openvswitch流表转发vxlan报文

深碍√TFBOYSˉ_ 2023-06-19 05:27 13阅读 0赞

#### vxlan：虚拟可拓展局域网 ####

产生条件：局域网3层架构都是有冗余的，但要防止环路又不能使用STP（因为数据中心的每一个链路都是核心带宽，阻塞接口代价太大）3层可以用ospf和isis协议天然防环，因为使用SPF算法

虚拟化技术产生：对于一些低流量网站，没有充分发挥高性能服务器（刀片服务器）的作用，可以将服务器虚拟化成2个供其他网站使用，每一个虚拟机就是一个服务器，共享硬件资源，CPU使用率改变，能源消耗没有改变。

①：早期数据中心：服务器之间不能进行互访，占用带宽资源，使用vlan进行隔离

②：vlan局限：vlan使用0-4096（0和4096保留）2的12次方

③：vxlan应运而生

两地三中心：在北京有2个数据中心，一主一辅对外提供服务，在上海还有一个数据中心，作为备份在运行，但不提供服务，主要是容灾，如果北京服务器挂了，用户无法感知仍访问原IP通过vxlan技术访问上海服务器

vxlan隔离：2的24次方，500w个隔离域

大二层：跨越三层的二层网络，就是在三层网络之上构建了二层网络，1w台设备以上才是大二层

vxlan动态数据迁移：  
①：在上海和北京之间建立vxlan隧道，相当于在一个局域网下（隧道可以打在接入层交换机身上，也可以打在服务器身上）

②：发送数据，利用UDP，封包时加上VNI，转发时仅根据ip  
![在这里插入图片描述][20191204180756516.png]  
③：接收数据，建立一台相同的虚机、ip和mac都一样

④：数据迁移后，上海对外发布，删除原来北京的虚机

vxlan也有短暂的服务中断，当北京发送完一次数据到上海，这是又有新数据进入北京，需要不停的发送到上海，注意发送的数据永远比进入的数据多，所以选在半夜

VTEP：隧道端口IP，维护2张表（一个是vlan和vxlan的对应关系表，一个是mac地址表）  
NVE：边缘设备  
VNI：相当于vlan-id，两个服务器vlan-id相同可以通信

vxlan网关：可以和传统网络兼容，在3层之上建隧道必须通过vxlan网关

NFV：网络功能虚拟化，一台服务器上虚拟出来的虚拟当成网络设备（路由器/交换机）使用

*  同一network内不同主机vm间通信(vm1去往vm2)  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FtYnpoZW5n_size_16_color_FFFFFF_t_70]

①：vm1发送arp请求报文请求vm2的mac地址，发送给VTP1

②：arp报文到达VTP1，封装vxlan报文，发送给host2和host3

<table> 
 <thead> 
  <tr> 
   <th>源IP</th> 
   <th>ip-vm1</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>目的IP</td> 
   <td>ip-vm2</td> 
  </tr> 
  <tr> 
   <td>源mac</td> 
   <td>mac-vm1</td> 
  </tr> 
  <tr> 
   <td>目的mac</td> 
   <td>ff:ff:ff:ff:ff</td> 
  </tr> 
  <tr> 
   <td>VNI</td> 
   <td>1000</td> 
  </tr> 
  <tr> 
   <td>UDP协议</td> 
   <td></td> 
  </tr> 
  <tr> 
   <td>外层源IP</td> 
   <td>ip-host1</td> 
  </tr> 
  <tr> 
   <td>外层目的IP</td> 
   <td>ip-host2</td> 
  </tr> 
  <tr> 
   <td>外层源mac</td> 
   <td>mac-host1</td> 
  </tr> 
  <tr> 
   <td>外层目的mac</td> 
   <td>下一跳mac</td> 
  </tr> 
 </tbody> 
</table>

③：host2和host3都收到vxlan报文，host2拆开发现ip是自己，单播回复arp报文

<table> 
 <thead> 
  <tr> 
   <th>源IP</th> 
   <th>ip-vm2</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>目的IP</td> 
   <td>ip-vm1</td> 
  </tr> 
  <tr> 
   <td>源mac</td> 
   <td>mac-vm2</td> 
  </tr> 
  <tr> 
   <td>目的mac</td> 
   <td>mac-vm1</td> 
  </tr> 
 </tbody> 
</table>

host3拆开报文发现目的ip不是自己，丢弃  
④：同理，回复的报文也要经过vxlan封装  
⑤：vm1发送icmp报文到VTP1

⑥：VTP1封装vxlan到VTP2和VTP3

*  linux下发流表实现vxlan

1、OVS：虚拟交换机，实现vm和host的数据交换，支持openflow协议，连接controller  
2、Bridge：代表一个交换机，一个host可创建多个bridge  
3、port：bridge上的接口  
4、interface：host上的接口  
5、controller：openflow控制器

*  openvswitch常用组件  
    1、ovs-dpctl：配置交换机内核模块，控制转发规则  
    2、ovs-vsctl：网桥，配置controller  
    3、ovs-ofctl：控制ovs流表内容

在linux系统种，VTEP通过br-tun的openflow流实现，br-tun下面连接的是br-int，br-int连接虚拟机，并且给给不同vm打上vlan tag，从而实现一个host里不同vm之间彼此隔离  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FtYnpoZW5n_size_16_color_FFFFFF_t_70 1]  
关于vxlan和vlan的对应关系是在入方向的table=4表里实现

# ovs-vsctl dump-flows br-tun table=4
    table=4,priority=1,tun_id=0x3 actions=mod_vlan_vid:4,resubmit(,9)
    table=4,priority=1,tun_id=0x1c actions=mod_vlan_vid:5,resubmit(,9)

可以看出vxlan id=3对应vlan4，vxlan id=28对应vlan5

# ovs-vsctl dump-flows br-tun table=2
    table=4,priority=1,dl_dst=00:00:00:00:00:00/01:00:00:00:00:00,resubmit(,20)
    table=4,priority=1,dl_dst=01:00:00:00:00:00/01:00:00:00:00:00,resubmit(,22)

因为广播的mac地址是FF:FF:FF:FF:FF:FF  
组播的mac地址第一个字节的最低bit必然是1  
单播的mac地址第一个字节的最低bit必然是0  
所以单播被送到table=20，组播/广播送到table=22

[20191204180756516.png]: https://img-blog.csdnimg.cn/20191204180756516.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FtYnpoZW5n_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20200227214421748.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FtYnpoZW5n,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FtYnpoZW5n_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20200301103045930.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FtYnpoZW5n,size_16,color_FFFFFF,t_70