OpenStack網(wǎng)絡(luò)配置設(shè)計(jì)
OpenStack提供了豐富的網(wǎng)絡(luò)配置環(huán)境，本文介紹設(shè)計(jì)云系統(tǒng)是對(duì)于網(wǎng)絡(luò)部分需求的考慮和設(shè)計(jì)。
如果這次是首次在你的組織中部署云系統(tǒng)，在閱讀完本章節(jié)后請(qǐng)和你的網(wǎng)絡(luò)運(yùn)維團(tuán)隊(duì)進(jìn)行溝通，以便了解現(xiàn)有網(wǎng)絡(luò)狀況。云系統(tǒng)使用的網(wǎng)絡(luò)同普通系統(tǒng)所使用的網(wǎng)絡(luò)部署方式不同，且有可能在部署時(shí)對(duì)于網(wǎng)絡(luò)的連接性和網(wǎng)絡(luò)策略造成影響。
比如：組成云系統(tǒng)的服務(wù)器和云上運(yùn)行的虛擬機(jī)實(shí)例所需要用的IP地址資源就需要事先進(jìn)行妥善規(guī)劃和準(zhǔn)備；云系統(tǒng)網(wǎng)絡(luò)中所涉及到的代理，防火墻也需要進(jìn)行相應(yīng)的研究。
網(wǎng)絡(luò)管理
網(wǎng)絡(luò)有效管理通常是一個(gè)重要的考慮項(xiàng)目(常見的如：分散的交換機(jī)和網(wǎng)絡(luò)接口)。通過將系統(tǒng)管理和監(jiān)控產(chǎn)生流量和實(shí)際云系統(tǒng)用戶流量進(jìn)行分流的網(wǎng)絡(luò)管理方式可以減少對(duì)于用戶使用的影響。
對(duì)于OpenStack內(nèi)部組件則建議使用私有網(wǎng)絡(luò)進(jìn)行通訊，如：消息隊(duì)列，OpenStack計(jì)算節(jié)點(diǎn)。VLAN非常適合于這種私有網(wǎng)絡(luò)的場景。
公共訪問選項(xiàng)
對(duì)于云系統(tǒng)中虛擬機(jī)實(shí)例有兩種的IP地址分配策略：固定IP和動(dòng)態(tài)IP。固定IP策略是在虛擬機(jī)實(shí)例啟動(dòng)時(shí)分配并綁定一個(gè)固定IP地址，而動(dòng)態(tài)IP策略則可能在用戶的不同操作時(shí)IP地址發(fā)生變更。這兩種IP策略按照需求同時(shí)可用于共有和私有網(wǎng)絡(luò)。
OpenStack必須使用固定IP地址，而動(dòng)態(tài)IP地址則不是必須的。常見的2種動(dòng)態(tài)IP的應(yīng)用場景是：對(duì)于公網(wǎng)IP地址有限的私有云環(huán)境，可提供外網(wǎng)對(duì)于私有云的訪問；或?qū)τ诠性朴脩艨梢杂幸粋€(gè)靜態(tài)IP來訪問云資源，而在云系統(tǒng)中實(shí)際對(duì)應(yīng)的實(shí)例已遷移或升級(jí)。
固定IP地址可以是私有云中的內(nèi)網(wǎng)IP，也可以是公有云中的公網(wǎng)IP。當(dāng)虛擬機(jī)實(shí)例終止后，對(duì)應(yīng)的固定IP地址就被系統(tǒng)回收。需要注意的是剛開始使用云系統(tǒng)的用戶可能會(huì)對(duì)固定IP地址的消失產(chǎn)生困惑。
IP地址規(guī)劃
OpenStack環(huán)境可能會(huì)需要很多子網(wǎng)，且每個(gè)子網(wǎng)間運(yùn)行不同的服務(wù)。IP地址規(guī)劃可以對(duì)于網(wǎng)絡(luò)分隔和擴(kuò)展提供更好的幫助?？刂祁惙?wù)同時(shí)需要公網(wǎng)和私網(wǎng)IP地址，可參見之前提到的虛擬機(jī)公網(wǎng)配置的選項(xiàng)。
IP地址規(guī)劃可以分解成以下部分：
- 子網(wǎng)路由：子網(wǎng)數(shù)據(jù)包通過專用路由或nova-network服務(wù)進(jìn)行通訊
- 控制服務(wù)的公開接口：swift-proxy, nova-api, glance-api和horizon的公用訪問，可以指向單臺(tái)服務(wù)器也可在負(fù)載均衡之后。
- 對(duì)象存儲(chǔ)集群內(nèi)部通訊：在對(duì)象/賬號(hào)/容器的服務(wù)之間的通訊和代理服務(wù)的內(nèi)部接口使用的私有網(wǎng)絡(luò)上的通訊。
- 計(jì)算和存儲(chǔ)通訊：臨時(shí)存儲(chǔ)和對(duì)象存儲(chǔ)對(duì)于計(jì)算節(jié)點(diǎn)來說是外部服務(wù)，需要網(wǎng)絡(luò)進(jìn)行連接通訊。
- 外部遠(yuǎn)程管理：如果專用的外部遠(yuǎn)程控制器用于管理服務(wù)器，通常采用分隔的網(wǎng)絡(luò)。
- 內(nèi)部遠(yuǎn)程管理：通常計(jì)算或存儲(chǔ)節(jié)點(diǎn)需要額外的網(wǎng)絡(luò)接口（如 1G接口）用于系統(tǒng)管理或監(jiān)控工具訪問服務(wù)器。
- 未來擴(kuò)展的預(yù)留空間：添加新的面向公開的控制服務(wù)，或是更多的虛擬機(jī)實(shí)例的IP需要在你的計(jì)劃中。
比如：在私有IP段172.22.42.0/24 and 172.22.87.0/26上部署了OpenStack的計(jì)算和對(duì)象存儲(chǔ)服務(wù)，可按照如下方式進(jìn)行配置：
| 172.22.42.0/24 172.22.42.1 - 172.22.42.3 - 子網(wǎng)路由 172.22.42.4 - 172.22.42.20 - 預(yù)留 172.22.42.21 - 172.22.42.104 - 計(jì)算節(jié)點(diǎn)遠(yuǎn)程控制器 172.22.42.105 - 172.22.42.188 - 計(jì)算節(jié)點(diǎn)管理接口 172.22.42.189 - 172.22.42.208 - Swift proxy遠(yuǎn)程控制器 172.22.42.209 - 172.22.42.228 - Swift proxy管理接口 172.22.42.229 - 172.22.42.252 - Swift storage servers遠(yuǎn)程控制器 172.22.42.253 - 172.22.42.254 - 預(yù)留 172.22.87.0/26: 172.22.87.1 - 172.22.87.3 - 子網(wǎng)路由 172.22.87.4 - 172.22.87.24 - Swift proxy server內(nèi)部接口 172.22.87.25 - 172.22.87.63 - Swift object server內(nèi)部接口 |
也可以使用公網(wǎng)IP地址實(shí)現(xiàn)類似方式，建議使用較大范圍段的IP地址。需要注意的是有些Openstack網(wǎng)絡(luò)配置下，虛擬機(jī)實(shí)例的公網(wǎng)IP地址是分配給了nova-compute主機(jī)。
網(wǎng)絡(luò)拓?fù)?/strong>
OpenStack提供了幾種網(wǎng)絡(luò)管理方式，每種各自有自己的優(yōu)缺點(diǎn)。選擇不同的網(wǎng)絡(luò)管理管理方式會(huì)影響到你網(wǎng)絡(luò)拓?fù)?，所以需要?jǐn)慎選擇合適方式。 方式 Flat 優(yōu)點(diǎn)：及其簡單，不需要DHCP廣播 缺點(diǎn)：需要在虛擬機(jī)實(shí)例中進(jìn)行文件注入，僅限于有限的Linux發(fā)行版，配置困難，不推薦 FlatDHCP 優(yōu)點(diǎn)：配置相對(duì)簡單，標(biāo)準(zhǔn)網(wǎng)絡(luò)協(xié)議，可用于任意操作系統(tǒng) 缺點(diǎn)：需要有自己的DHCP廣播域 VlanManager 優(yōu)點(diǎn)：每個(gè)租戶可以隔離在自己的VLAn中 缺點(diǎn)：配置較復(fù)雜，需要有自己的DHCP廣播域，需要需要許多VLAN配置傳輸端口，有VLAN數(shù)量限制，交換機(jī)需要支持802.1q VLAN tagging FlatDHCP Multi-host 優(yōu)點(diǎn)：網(wǎng)絡(luò)故障可按照虛擬機(jī)進(jìn)行隔離 缺點(diǎn)：配置復(fù)雜 HA 優(yōu)點(diǎn)：running on the hypervisor affected.（不知道什么意思？主機(jī)上運(yùn)行，可遷移？），DHCP通訊可以隔離在單個(gè)主機(jī)，網(wǎng)絡(luò)流量可以分布到不同的計(jì)算節(jié)點(diǎn)上 缺點(diǎn)：默認(rèn)計(jì)算節(jié)點(diǎn)需要分配公網(wǎng)IP地址，在線擴(kuò)展時(shí)在網(wǎng)絡(luò)部分需要特別小心的修改配置
VLANs
VLAN的配置可以從簡單到復(fù)雜。使用VLAN可以使每個(gè)項(xiàng)目有有自己的子網(wǎng)且網(wǎng)絡(luò)廣播可以同其他的項(xiàng)目分隔開。為了讓OpenStack更好的使用VLAN，需要將VLAN進(jìn)行劃分（每個(gè)項(xiàng)目一個(gè)VLAN）且每個(gè)計(jì)算節(jié)點(diǎn)連接的交換機(jī)端口都需要綁定到VLAN的傳輸端口(trunck port)。
比如：你的云預(yù)計(jì)需要支持最多100個(gè)項(xiàng)目，選擇一個(gè)當(dāng)前網(wǎng)絡(luò)架構(gòu)中沒有使用的VLAN范圍（如：VLAN 200 - 299），然后配置OpenStack使用該VLAN范圍且交換機(jī)端口允許該范圍的VLAN進(jìn)行通訊。
多個(gè)網(wǎng)絡(luò)接口
OpenStack可以支持將多個(gè)網(wǎng)絡(luò)接口分配給一個(gè)虛擬機(jī)實(shí)例。雖然這是一個(gè)不常用的高級(jí)特性，但通過簡單配置就可支持。需要注意的是第二個(gè)網(wǎng)絡(luò)接口使用整個(gè)子網(wǎng)或VLAN，對(duì)于可支持的項(xiàng)目數(shù)會(huì)減少。
多主機(jī)和單主機(jī)網(wǎng)絡(luò)
nova-network服務(wù)可以運(yùn)行在多主機(jī)或單主機(jī)模式下。多主機(jī)網(wǎng)絡(luò)模式就是每個(gè)計(jì)算節(jié)點(diǎn)上都運(yùn)行一份nova-network服務(wù)，該服務(wù)就作為相同節(jié)點(diǎn)上虛擬機(jī)實(shí)例連接Internet的網(wǎng)關(guān)。同時(shí)，計(jì)算節(jié)點(diǎn)也為本機(jī)的虛擬機(jī)實(shí)例提供了動(dòng)態(tài)IP和安全組(Security Groups)。單主機(jī)網(wǎng)絡(luò)模式是使用集中的服務(wù)器，如：云控制器，獨(dú)立運(yùn)行nova-network服務(wù)。所有計(jì)算節(jié)點(diǎn)都將虛擬機(jī)實(shí)例的網(wǎng)絡(luò)通訊轉(zhuǎn)發(fā)到云控制器，云控制器負(fù)責(zé)連接到Internet。云中的所有計(jì)算節(jié)點(diǎn)上所有的虛擬機(jī)實(shí)例使用的動(dòng)態(tài)IP和安全組(Security Groups)都是由云控制器支持。
這兩種模式各有優(yōu)缺點(diǎn)。單主機(jī)網(wǎng)絡(luò)模式有單點(diǎn)故障的缺點(diǎn)，當(dāng)云控制器發(fā)生故障，所有虛擬機(jī)實(shí)例都無法進(jìn)行網(wǎng)絡(luò)通訊。而多主機(jī)網(wǎng)絡(luò)模式則沒有這個(gè)問題，但多主機(jī)模式下需要每個(gè)計(jì)算節(jié)點(diǎn)都有一個(gè)公網(wǎng)IP用于連接Internet。當(dāng)沒有足夠的公網(wǎng)IP地址時(shí)，則無法使用多主機(jī)網(wǎng)絡(luò)模式。
網(wǎng)絡(luò)服務(wù)
OpenStack和其他網(wǎng)絡(luò)應(yīng)用一樣會(huì)應(yīng)用很多標(biāo)準(zhǔn)服務(wù)，比如：DNS和NTP
NTP
時(shí)間同步是確保OpenStack各個(gè)組件能正常工作的一個(gè)關(guān)鍵因素。虛擬機(jī)實(shí)例中的調(diào)度，對(duì)象存儲(chǔ)中的對(duì)象復(fù)制和日志中的時(shí)間戳匹配都必須要有正確的時(shí)間。
所有運(yùn)行OpenStack組件的服務(wù)器都需要能訪問適合的NTP服務(wù)。你可以通過在本地搭建一個(gè)NTP服務(wù)或者是使用公用的NTP服務(wù)。通過訪問http://www.pool.ntp.org/可以獲得可用的公用NTP服務(wù)。
DNS
除了在安裝nova-network服務(wù)器上有運(yùn)行dnsmasq之外，OpenStack目前并不提供DNS服務(wù)。你可以考慮提供一個(gè)動(dòng)態(tài)DNS服務(wù)用于虛擬機(jī)實(shí)例更新DNS記錄指向新的IP地址，也可以提供正向或逆向的DNS同虛擬機(jī)實(shí)例IP地址的映射，如：vm-203-0-113-123.example.com。
