玩转Openvswitch之综合篇

这是一个Openvswitch的综合实例。

1. 创建一个bridge

ovs-vsctl add-br helloworld

创建四个veth pair

ip link add first_br type veth peer name first_if

ip link add second_br type veth peer name second_if

ip link add third_br type veth peer name third_if

ip link add forth_br type veth peer name forth_if

添加四个端口port，ofport_request是指定端口号

ovs-vsctl add-port helloworld first_br -- set Interface first_br ofport_request=1

ovs-vsctl add-port helloworld second_br -- set Interface second_br ofport_request=2

ovs-vsctl add-port helloworld third_br -- set Interface third_br ofport_request=3

ovs-vsctl add-port helloworld forth_br -- set Interface forth_br ofport_request=4

新添加的port都是出于DOWN的状态，设成up

ip link set first_if up

ip link set first_br up

ip link set second_br up

ip link set second_if up

ip link set third_if up

ip link set third_br up

ip link set forth_br up

ip link set forth_if up

2. 实现第一个Table 0，Admission control

包进入vswitch的时候首先进入Table 0，我们在这里可以设定规则，控制那些包可以进入，那些包不可以进入。

multicast的不允许进入

ovs-ofctl add-flow helloworld "table=0, dl_src=01:00:00:00:00:00/01:00:00:00:00:00, actions=drop"

STP的也不接受

ovs-ofctl add-flow helloworld "table=0, dl_dst=01:80:c2:00:00:00/ff:ff:ff:ff:ff:f0, actions=drop"

添加最后一个flow，这个flow的priority低于default，如果上面两个不匹配，则我们进入table 1

ovs-ofctl add-flow helloworld "table=0, priority=0, actions=resubmit(,1)"

测试Table 0

不满足条件DROP

ovs-appctl ofproto/trace helloworld in_port=1,dl_dst=01:80:c2:00:00:05

满足条件RESUBMIT

ovs-appctl ofproto/trace helloworld in_port=1,dl_dst=01:80:c2:00:00:10

3. 实现第二个Table 1：VLAN Input Processing

添加一个最低优先级的DROP的规则

ovs-ofctl add-flow helloworld "table=1, priority=0, actions=drop"

对于port 1，是trunk口，无论有没有VLAN Header都接受

ovs-ofctl add-flow helloworld "table=1, priority=99, in_port=1, actions=resubmit(,2)"

对于port 2, 3, 4, 我们希望没有VLAN Tag，然后我们给打上VLAN Tag

ovs-ofctl add-flows helloworld - <<'EOF' 

table=1, priority=99, in_port=2, vlan_tci=0, actions=mod_vlan_vid:20, resubmit(,2) 

table=1, priority=99, in_port=3, vlan_tci=0, actions=mod_vlan_vid:30, resubmit(,2) 

table=1, priority=99, in_port=4, vlan_tci=0, actions=mod_vlan_vid:30, resubmit(,2) 

EOF

测试Table 1

从port 1进入，tag为5

ovs-appctl ofproto/trace helloworld in_port=1,vlan_tci=5

从port 2进入，没有打Tag的

ovs-appctl ofproto/trace helloworld in_port=2

从port 2进入，带Tag 5的

ovs-appctl ofproto/trace helloworld in_port=2,vlan_tci=5

4. 实现第三个Table 2: MAC, VLAN learning for ingress port

对于普通的switch，都会有这个学习的过程，当一个包到来的时候，由于包里面有MAC，VLAN Tag，以及从哪个口进来的这个信息。

于是switch学习后，维护了一个表格port –> MAC –> VLAN Tag。

这样以后如果有需要发给这个MAC的包，不用ARP，switch自然之道应该发给哪个port，应该打什么VLAN Tag。

OVS也要学习这个，并维护三个之间的mapping关系。

ovs-ofctl add-flow helloworld "table=2 actions=learn(table=10, NXM_OF_VLAN_TCI[0..11], NXM_OF_ETH_DST[]=NXM_OF_ETH_SRC[], load:NXM_OF_IN_PORT[]->NXM_NX_REG0[0..15]), resubmit(,3)"

• learn表示这是一个学习的action

• table 10，这是一个MAC learning table，学习的结果会放在这个table中。

• NXM_OF_VLAN_TCI这个是VLAN Tag，在MAC Learning table中，每一个entry都是仅仅对某一个VLAN来说的，不同VLAN的learning table是分开的。在学习的结果的entry中，会标出这个entry是对于哪个VLAN的。

• NXM_OF_ETH_DST[]=NXM_OF_ETH_SRC[]这个的意思是当前包里面的MAC Source Address会被放在学习结果的entry里面的dl_dst里面。这是因为每个switch都是通过Ingress包来学习，某个MAC从某个port进来，switch就应该记住以后发往这个MAC的包要从这个port出去，因而MAC source address就被放在了Mac destination address里面，因为这是为发送用的。

• NXM_OF_IN_PORT[]->NXM_NX_REG0将portf放入register.

• 一般对于学习的entry还需要有hard_timeout，这是的每个学习结果都会expire，需要重新学习。

测试Table 2:

从port 1来一个vlan为20的mac为50:00:00:00:00:01的包

ovs-appctl ofproto/trace helloworld in_port=1,vlan_tci=20,dl_src=50:00:00:00:00:01 -generate

ovs-ofctl dump-flows helloworld

table 10多了一条，vlan为20，dl_dst为50:00:00:00:00:01，发送的时候从port 1出去

从port 2进来，被打上了vlan 20，mac为50:00:00:00:00:02

ovs-appctl ofproto/trace helloworld in_port=2,dl_src=50:00:00:00:00:02 -generate

5. 实现第四个table 3: Look Up Destination Port

在table 2中，vswtich通过进入的包，学习了vlanid –> mac –> port的映射后，对于要发送的包，可以根据学习到的table 10里面的内容，根据destination mac和vlan，来找到相应的port发送出去，而不用每次都flood。

ovs-ofctl add-flow helloworld "table=3 priority=50 actions=resubmit(,10), resubmit(,4)"

添加这条规则，首先到table 10中查找learn table entry，如果找不到则到table 4

如果包本身就是multicast的或者broadcast的，则不用去table 10里面取查找。

ovs-ofctl add-flow helloworld "table=3 priority=99 dl_dst=01:00:00:00:00:00/01:00:00:00:00:00 actions=resubmit(,4)"

测试Table 3:

ovs-appctl ofproto/trace helloworld in_port=1,dl_vlan=20,dl_src=f0:00:00:00:00:01,dl_dst=90:00:00:00:00:01 -generate

由于目标地址f0:00:00:00:00:01没有在table 10中找到，因而到达table 4。

但是这次测试使得table 10中学习到了mac地址90:00:00:00:00:01

ovs-appctl ofproto/trace helloworld in_port=2,dl_src=90:00:00:00:00:01,dl_dst=f0:00:00:00:00:01 -generate

因为刚才学习到了mac地址f0:00:00:00:00:01，所以这次在table 10中找到了这条记录，这次同时也学习到了mac地址90:00:00:00:00:01

再发送第一次的包

ovs-appctl ofproto/trace helloworld in_port=1,dl_vlan=20,dl_src=f0:00:00:00:00:01,dl_dst=90:00:00:00:00:01 -generate

也在table 10中找到了记录

6. 实现第五个table 4: Output Processing

这个时候，register 0中包含了output port，如果是0则说明是flood

对于port 1来讲，是trunk port，所以携带的vlan tag就让他带着，从port 1出去

ovs-ofctl add-flow helloworld "table=4 reg0=1 actions=1"

对于port 2来讲，是vlan 20的，然而出去的时候，vlan tag会被抹掉，从port 2发出去

对于port 3， 4来讲，是vlan 30的，然而出去的时候，vlan tag会被抹掉，从port 3, 4出去

ovs-ofctl add-flows helloworld - <<'EOF'   

        table=4 reg0=2 actions=strip_vlan,2 

        table=4 reg0=3 actions=strip_vlan,3 

        table=4 reg0=4 actions=strip_vlan,4 

EOF

对于broadcast来讲，我们希望一个vlan的broadcast仅仅在这个vlan里面发送，不影响其他的vlan

ovs-ofctl add-flows helloworld - <<'EOF'   

        table=4 reg0=0 priority=99 dl_vlan=20 actions=1,strip_vlan,2 

        table=4 reg0=0 priority=99 dl_vlan=30 actions=1,strip_vlan,3,4 

        table=4 reg0=0 priority=50 actions=1 

EOF

所以对于register = 0的，也即是broadcast的，属于vlan 20的，则从port 1, 2出去，属于vlan 30的，则从port 1, 3, 4出去。

测试Table 4

如果是一个port 1来的vlan 30的broadcast

ovs-appctl ofproto/trace helloworld in_port=1,dl_dst=ff:ff:ff:ff:ff:ff,dl_vlan=30

结果是port 1就不发送了，发送给了port 3, 4

ovs-appctl ofproto/trace helloworld in_port=3,dl_dst=ff:ff:ff:ff:ff:ff

接着测试mac learning

ovs-appctl ofproto/trace helloworld in_port=1,dl_vlan=30,dl_src=10:00:00:00:00:01,dl_dst=20:00:00:00:00:01 -generate

由于这两个地址没有出现过，则除了进行学习以外，广播发送给port 3，4

ovs-appctl ofproto/trace helloworld in_port=4,dl_src=20:00:00:00:00:01,dl_dst=10:00:00:00:00:01 -generate

回复的时候，由于学习过了，则仅仅从port 1发送出去

ovs-appctl ofproto/trace helloworld in_port=1,dl_vlan=30,dl_src=10:00:00:00:00:01,dl_dst=20:00:00:00:00:01 -generate

由于在回复中进行了学习，因而发送的时候，仅仅发送port 4