OVS实现VXLAN隔离

一、实验环境

1.准备3个CentOS7 mini版本的虚拟机，每个主机3个网卡。如图：

　　图中OVS-1、OVS-2、OVS-3分别为三台CentOS7 mini版虚拟机，分别配备3个虚拟网卡。如图中编号所示：

　　网卡1（eno16777736）：作为管理网，桥接到办公网络。

　　网卡2（eno33554960）：VXLAN VTEP互联的L3网络。IP段为10.10.10.0/24

　　网卡3（eno50332184）：用于连接测试用虚拟机，也使用Windows网桥连接。

2.准备好虚拟机后，更新每台虚拟机yum源。

yum install -y wget

wget -O /etc/yum.repos.d/CentOS-Base.repo http://mirrors.aliyun.com/repo/Centos-7.repo

yum clean all;yum makecache;yum -y update;

yum install net-tools -y

3.按照安装过程安装OVS。

4.三台OVS主机上分别创建br

　　

#添加一个br

ovs-vsctl add-br br0

#分别给br0添加一个IP地址，用于VXLAN的测试

ifconfig br0 192.168.100.11 up  #OVS-2和OVS-3上分别设置22和33

二、实验过程

1.添加VTEP

　　OVS-1：ovs-vsctl add-port br0 vx12 -- set interface vx12 type=vxlan options:remote_ip=10.10.10.22

　　OVS-1：ovs-vsctl add-port br0 vx13 -- set interface vx13 type=vxlan options:remote_ip=10.10.10.33

　　OVS-2：ovs-vsctl add-port br0 vx21 -- set interface vx21 type=vxlan options:remote_ip=10.10.10.11

　　OVS-3：ovs-vsctl add-port br0 vx31 -- set interface vx31 type=vxlan options:remote_ip=10.10.10.11

　　形成下面拓扑：

　　

　　图中，OVS-1中的Br0上创建了两个VTEP，这两个VTEP的remote_ip分别是10.10.10.22和10.10.10.33。

　　同样的，OVS-2中创建一个Remote_IP为10.10.10.11。OVS-3中也创建一个Remote_IP为10.10.10.11。

　　这样就创建了两条VXLAN隧道，默认VNI为0。

　　此时，测试VXLAN是否能够ping通：

[root@OVS-1 ~]# ping 192.168.100.22
PING 192.168.100.22 (192.168.100.22) 56(84) bytes of data.
64 bytes from 192.168.100.22: icmp_seq=1 ttl=64 time=1.16 ms
64 bytes from 192.168.100.22: icmp_seq=2 ttl=64 time=1.30 ms

[root@OVS-1 ~]# ping 192.168.100.33
PING 192.168.100.33 (192.168.100.33) 56(84) bytes of data.
64 bytes from 192.168.100.33: icmp_seq=1 ttl=64 time=1.43 ms
64 bytes from 192.168.100.33: icmp_seq=2 ttl=64 time=1.51 ms

[root@OVS-3 ~]# ping 192.168.100.11
PING 192.168.100.11 (192.168.100.11) 56(84) bytes of data.
64 bytes from 192.168.100.11: icmp_seq=1 ttl=64 time=1.28 ms
64 bytes from 192.168.100.11: icmp_seq=2 ttl=64 time=1.32 ms

[root@OVS-2 ~]# ping 192.168.100.11
PING 192.168.100.11 (192.168.100.11) 56(84) bytes of data.
64 bytes from 192.168.100.11: icmp_seq=1 ttl=64 time=1.28 ms
64 bytes from 192.168.100.11: icmp_seq=2 ttl=64 time=1.59 ms

　　说明，上述拓扑图中VXLAN是成功的。

3.使用option:key=5000可以指定每个隧道的VNI：

　　例如：

　　OVS-1：ovs-vsctl add-port br0 vx12 -- set interface vx12 type=vxlan options:remote_ip=10.10.10.22 option:key=5000

　　OVS-1：ovs-vsctl add-port br0 vx13 -- set interface vx13 type=vxlan options:remote_ip=10.10.10.33 option:key=5001

　　OVS-2：ovs-vsctl add-port br0 vx21 -- set interface vx21 type=vxlan options:remote_ip=10.10.10.11 option:key=5000

　　OVS-3：ovs-vsctl add-port br0 vx31 -- set interface vx31 type=vxlan options:remote_ip=10.10.10.11 option:key=5001

　　这样，拓扑中的两条隧道的VNI就不同了：

　　此时，再次测试VXLAN是否能够ping通：

[root@OVS-1 ~]# ping 192.168.100.22
PING 192.168.100.22 (192.168.100.22) 56(84) bytes of data.
64 bytes from 192.168.100.22: icmp_seq=1 ttl=64 time=1.36 ms
64 bytes from 192.168.100.22: icmp_seq=2 ttl=64 time=0.986 ms

　　同样，在这种情况下（VNI不同），通讯也是OK的。

　　从这里，得出结论，每个VXLAN隧道是独立工作的。由于三台虚拟机上的Br0未划分VLAN网段，所以相当于三个Br0通过VXLAN隧道组成了一个L2网络。

4.云平台中使用VXLAN隔离租户原理

　　在云平台中如何使用VXLAN来隔离租户：

　　当在云平台中，例如Openstack中选择使用VXLAN作为网络模式。那么意味着，每个租户使用一个VNI来进行隔离，一共可以支持成百上千万个租户。

　　

　　上图中：

　　G、H为两个VTEP，形成VXLAN隧道，两端IP为10.0.100.88和10.0.100.77。

　　br-tun和br-int一般载体是OVS，供多租户共享，每个租户的数据包在G和H处进行封装，使用不同的VNI隔离。

　　qbr-xxx是虚拟机独享的，载体是linux bridge。因为OVS无法支持基于iptables规则的安全组功能，所以只能使用Linux bridge来实现安全组功能。

　报文出的过程：

　　1.报文从VM1-1的A端口发出，是Untag报文。

　　2.报文从B口进入qbr-xxx，再从C端口离开qbr-xxx，也是Untag报文。

　　3.报文从D端口进入br-int，在D端口，报文被打上标签，VLAN ID=10。

　　4.报文从E端口离开br-int，此时报文VID=10。

　　5.报文从F端口进入br-tun，此时报文VID=10。

　　6.报文从G端口离开Host，在G端口，报文被再次封装为VXLAN报文，外层VID=5000。