CN112187608B - 一种基于OpenStack的透明模式服务链实现方法及其系统 - Google Patents

Abstract

本发明公开了一种基于OpenStack的透明模式服务链实现方法及其系统，属于数据处理领域；所述的方法具体步骤如下：S1接收用户创建服务链的请求；S2在OpenStack云平台上创建由若干虚拟网元sf组成的服务链scf；S3利用服务链scf管理模块下发流表；S4根据用户创建的classification指定虚机的流通过服务链scf；S5将服务链scf和classification进行存储；使用本发明方法实现OpenStack东西向透明模式服务链，虚拟网元sf无需配置ip地址，用户不用进行重新设定和修改路由，在服务链中传输的报文也无需有ip地址和mac地址的修改，从而实现用户指定业务流量的引导至不同的虚拟网元sf上，同时虚拟网元sf的部署不受网络的限制，服务链和classification分别定义，可动态实现不同的classification连接到同一服务链上，更加灵活。

Description

一种基于OpenStack的透明模式服务链实现方法及其系统

技术领域

本发明公开一种基于OpenStack的透明模式服务链实现方法及其系统，涉及数据处理技术领域。

背景技术

OpenStack是一个由NASA(美国国家航空航天局)和Rackspace合作研发并发起的，以Apache许可证授权的自由软件和开放源代码项目。

OpenStack支持几乎所有类型的云环境，项目目标是提供实施简单、可大规模扩展、丰富、标准统一的云计算管理平台。OpenStack通过各种互补的服务提供了基础设施即服务(IaaS)的解决方案，每个服务提供API以进行集成。

数据报文在网络中传递时，需要经过各种各样的业务节点，才能保证网络能够按照设计要求，提供给用户安全、快速、稳定的网络服务。当网络流量按照业务逻辑所要求的既定的顺序，经过这些业务点(主要指安全设备如防火墙、LB等)，这就是服务链(ServiceFunction Chain).一个服务链通常都会有入口节点和出口节点，服务链的组织顺序，和服务节点的物理拓扑无关数据报文进入服务链以后，就会按照服务链既定的顺序穿过各个服务节点。服务链的每一个节点，都知道当前服务链的下一个服务节点在哪里，并通过Overlay网络送达到下一个服务节点处理。

目前OpenStack平台上的服务链不支持透明模式，需要sf上配置ip，同时进行路由转发且sf部署受网络限制，操作的灵活性差，故现发明一种基于OpenStack的透明模式服务链实现方法及其系统，以解决上述问题。

发明内容

本发明针对现有技术的问题，提供一种基于OpenStack的透明模式服务链实现方法及其系统，所采用的技术方案为：

一种基于0penStack的透明模式服务链实现方法，所述的方法具体步骤如下：

S1接收用户创建服务链的请求；

S2在OpenStack云平台上创建由若干虚拟网元sf组成的服务链scf；

S3利用服务链scf管理模块下发流表；

S4根据用户创建的classification指定虚机的流通过服务链scf；

S5将服务链scf和classification进行存储。

所述S1利用北向接口接收用户创建服务链的请求rest api。

所述S3利用服务链scf管理模块下发流表的具体步骤如下：

S301服务链scf管理模块为为服务链scf分配一个nsp号；

S302将同一nsp号、nsi为255的流发往第一个虚拟网元sf所在的计算节点的port；

S312将同一nsp号、nsi为254的流发往第二个虚拟网元sf所在的计算节点的port；

S303服务链scf管理模块读取所有的port信息并下发流表；

S304流表将目的mac、vni号和实际的物理节点进行映射。

所述S4根据用户创建的classification指定虚机的流通过服务链scf；

S401将port和五元组进行匹配，将匹配上的流打上nsp和nsi标签；

S402根据目的mac的流表学习到其真实目的虚机所在的计算节点；

S403将计算节点和vni号存到nshc1和nsch2中。

一种基于OpenStack的透明模式服务链实现系统，所述系统包括接收模块、创建模块、下发模块、指定模块和存储模块；

接收模块：接收用户创建服务链的请求；

创建模块：在OpenStack云平台上创建由若干虚拟网元sf组成的服务链scf；

下发模块：利用服务链scf管理模块下发流表；

指定模块：根据用户创建的classification指定虚机的流通过服务链scf；

存储模块：将服务链scf和classification进行存储。

所述接收模块利用北向接口接收用户创建服务链的请求rest api。

所述下发模块具体包括分配模块、第一发送模块、第二发送模块、读取模块和映射模块：

分配模块：服务链scf管理模块为为服务链scf分配一个nsp号；

第一发送模块：将同一nsp号、nsi为255的流发往第一个虚拟网元sf所在的计算节点的port；

第二发送模块：将同一nsp号、nsi为254的流发往第二个虚拟网元sf所在的计算节点的port；

读取模块：服务链scf管理模块读取所有的port信息并下发流表；

映射模块：流表将目的mac、vni号和实际的物理节点进行映射。

所述指定模块具体包括打签模块、计算模块和保存模块：

打签模块：将port和五元组进行匹配，将匹配上的流打上nsp和nsi标签；

计算模块：根据目的mac的流表学习到其真实目的虚机所在的计算节点；

保存模块：将计算节点和vni号存到nshc1和nsch2中。

本发明的有益效果为：使用本发明方法实现OpenStack东西向透明模式服务链，虚拟网元sf无需配置ip地址，用户不用进行重新设定和修改路由，在服务链中传输的报文也无需有ip地址和mac地址的修改，从而实现用户指定业务流量的引导至不同的虚拟网元sf上，同时虚拟网元sf的部署不受网络的限制，服务链和classification分别定义，可动态实现不同的classification连接到同一服务链上，更加灵活。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本发明方法的流程图；图2是本发明系统的结构示意图；图3是实施例中服务链scf的整体架构图；图4是实施例汇总服务链scf的流量流程图。

具体实施方式

下面结合附图和具体实施例对本发明作进一步说明，以使本领域的技术人员可以更好地理解本发明并能予以实施，但所举实施例不作为对本发明的限定。

目前OpenStack的networking-sfc满足在非透明模式下的服务链功能，同时相邻的两个vnf的出口和入口必须在同一个二层域内，限制较多，本发明提出一种基于OpenStack的透明模式下的服务链实现方法，基于nsh标签识别服务链路径和跳数，根据vnf在计算节点的port数来进行转发，从而实现报文在vnf中的纯透明转发，vnf的部署不受网络限制；

首先对本发明中涉及的SFC核心组件做如下介绍：

Classification：根据初始化的(配置好的)policy匹配数据流进行封装，然后转入到Service Function Chain中。Classifier是进入Service Chain的第一个点，Classifier映射Traffic进入Service Chain，并将Traffic封装到VXLAN-GPE-NSH tunnel中，同时也支持mpls，vlan封装。通过Matching来实现Classifier，例如简单的如ACL，复杂的如PCRF，DPI等。通常openvaswitch承担着classification的作用。

SF(Service Function)：负责对收到的数据包进行特定功能的处理。作为一个逻辑上的组件。sf在具体实现的上可以是一个虚拟的元素，或者是嵌入在具体网络设备上的某种功能。常见的SF有：防火墙(firewall)，WAN设备加速器，深层报文检测(DeepPacketInspection，DPI)，NAT等等。

Service Function Chain(SFC)：SFC定义了一个抽象的Service Function有序集合。经过分类后的包要依次去遍历集合中的Service Function。比如：用户可以配置firewall->qos->dpi三种服务来构建一条SFC。

Port chain：port的列表，用于定义服务功能的顺序。

Port Pair：port chain在实际使用中会以一连串port-pair(端口对)来呈现。SF1，SF2，SF3为三个不同的Service Function，其port chain可以表示为：[{’p1’：’p2’}，{’p3’：’p4’}，{’p5’：’p6’}]。{’p1’，’p2’}即为一个port-pair,其中第1个端口为入端口,第2个端口为出端口。p1为整条port-chain的头部,而p6为port-chain的尾部。

有了SFC构架，那么服务平面上的各种逻辑组件是如何完成SFC报文的转发和服务任务的，为此IETF定义了一个SFC的数据面传输协议，network service head—NSH。NSH是一个数据面传输协议，服务平面根据NSH头信息完成服务流转发控制和服务(实现SFC控制面下发的策略)，这个协议可以帮助用户动态的创建部署SFC。

通过NSH，Traffic可以很容易的穿过Service Chain。如果没有NSH封装，那么在Traffic经过的每个SF上都需要对流量进行分类识别，不仅影响性能,而且不利于扩展。在NSH header中值得关注两个字段：

1)NSP(NSH Path)：业务Path ID，可以给每个业务分配一个NSP，SF根据NSP对Traffic进行处理。

2)NSI(NSH Index)：NSI指报文在Service Chain中的跳数，初始值为255，每经过一个SF，减一，如果NSI减到0，则丢弃此包，避免产生环路，类似IP报文中的TTL。

每条Chain都有自己的标识。当host1发送数据包给host2，数据包首先会到分类器中进行筛选。分类出需要经过Service Function Chaining的数据包会进行封装，并打上NSH头。包头中包含了很多信息，包括走哪一条服务链(nsp标识)，服务链有几跳(nsi标识)等。接着数据包会依次经过SFF，由SFF将数据包传递给SF或者下一跳的SFF，每传到一个SF后，nsh报文中nsi的值减一，直到链的最后；

实施例一：

一种基于OpenStack的透明模式服务链实现方法，其特征是所述的方法具体步骤如下：

S1接收用户创建服务链的请求；

S2在OpenStack云平台上创建由若干虚拟网元sf组成的服务链scf；

S3利用服务链scf管理模块下发流表；

S4根据用户创建的classification指定虚机的流通过服务链scf；

S5将服务链scf和classification进行存储；

通过本发明方法实现透明模式服务链时，首先通过S1对用户端创建的服务链scf请求进行接收，然后用户通过S2在OpenStack云平台上创建由若干虚拟网元sf组成的服务链scf，接着按照S3下发相关的流表，用户创建的classification按照S4指定哪些虚机的哪些流通过该服务链scf，最后按照S5将服务链scf和classification进行存储即可；

使用本发明方法实现OpenStack东西向透明模式服务链，虚拟网元sf无需配置ip地址，用户不用进行重新设定和修改路由，在服务链中传输的报文也无需有ip地址和mac地址的修改，从而实现用户指定业务流量的引导至不同的虚拟网元sf上，同时虚拟网元sf的部署不受网络的限制，服务链和classification分别定义，可动态实现不同的classification连接到同一服务链上，更加灵活；

进一步的，所述S1利用北向接口接收用户创建服务链的请求rest api；

进一步的，所述S3利用服务链scf管理模块下发流表的具体步骤如下：

S301服务链scf管理模块为为服务链scf分配一个nsp号；

S302将同一nsp号、nsi为255的流发往第一个虚拟网元sf所在的计算节点的port；

S312将同一nsp号、nsi为254的流发往第二个虚拟网元sf所在的计算节点的port；

S303服务链scf管理模块读取所有的port信息并下发流表；

S304流表将目的mac、vni号和实际的物理节点进行映射；

在S3利用服务链scf管理模块下发流表时，服务链scf管理模块首先按照S301为该服务链scf分一个nsp的号，所有匹配该nsp号，nsi为255的流按照S302发往第一个虚拟网元sf所在的计算节点的port，nsi号为254的流将按照S310发往第二个虚拟网元sf所在的计算节点；同时，服务链sfc模块按照S303将读取所有的port信息，下发流表，最后按照S304将目的mac和vni号以及实际的物理节点通过流表映射好；

再进一步的，所述S4根据用户创建的classification指定虚机的流通过服务链scf；

S401将port和五元组进行匹配，将匹配上的流打上nsp和nsi标签；

S402根据目的mac的流表学习到其真实目的虚机所在的计算节点；

S403将计算节点和vni号存到nshc1和nsch2中；

在实施S4步骤时，首先根据S401将port和五元组进行匹配，将匹配上的流打上nsp和nsi标签这样流被打上nsp和nsi标签后，就会由流表转发至第一个虚拟网元sf上，同时从最后一个虚拟网元sf出来，然后通过S402根据目的mac的流表学习到其真实目的虚机所在的计算节点，并通过S403将计算节点和vni号存到nshc1和nsch2中，当报文从最后一个虚拟网元sf出来后，因为其nshc1中存放了真实目的地址所在的计算节点，nshc2存放了vni号，因此将其nsh标签剥离，并在vxlan报文头上封好真实的目的ip和vni号，由此可复原报文，将报文送往真实的目的地址。

实施例二：

一种基于OpenStack的透明模式服务链实现系统，所述系统包括接收模块、创建模块、下发模块、指定模块和存储模块；

接收模块：接收用户创建服务链的请求；

创建模块：在OpenStack云平台上创建由若干虚拟网元sf组成的服务链scf；

下发模块：利用服务链scf管理模块下发流表；

指定模块：根据用户创建的classification指定虚机的流通过服务链scf；

存储模块：将服务链scf和classification进行存储；

通过本发明系统实现透明模式服务链时，首先通过接收模块对用户端创建的服务链scf请求进行接收，然后用户通过创建模块在OpenStack云平台上创建由若干虚拟网元sf组成的服务链scf，接着按照下发模块下发相关的流表，用户创建的classification按照指定模块指定哪些虚机的哪些流通过该服务链scf，最后按照存储模块将服务链scf和classification进行存储即可；

使用本发明系统实现OpenStack东西向透明模式服务链，虚拟网元sf无需配置ip地址，用户不用进行重新设定和修改路由，在服务链中传输的报文也无需有ip地址和mac地址的修改，从而实现用户指定业务流量的引导至不同的虚拟网元sf上，同时虚拟网元sf的部署不受网络的限制，服务链和classification分别定义，可动态实现不同的classification连接到同一服务链上，更加灵活；

所述接收模块利用北向接口接收用户创建服务链的请求rest api；

所述下发模块具体包括分配模块、第一发送模块、第二发送模块、读取模块和映射模块：

分配模块：服务链scf管理模块为为服务链scf分配一个nsp号；

第一发送模块：将同一nsp号、nsi为255的流发往第一个虚拟网元sf所在的计算节点的port；

第二发送模块：将同一nsp号、nsi为254的流发往第二个虚拟网元sf所在的计算节点的port；

读取模块：服务链scf管理模块读取所有的port信息并下发流表；

映射模块：流表将目的mac、vni号和实际的物理节点进行映射；

在下发模块利用服务链scf管理模块下发流表时，服务链scf管理模块首先通过分配模块为该服务链scf分一个nsp的号，所有匹配该nsp号，nsi为255的流利用第一发送模块发往第一个虚拟网元sf所在的计算节点的port，nsi号为254的流将利用第二发送模块发往第二个虚拟网元sf所在的计算节点；同时，服务链sfc模块利用读取模块将读取所有的port信息，下发流表，最后通过映射模块将目的mac和vni号以及实际的物理节点通过流表映射好；

所述指定模块具体包括打签模块、计算模块和保存模块：

打签模块：将port和五元组进行匹配，将匹配上的流打上nsp和nsi标签；

计算模块：根据目的mac的流表学习到其真实目的虚机所在的计算节点；

保存模块：将计算节点和vni号存到nshc1和nsch2中；

在指定模块工作时，首先通过打钱模块将port和五元组进行匹配，将匹配上的流打上nsp和nsi标签这样流被打上nsp和nsi标签后，就会由流表转发至第一个虚拟网元sf上，同时从最后一个虚拟网元sf出来，然后利用计算模块根据目的mac的流表学习到其真实目的虚机所在的计算节点，并通过保存模块将计算节点和vni号存到nshc1和nsch2中，当报文从最后一个虚拟网元sf出来后，因为其nshc1中存放了真实目的地址所在的计算节点，nshc2存放了vni号，因此将其nsh标签剥离，并在vxlan报文头上封好真实的目的ip和vni号，由此可复原报文，将报文送往真实的目的地址。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (8)

1.一种基于OpenStack的透明模式服务链实现方法，其特征是所述的方法具体步骤如下：

S1接收用户创建服务链的请求；

S2在OpenStack云平台上创建由若干虚拟网元sf组成的服务链scf；

S3利用服务链scf管理模块下发流表；

S4根据用户创建的classification指定虚机的流通过服务链scf；

S5将服务链scf和classification进行存储。

2.根据权利要求1所述的基于OpenStack的透明模式服务链实现方法，其特征是所述S1利用北向接口接收用户创建服务链的请求rest api。

3.根据权利要求1或2所述的基于OpenStack的透明模式服务链实现方法，其特征是所述S3利用服务链scf管理模块下发流表的具体步骤如下：

S301服务链scf管理模块为为服务链scf分配一个nsp号；

S302将同一nsp号、nsi为255的流发往第一个虚拟网元sf所在的计算节点的port；

S312将同一nsp号、nsi为254的流发往第二个虚拟网元sf所在的计算节点的port；

S303服务链scf管理模块读取所有的port信息并下发流表；

S304流表将目的mac、vni号和实际的物理节点进行映射。

4.根据权利要求3所述的基于OpenStack的透明模式服务链实现方法，其特征是所述S4根据用户创建的classification指定虚机的流通过服务链scf；

S401将port和五元组进行匹配，将匹配上的流打上nsp和nsi标签；

S402根据目的mac的流表学习到其真实目的虚机所在的计算节点；

S403将计算节点和vni号存到nshc1和nsch2中。

5.一种基于OpenStack的透明模式服务链实现系统，其特征是所述系统包括接收模块、创建模块、下发模块、指定模块和存储模块；

接收模块：接收用户创建服务链的请求；

创建模块：在OpenStack云平台上创建由若干虚拟网元sf组成的服务链scf；

下发模块：利用服务链scf管理模块下发流表；

指定模块：根据用户创建的classification指定虚机的流通过服务链scf；

存储模块：将服务链scf和classification进行存储。

6.根据权利要求5所述的基于OpenStack的透明模式服务链实现系统，其特征是所述接收模块利用北向接口接收用户创建服务链的请求rest api。

7.根据权利要求5或6所述的基于OpenStack的透明模式服务链实现系统，其特征是所述下发模块具体包括分配模块、第一发送模块、第二发送模块、读取模块和映射模块：

分配模块：服务链scf管理模块为为服务链scf分配一个nsp号；

第一发送模块：将同一nsp号、nsi为255的流发往第一个虚拟网元sf所在的计算节点的port；

第二发送模块：将同一nsp号、nsi为254的流发往第二个虚拟网元sf所在的计算节点的port；

读取模块：服务链scf管理模块读取所有的port信息并下发流表；

映射模块：流表将目的mac、vni号和实际的物理节点进行映射。

8.根据权利要求7所述的基于OpenStack的透明模式服务链实现系统，其特征是所述指定模块具体包括打签模块、计算模块和保存模块：

打签模块：将port和五元组进行匹配，将匹配上的流打上nsp和nsi标签；

计算模块：根据目的mac的流表学习到其真实目的虚机所在的计算节点；

保存模块：将计算节点和vni号存到nshc1和nsch2中。

Images