CN107911313A - 一种在私有云中虚拟机端口流量外迁的方法 - Google Patents

Abstract

一种在私有云中虚拟机端口流量外迁的方法，基于OVS（openvswitch）中openflow流表转发功能的技术，实现了虚拟机指定端口指定协议指定方向（进／出）流量的迁移，通过在目标端口抓包或者流量分析可以拿到源端口迁移出的流量数据，对源端口流量进行了流向重定向。在降低网络延迟与阻塞的同时，能够对保护虚拟机的网络安全。在网络出故障的时候，网络管理人员可以从目的端口通过分析源端口的外迁流量来找出网络存在问题的原因，快速定位。

Description

一种在私有云中虚拟机端口流量外迁的方法

技术领域

本发明涉及一种基于OVS（openvswitch）中openflow流表转发功能的技术，具体涉及一种在私有云中虚拟机端口流量外迁的方法。

背景技术

近年来，国内越来越多的政企客户开始将重要业务转移到云端，同时对云计算价值的认知和认可度也大幅增加。不过，不管在传统的物理环境还是虚拟化平台，网络的服务质量都很重要。在传统的网络中，所有的报文都被无差别的对待，每个转发设备对所有的报文都采用FIFO（先入后出），它尽最大的努力将报文送到目的地，但对报文传送的可靠性，传送延迟等性能不提供任何保障。但在实际应用中，网络存在很大的问题，比如带宽、丢包率、网络延迟和阻塞等。随着云计算的发展，这些问题极大的影响的虚拟平台中的虚拟机的网络业务。在影响网络质量的同时也无法对虚拟机平台中的网络流量进行监测、控制。

传统网络内的流量控制都是基于一些流量控制工具或物理设备实现。网络流量控制器通过对流过边缘路由器的数据进行了分析、分类和调整，以达到保护关键数据流平稳传输的目的，该流量控制器降低了端对端的时延，同时也降低了传输中的时延抖动。或通过交换机的设置进行数据端口对端口的转发。这些只能控制物理层或不同网段间数据的流量的控制，在虚拟平台中，对同网段的虚拟机流量来说，效果并不显著。现有技术在虚拟平台中，无法有效的控制和监测虚拟机的网络流量，虚拟机无差别的接收或发送无效的报文容易造成网络延迟和阻塞。

发明内容

为了克服上述现有技术的不足，本发明的目的是提供一种在私有云中虚拟机端口流量外迁的方法，基于OVS（openvswitch）中openflow流表转发功能的技术，实现了虚拟机指定端口指定协议指定方向（进／出）流量的迁移，通过在目标端口抓包或者流量分析可以拿到源端口迁移出的流量数据，对源端口流量进行了流向重定向。在降低网络延迟与阻塞的同时，能够对保护虚拟机的网络安全。，在网络出故障的时候，网络管理人员可以从目的端口通过分析源端口的外迁流量来找出网络存在问题的原因，快速定位。

为了实现上述目的，本发明采用的技术方案是：

一种在私有云中虚拟机端口流量外迁的方法，其特征在于，包括以下步骤：

1）管理员创建云主机，并建立虚拟网卡与虚拟交换机上虚拟端口的连接，每个网卡在虚拟交换机上都会存在一个端口；

2）管理员为某一虚拟网卡设置外迁地址，该网卡与外迁地址直接可互相访问，若不通则无法添加成功。支持ICMP、TCP、UDP和ARP协议，支持指定外迁的端口及方向。

3）在为云主机配置外迁地址时，会在云主机虚拟网卡本身端口的基础上再次创建一个虚拟端口，此虚拟端口属性为vxlan,根据端口获取IP地址在openflow上的编号，监测源地址与目的地址能否ping通，若能通，通过在openvswitch上设置流表规则，控制虚拟交换机的流量走像，从而实现流量重定向。

本发明的有益效果是；

本次发明实现了一对多或多对一的端口流量外迁，可以分别在源端口和多个目的端口间建立多个独立的vxlan通道，在报问发送过程中，通过多个流表规则控制报文流向。

本发明已实现多点到点的端口外迁，此时只会在多个源端口和镜像端口之间建立一个独立的vxlan通道，在给源地址添加外迁地址时，会先判断此IP地址之前有没有与别的端口之前建立过通道，若没有则直接建立一个，若有则会判断新的流表规则与之前源地址建立的规则是否重复或存在包含于的关系，若重复则不在创建新的规则；若存在包含于的关系，最大的域生效。流经源端口的流量数据直接通过之前建立的通道转发到外迁端口，在报文转发的过程中，到同一外迁地址的通道唯一。

附图说明

图1为本发明基于openvswitch的端口流量外迁网络拓扑图。

图2为本发明基于openvswitch的流量外迁的流程图。

具体实施方式

以下结合附图及实施例对本发明进一步叙述。

如图1所示， 在主机node1上新建一个标准交换机，图1中虚拟机通过虚拟网卡 vm1-port连接在br-int的虚拟交换机上，目前ovs的网桥还没有实现iptables的功能，但 openstack又必须提供安全组服务，所以在VM1和虚拟交换机之间通过linux-brige进行桥 接，同时在配置外迁地址时，会在br-int上同时创建一个vxlan0的端口，建立vxlan通道，并 设置流表规则，此时通过vm1-port且符合流表规则的流量都通过vxlan通道转发给外迁目 的地址，外迁地址收到流量是即将流入或流出vm1的符合外迁规则的流量。通过vxlan通道 和openFlow上的流表规则，将vm1上的符合规则的流入或流出的流量外迁给外迁地址。这样 计算节点和计算节点这样就会点对点的形成一个以vxlan为基础的通信网络，互相之间通 过这个网络上进行大量的数据交换，实现流量重定向。

目前支持迁移的协议对应的条件字段如下:

dl_type=0x0800 <=>ip

dl_type=0x0806 <=>arp

dl_type=0x0800，nw_proto=1 <=> icmp

dl_type=0x0800，nw_proto=6 <=> tcp

dl_type=0x0800，nw_proto=17 <=> udp

实现流程：

创建指定remote_ip的vxlan通道,获取通道在openflow上的端口号

ovs-vsctl add-port bridge0 vxlan0 -- set interface vxlan0 type=vxlanoptions:remote_ip=172.16.110.141

2.获取需迁移端口ip和在openflow上的端口号

ovs-vsctl get Interface 10.10.132.124 of port

3.添加转发流表规则

ovs-ofctl add-flow br-int nw_dst=172.16.110.141,idle_timeout=0,dl_type=0x0800,nw_proto=1,actions=output:32

如图2，创建云主机完成后，在虚拟网桥br-int上生成一个虚拟网卡，在虚拟网桥上添加端口，给该虚拟机添加外迁地址时，在宿主机上配置vxlan通道，创建出另外一个虚拟端口，检查源地址与目的地址间网络是否能正常通信，设置openstwitck流表规则，关联源地址与目的地址间vxlan的通道。将流入或流出源地址的符合外迁规则的流量重定向到外迁地址，其余流量正常收发。

实现流程：

实施人员创建虚拟交换机br-int

1、请求创建云主机，云主机创建时会在openvswitch上创建对应的port并将信息返回给用户。

2、指定外迁流量的端口、协议及方向，指定外迁地址，在openvswitch上创建外迁地址的port，配置vxlan通道，通过port_id获取在openflow上的编码。

ovs-vsctl get Interface ｛源地址｝ of port

3、判断源地址与外迁地址是否能够ping通，若能在openvswitch上创建上设置相应外迁的流表规则。

ovs-ofctl add-flow br-int nw_dst=｛外迁地址址｝,idle_timeout=0,dl_type=0x0800,nw_proto=1,actions=output:32

4、源地址发送或接收数据流量，所有流量通过openvswitch转发。符合流表规则的数据直接重定向转发给外迁地址，源地址或目标地址接收不到该数据；不符合流表规则的数据可顺利被源地址或目标地址接收。

Claims (1)

1.一种在私有云中虚拟机端口流量外迁的方法，其特征在于，包括以下步骤：

1）管理员创建云主机，并建立虚拟网卡与虚拟交换机上虚拟端口的连接，每个网卡在虚拟交换机上都会存在一个端口；

2）管理员为某一虚拟网卡设置外迁地址，该网卡与外迁地址直接可互相访问，若不通则无法添加成功；

支持ICMP、TCP、UDP和ARP协议，支持指定外迁的端口及方向；

3）在为云主机配置外迁地址时，会在云主机虚拟网卡本身端口的基础上再次创建一个虚拟端口，此虚拟端口属性为vxlan,根据端口获取IP地址在openflow上的编号，监测源地址与目的地址能否ping通，若能通，通过在openvswitch上设置流表规则，控制虚拟交换机的流量走像，从而实现流量重定向。