope内的三个浅蓝色的self-service network会被Neutron BGP广播出去。而浅绿色的那个网络还是通过NAT，借助router gateway访问外网。

具体使用

有了前面的介绍，再来介绍Neutron dynamic routing的使用，就简单多了。接下来都是基于neutron的官方文档来描述。

先是创建address scope和subnetpool，把self-service network 和provider network都创建在address scope下。这里不再说私网，公网了，而是说self-service network 和provider network。self-service network就是给云上的虚拟机使用的网络，可以是私网地址，也可以是外网地址，provider network映射物理网络，在BGP的环境下，必须是外网地址。当self-service network创建在与provider network在同一个address scope下时，可以认为self-service里的也是外网地址。

然后将self-service network 和provider network都加到Neutron router上。self-service network作为router interface接入，provider network作为router gateway接入。

之后创建BGP speaker，这里的BGP speaker可以看成是前一篇BGP漫谈里面的BGP router。

$ neutron bgp-speaker-create --ip-version 4 --local-as LOCAL_AS bgpspeaker

这里指定的local-as就是BGP router所在的AS分配到的编号。

BGP router该广播哪些本地路由，这个是需要指定的。Quagga可以通过静态配置文件来指定需要广播的路由，而对于OpenStack来说，是通过将BGP speaker与provider network关联来指定需要广播的路由。这之间是什么关系？

一旦BGP speaker与provider network关联了，Neutron会查找所有连接到provider network的router，进而查找连接到这些router上的，且与provider network在同一个address scope下的self-service network，这些self-service network就是需要被广播的对象。这比静态指定方便多了。可以通过以下命令查看当前BGP speaker具体会广播哪些路由。