虚拟化技术（十二）典型网络虚拟化部署流程

最新推荐文章于 2025-10-13 22:12:52 发布

原创最新推荐文章于 2025-10-13 22:12:52 发布 · 708 阅读

25 ·

CC 4.0 BY-SA版权

文章标签：

#网络 #虚拟化

云原生专栏收录该内容

17 篇文章

订阅专栏

一、典型网络虚拟化部署流程（以VXLAN+OVS+Kubernetes为例）

1. 环境准备

物理服务器：至少3台，安装Linux（建议Ubuntu/CentOS）。
Kubernetes集群：已部署好master和node，网络互通。
支持硬件虚拟化和多网卡（如有SR-IOV/DPDK需求）。

2. 安装Open vSwitch（OVS）

# Ubuntu
sudo apt-get update
sudo apt-get install openvswitch-switch -y

# CentOS
sudo yum install openvswitch -y
sudo systemctl start openvswitch
sudo systemctl enable openvswitch

3. 创建VXLAN虚拟网络

假设有三台主机：node1、node2、node3

在每台主机上创建OVS桥和VXLAN端口

# 创建OVS桥
sudo ovs-vsctl add-br br0

# 创建VXLAN端口，指定对端IP
sudo ovs-vsctl add-port br0 vxlan0 -- set interface vxlan0 type=vxlan options:remote_ip=<对端IP> options:key=100 options:dst_port=4789

# 可以为每个主机互相添加VXLAN端口，实现全网互通

验证网络

sudo ovs-vsctl show
sudo ip addr show br0

此时，br0上的虚拟机/容器可以通过VXLAN隧道与其他主机的虚拟机/容器互通，并实现网络隔离。

二、与Kubernetes CNI插件集成（以Calico为例）

1. 安装Calico

kubectl apply -f https://docs.projectcalico.org/manifests/calico.yaml

Calico默认支持BGP和VXLAN模式，可自动为Pod分配虚拟IP，并通过VXLAN封装跨主机通信。

2. 配置网络策略

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-app
  namespace: default
spec:
  podSelector:
    matchLabels:
      app: myapp
  policyTypes:
    - Ingress
  ingress:
    - from:
        - podSelector:
            matchLabels:
              role: frontend

此策略只允许带role: frontend标签的Pod访问app: myapp的Pod，实现细粒度安全隔离。

3. 验证Pod互通

部署两个Pod，分别在不同节点上。
通过ping或curl测试Pod间通信，观察Calico自动路由与VXLAN隧道的效果。

三、SDN控制器部署（以OpenDaylight为例）

1. 安装OpenDaylight

下载并启动OpenDaylight Controller（Java应用）。
配置OVS连接到SDN控制器：

sudo ovs-vsctl set-controller br0 tcp:<OpenDaylight-IP>:6653

2. 下发流表策略

通过OpenDaylight REST API或UI界面，创建和下发流表，实现ACL、QoS等策略。
OVS会根据控制器下发的流表进行流量转发和处理。

四、生产环境运维建议

1. 监控网络虚拟化组件

部署Prometheus/ELK等，监控OVS、SDN控制器、CNI插件、链路状态。
关注流量、延迟、丢包、异常流表等指标。

2. 故障排查流程

Pod/VM无法互通：检查CNI插件状态、OVS桥配置、VXLAN端口状态、SDN流表。
网络丢包/高延迟：检查MTU一致性、物理网络健康、隧道配置。
策略失效：排查NetworkPolicy、SDN控制器流表下发是否正确。

3. 自动化运维脚本示例

检查所有节点OVS桥状态

for node in node1 node2 node3; do
  ssh $node "ovs-vsctl show"
done

批量重启CNI插件

kubectl rollout restart daemonset/calico-node -n kube-system

五、高级应用场景

1. 多租户隔离

每个租户分配独立的VXLAN VNI，实现网络级别的隔离。
配合K8s命名空间和NetworkPolicy，做到业务和安全双重隔离。

2. 跨数据中心/混合云网络

利用SD-WAN与VXLAN隧道，实现不同数据中心、云平台间的虚拟网络互通。
动态调整路由和带宽，提升业务连续性和灵活性。

3. 网络安全与微分段

利用SDN和CNI策略，实现微分段安全，阻止横向攻击。
定期审计和自动化测试网络策略的有效性。

六、未来趋势补充

智能网卡/DPUs逐步普及，虚拟网络功能下沉到硬件层，进一步提升性能和安全。
eBPF网络编程，实现更灵活和高性能的数据面处理。
自动化网络治理，AI驱动故障检测和自愈，减少人工运维压力。

七、多租户场景下的网络隔离与安全策略

1. VXLAN多租户隔离

每个租户分配独立的VXLAN VNI（如1001、1002、1003…），不同VNI之间流量物理隔离。
结合OVS的流表，可以针对VNI设置不同的访问控制和QoS策略。

示例：OVS配置多VNI

# 为租户A创建VXLAN端口
ovs-vsctl add-port br0 vxlan-a -- set interface vxlan-a type=vxlan options:key=1001 options:remote_ip=<peer-ip>
# 为租户B创建VXLAN端口
ovs-vsctl add-port br0 vxlan-b -- set interface vxlan-b type=vxlan options:key=1002 options:remote_ip=<peer-ip>

2. Kubernetes命名空间与NetworkPolicy

每个租户使用独立的K8s命名空间，资源和网络策略完全隔离。
NetworkPolicy可控制Pod间流量，防止跨租户访问。

示例：只允许同租户Pod通信

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: tenant-isolation
  namespace: tenant-a
spec:
  podSelector: {}
  ingress:
    - from:
        - namespaceSelector:
            matchLabels:
              name: tenant-a

八、跨数据中心/混合云虚拟网络互联

1. SD-WAN与VXLAN结合

SD-WAN用于多分支/多数据中心的广域互联，VXLAN负责虚拟网络的二层/三层隔离。
主流方案如Cisco Viptela、华为SD-WAN、VMware VeloCloud等都支持与VXLAN/SDN集成。

2. Overlay网络跨云平台

利用VXLAN隧道在不同云平台（如AWS、Azure、私有云）之间打通虚拟网络，实现业务无缝迁移和扩展。
结合云原生CNI插件（如Calico、Cilium）实现跨集群的Pod互联。

跨云互联示意

[云A Pod] --VXLAN隧道-- [本地数据中心 Pod] --VXLAN隧道-- [云B Pod]

九、云原生环境下的自动化网络虚拟化

1. 自动化部署与编排

利用Ansible、Terraform等工具自动化配置OVS、VXLAN、SDN控制器，提升部署效率和一致性。
K8s Operator（如Rook、Cilium Operator）自动管理虚拟网络生命周期。

Ansible自动化OVS配置示例

- hosts: all
  tasks:
    - name: Create OVS bridge
      shell: ovs-vsctl add-br br0
    - name: Add VXLAN port
      shell: ovs-vsctl add-port br0 vxlan0 -- set interface vxlan0 type=vxlan options:remote_ip={{ peer_ip }} options:key={{ vni }}