Open vSwitch(下面簡稱爲 OVS)是由 Nicira Networks 主導的,運行在虛擬化平臺(例如 KVM,Xen)上的虛擬交換機。在虛擬化平臺上,OVS 能夠爲動態變化的端點提供 2 層交換功能,很好的控制虛擬網絡中的訪問策略、網絡隔離、流量監控等等。 html
OVS 遵循 Apache 2.0 許可證, 能同時支持多種標準的管理接口和協議。OVS 也提供了對 OpenFlow 協議的支持,用戶可使用任何支持 OpenFlow 協議的控制器對 OVS 進行遠程管理控制。 java
在 OVS 中, 有幾個很是重要的概念: git
OVS 能夠安裝在主流的 Linux 操做系統中,用戶能夠選擇直接安裝編譯好的軟件包,或者下載源碼進行編譯安裝。 github
在咱們的實驗環境中,使用的操做系統是 64 位 Ubuntu Server 12.04.3 LTS,並經過源碼編譯的方式安裝了 Open vSwitch 1.11.0 web
$ lsb_release -a No LSB modules are available. Distributor ID:Ubuntu Description:Ubuntu 12.04.3 LTS Release:12.04 Codename:precise
OVS 的源碼編譯安裝方式能夠參考官方文檔 How to Install Open vSwitch on Linux, FreeBSD and NetBSD。 數據庫
安裝完畢後,檢查 OVS 的運行狀況: json
$ ps -ea | grep ovs 12533 ? 00:00:00 ovs_workq 12549 ? 00:00:04 ovsdb-server 12565 ? 00:00:48 ovs-vswitchd 12566 ? 00:00:00 ovs-vswitchd
查看 OVS 的版本信息, 咱們安裝版本的是 1.11.0 cookie
$ ovs-appctl --version ovs-appctl (Open vSwitch) 1.11.0 Compiled Oct 28 2013 14:17:16
查看 OVS 支持的 OpenFlow 協議的版本 網絡
$ ovs-ofctl --version ovs-ofctl (Open vSwitch) 1.11.0 Compiled Oct 28 2013 14:17:17 OpenFlow versions 0x1:0x4
回頁首 架構
OpenFlow 是用於管理交換機流表的協議,ovs-ofctl 則是 OVS 提供的命令行工具。在沒有配置 OpenFlow 控制器的模式下,用戶可使用 ovs-ofctl 命令經過 OpenFlow 協議去鏈接 OVS,建立、修改或刪除 OVS 中的流表項,並對 OVS 的運行情況進行動態監控。
在 OpenFlow 的白皮書中,Flow 被定義爲某個特定的網絡流量。例如,一個 TCP 鏈接就是一個 Flow,或者從某個 IP 地址發出來的數據包,均可以被認爲是一個 Flow。支持 OpenFlow 協議的交換機應該包括一個或者多個流表,流表中的條目包含:數據包頭的信息、匹配成功後要執行的指令和統計信息。
當數據包進入 OVS 後,會將數據包和流表中的流表項進行匹配,若是發現了匹配的流表項,則執行該流表項中的指令集。相反,若是數據包在流表中沒有發現任何匹配,OVS 會經過控制通道把數據包發到 OpenFlow 控制器中。
在 OVS 中,流表項做爲 ovs-ofctl 的參數,採用以下的格式:字段=值。若是有多個字段,能夠用逗號或者空格分開。一些經常使用的字段列舉以下:
字段名稱 | 說明 |
---|---|
in_port=port | 傳遞數據包的端口的 OpenFlow 端口編號 |
dl_vlan=vlan | 數據包的 VLAN Tag 值,範圍是 0-4095,0xffff 表明不包含 VLAN Tag 的數據包 |
dl_src=<MAC> dl_dst=<MAC> |
匹配源或者目標的 MAC 地址 01:00:00:00:00:00/01:00:00:00:00:00 表明廣播地址 00:00:00:00:00:00/01:00:00:00:00:00 表明單播地址 |
dl_type=ethertype | 匹配以太網協議類型,其中: dl_type=0x0800 表明 IPv4 協議 dl_type=0x086dd 表明 IPv6 協議 dl_type=0x0806 表明 ARP 協議 完整的的類型列表能夠參見以太網協議類型列表 |
nw_src=ip[/netmask] nw_dst=ip[/netmask] |
當 dl_typ=0x0800 時,匹配源或者目標的 IPv4 地址,可使 IP 地址或者域名 |
nw_proto=proto | 和 dl_type 字段協同使用。 當 dl_type=0x0800 時,匹配 IP 協議編號 當 dl_type=0x086dd 表明 IPv6 協議編號 完整的 IP 協議編號能夠參見IP 協議編號列表 |
table=number | 指定要使用的流表的編號,範圍是 0-254。在不指定的狀況下,默認值爲 0。經過使用流表編號,能夠建立或者修改多個 Table 中的 Flow |
reg<idx>=value[/mask] | 交換機中的寄存器的值。當一個數據包進入交換機時,全部的寄存器都被清零,用戶能夠經過 Action 的指令修改寄存器中的值 |
對於 add−flow,add−flows 和 mod−flows 這三個命令,還須要指定要執行的動做:actions=[target][,target...]
一個流規則中可能有多個動做,按照指定的前後順序執行。
常見的操做有:
在本例中, 咱們會建立一個不鏈接到任何控制器的 OVS 交換機,並演示如何使用 ovs-octl 命令操做 OpenFlow 流表。
建立一個新的 OVS 交換機
$ ovs-vsctl add-br ovs-switch
建立一個端口 p0,設置端口 p0 的 OpenFlow 端口編號爲 100(若是在建立端口的時候沒有指定 OpenFlow 端口編號,OVS 會自動生成一個)。
$ ovs-vsctl add-port ovs-switch p0 -- set Interface p0 ofport_request=100
設置網絡接口設備的類型爲「internal」。對於 internal 類型的的網絡接口,OVS 會同時在 Linux 系統中建立一個能夠用來收發數據的模擬網絡設備。咱們能夠爲這個網絡設備配置 IP 地址、進行數據監聽等等。
$ ovs-vsctl set Interface p0 type=internal $ ethtool -i p0 driver: openvswitch version: firmware-version: bus-info: supports-statistics: no supports-test: no supports-eeprom-access: no supports-register-dump: no
爲了不網絡接口上的地址和本機已有網絡地址衝突,咱們能夠建立一個虛擬網絡空間 ns0,把 p0 接口移入網絡空間 ns0,並配置 IP 地址爲 192.168.1.100
$ ip netns add ns0 $ ip link set p0 netns ns0 $ ip netns exec ns0 ip addr add 192.168.1.100/24 dev p0 $ ip netns exec ns0 ifconfig p0 promisc up
使用一樣的方法建立端口 p一、p2
端口 | 說明 |
---|---|
p0 | IP 地址: 192.168.1.100/24 網絡名稱空間: ns0 網絡接口 MAC 地址: 66:4e:cc:ae:4d:20 OpenFlow Port Number: 100 |
p1 | IP 地址: 192.168.1.101/24 網絡名稱空間: ns1 網絡接口 MAC 地址: 46:54:8a:95:dd:f8 OpenFlow Port Number: 101 |
p2 |
IP 地址: 192.168.1.102/24, 網絡名稱空間: ns2 網絡接口 MAC 地址: 86:3b:c8:d0:44:10 OpenFlow Port Number: 102 |
建立全部的端口以後, 查看 OVS 交換機的信息
$ ovs-vsctl show 30282710-d401-4187-8e13-52388f693df7 Bridge ovs-switch Port "p0" Interface "p0" type: internal Port "p2" Interface "p2" type: internal Port "p1" Interface "p1" type: internal Port ovs-switch Interface ovs-switch type: internal
使用 ovs-ofctl 建立並測試 OpenFlow 命令
$ ovs-ofctl show ovs-switch OFPT_FEATURES_REPLY (xid=0x2): dpid:00001232a237ea45 n_tables:254, n_buffers:256 capabilities: FLOW_STATS TABLE_STATS PORT_STATS QUEUE_STATS ARP_MATCH_IP actions: OUTPUT SET_VLAN_VID SET_VLAN_PCP STRIP_VLAN SET_DL_SRC SET_DL_DST SET_NW_SRC SET_NW_DST SET_NW_TOS SET_TP_SRC SET_TP_DST ENQUEUE 100(p0): addr:54:01:00:00:00:00 config: PORT_DOWN state: LINK_DOWN speed: 0 Mbps now, 0 Mbps max 101(p1): addr:54:01:00:00:00:00 config: PORT_DOWN state: LINK_DOWN speed: 0 Mbps now, 0 Mbps max 102(p2): addr:54:01:00:00:00:00 config: PORT_DOWN state: LINK_DOWN speed: 0 Mbps now, 0 Mbps max LOCAL(ovs-switch): addr:12:32:a2:37:ea:45 config: 0 state: 0 speed: 0 Mbps now, 0 Mbps max OFPT_GET_CONFIG_REPLY (xid=0x4): frags=normal miss_send_len=0
若是想得到網絡接口的 OpenFlow 編號,也能夠在 OVS 的數據庫中查詢
$ ovs-vsctl get Interface p0 ofport 100
查看 datapath 的信息
$ ovs-dpctl show system@ovs-system: lookups: hit:12173 missed:712 lost:0 flows: 0 port 0: ovs-system (internal) port 1: ovs-switch (internal) port 2: p0 (internal) port 3: p1 (internal) port 4: p2 (internal)
屏蔽全部進入 OVS 的以太網廣播數據包
$ ovs-ofctl add-flow ovs-switch "table=0, dl_src=01:00:00:00:00:00/01:00:00:00:00:00, actions=drop"
屏蔽 STP 協議的廣播數據包
$ ovs-ofctl add-flow ovs-switch "table=0, dl_dst=01:80:c2:00:00:00/ff:ff:ff:ff:ff:f0, actions=drop"
添加新的 OpenFlow 條目,修改從端口 p0 收到的數據包的源地址爲 9.181.137.1
$ ovs-ofctl add-flow ovs-switch "priority=1 idle_timeout=0,\ in_port=100,actions=mod_nw_src:9.181.137.1,normal"
從端口 p0(192.168.1.100)發送測試數據到端口 p1(192.168.1.101)
$ ip netns exec ns0 ping 192.168.1.101
在接收端口 p1 監控數據,發現接收到的數據包的來源已經被修改成 9.181.137.1
$ ip netns exec ns1 tcpdump -i p1 icmp tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on p1, link-type EN10MB (Ethernet), capture size 65535 bytes 15:59:16.885770 IP 9.181.137.1 > 192.168.1.101: ICMP echo request, id 23111, seq 457, length 64 15:59:17.893809 IP 9.181.137.1 > 192.168.1.101: ICMP echo request, id 23111, seq 458, length 64
添加新的 OpenFlow 條目,重定向全部的 ICMP 數據包到端口 p2
$ ovs-ofctl add-flow ovs-switch idle_timeout=0,dl_type=0x0800,nw_proto=1,actions=output:102
從端口 p0 (192.168.1.100)發送數據到端口 p1(192.168.1.101)
$ ip netns exec ns0 ping 192.168.1.101
在端口 p2 上監控數據,發現數據包已被轉發到端口 p2
$ ip netns exec ns3 tcpdump -i p2 icmp tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on p2, link-type EN10MB (Ethernet), capture size 65535 bytes 16:07:35.677770 IP 192.168.1.100 > 192.168.1.101: ICMP echo request, id 23147, seq 25, length 64 16:07:36.685824 IP 192.168.1.100 > 192.168.1.101: ICMP echo request, id 23147, seq 26, length 64
除了使用「ping」、「tcpdump」和「iperf」 等 Linux 命令之外,咱們也可使用 OVS 提供的 ovs-appctl ofproto/trace 工具來測試 OVS 對數據包的轉發情況。ovs-appctl ofproto/trace 能夠用來生成測試用的模擬數據包,並一步步的展現 OVS 對數據包的流處理過程。在如下的例子中,咱們演示一下如何使用這個命令:
修改端口 p1 的 VLAN tag 爲 101,使端口 p1 成爲一個隸屬於 VLAN 101 的端口
$ ovs-vsctl set Port p1 tag=101
如今因爲端口 p0 和 p1 屬於不一樣的 VLAN,它們之間沒法進行數據交換。咱們使用 ovs-appctl ofproto/trace 生成一個從端口 p0 發送到端口 p1 的數據包,這個數據包不包含任何 VLAN tag,並觀察 OVS 的處理過程
$ ovs-appctl ofproto/trace ovs-switch in_port=100,dl_src=66:4e:cc:ae:4d:20, dl_dst=46:54:8a:95:dd:f8 -generate Flow:metadata=0,in_port=100,vlan_tci=0x0000,dl_src=66:4e:cc:ae:4d:20, dl_dst=46:54:8a:95:dd:f8,dl_type=0x0000 Rule: table=0 cookie=0 priority=0 OpenFlow actions=NORMAL no learned MAC for destination, flooding Final flow: unchanged Relevant fields: skb_priority=0,in_port=100,vlan_tci=0x0000/0x1fff,\ dl_src=66:4e:cc:ae:4d:20,dl_dst=46:54:8a:95:dd:f8,dl_type=0x0000,nw_frag=no Datapath actions: 4,1
在第一行輸出中,「Flow:」以後的字段描述了輸入的流的信息。因爲咱們沒有指定太多信息,因此多數字段 (例如 dl_type 和 vlan_tci)被 OVS 設置爲空值。
在第二行的輸出中,「Rule:」 以後的字段描述了匹配成功的流表項。
在第三行的輸出中,「OpenFlow actions」以後的字段描述了實際執行的操做。
最後一段以」Final flow」開始的字段是整個處理過程的總結,「Datapath actions: 4,1」表明數據包被髮送到 datapath 的 4 和 1 號端口。
建立一條新的 Flow:對於從端口 p0 進入交換機的數據包,若是它不包含任何 VLAN tag,則自動爲它添加 VLAN tag 101
$ ovs-ofctl add-flow ovs-switch "priority=3,in_port=100,dl_vlan=0xffff,\ actions=mod_vlan_vid:101,normal"
再次嘗試從端口 p0 發送一個不包含任何 VLAN tag 的數據包,發現數據包進入端口 p0 以後, 會被加上 VLAN tag101, 同時轉發到端口 p1 上
$ ovs-appctl ofproto/trace ovs-switch in_port=100,dl_src=66:4e:cc:ae:4d:20, dl_dst=46:54:8a:95:dd:f8 –generate Flow: metadata=0,in_port=100,vlan_tci=0x0000,dl_src=66:4e:cc:ae:4d:20, dl_dst=46:54:8a:95:dd:f8,dl_type=0x0000 Rule: table=0 cookie=0 priority=3,in_port=100,vlan_tci=0x0000 OpenFlow actions=mod_vlan_vid:101,NORMAL forwarding to learned port Final flow: metadata=0,in_port=100,dl_vlan=101,dl_vlan_pcp=0,dl_src=66:4e:cc:ae:4d:20, dl_dst=46:54:8a:95:dd:f8,dl_type=0x0000 Relevant fields: skb_priority=0,in_port=100,vlan_tci=0x0000/0x1fff,dl_src=66:4e:cc:ae:4d:20, dl_dst=46:54:8a:95:dd:f8,dl_type=0x0000,nw_frag=no Datapath actions: 3
反過來從端口 p1 發送數據包,因爲 p1 如今是帶有 VLAN tag 101 的 Access 類型的端口,因此數據包進入端口 p1 以後,會被 OVS 添加 VLAN tag 101 併發送到端口 p0
$ ovs-appctl ofproto/trace ovs-switch in_port=101,dl_dst=66:4e:cc:ae:4d:20, dl_src=46:54:8a:95:dd:f8 -generate Flow: metadata=0,in_port=101,vlan_tci=0x0000,dl_src=46:54:8a:95:dd:f8, dl_dst=66:4e:cc:ae:4d:20,dl_type=0x0000 Rule: table=0 cookie=0 priority=0 OpenFlow actions=NORMAL forwarding to learned port Final flow: unchanged Relevant fields: skb_priority=0,in_port=101,vlan_tci=0x0000,dl_src=46:54:8a:95:dd:f8, dl_dst=66:4e:cc:ae:4d:20,dl_type=0x0000,nw_frag=no Datapath actions: push_vlan(vid=101,pcp=0),2
查看交換機中的全部 Table
ovs-ofctl dump-tables ovs-switch
查看交換機中的全部流表項
ovs−ofctl dump−flows ovs-switch
刪除編號爲 100 的端口上的全部流表項
ovs-ofctl del-flows ovs-switch "in_port=100"
查看交換機上的端口信息
ovs-ofctl show ovs-switch
一 方面,OpenFlow 控制器能夠經過 OpenFlow 協議鏈接到任何支持 OpenFlow 的交換機,控制器經過和交換機交換流表規則來控制數據流向。另外一方面, OpenFlow 控制器向用戶提供的界面或者接口,用戶能夠經過界面對網絡架構進行動態的修改,修改交換機的流表規則等等。Floodlight 是一個基於 Apache 協議,使用 Java 開發的企業級 OpenFlow 控制器。咱們在下面的例子中演示如何安裝 Floodlight,並鏈接管理 OVS 的過程。
Floodlight 的安裝過程很是簡單,在另一臺機器上, 下載 Floodlight 源碼並編譯
$ git clone git://github.com/floodlight/floodlight.git $ cd floodlight/ $ ant $ java -jar target/floodlight.jar
運行 Floodlight
$ java -jar floodlight.jar
在 安裝了 OVS 交換機的節點上,配置 OVS 交換機 ovs-switch,使用 Floodlight 做爲控制器。默認狀況下,Floodlight 在端口 6633 上進行監聽,咱們使用 ovs-vsctl 命令配置 OVS 交換機使用 TCP 協議鏈接到 Floodlight(IP 地址爲 9.181.137.182,端口號 6633)。對於一個 OVS 交換機來講,能夠同時配置一個或者多個控制器
$ ovs-vsctl set-controller ovs-switch tcp:9.181.137.182:6633
當 OVS 交換機鏈接到 Floodlight 控制器後,理論上全部的流表規則應該交給控制器來創建。因爲 OVS 交換機和控制器之間是經過網絡通信來傳遞數據的,因此網絡鏈接失敗會影響到 Flow 的創建。針對這種狀況,OVS 提供了兩種處理模式:
設置 OVS 的鏈接模式爲 secure 模式
$ ovs-vsctl set Bridge ovs-switch fail-mode=secure
查看 OVS 的狀態,「is_connected:true」表明 OVS 已經成功鏈接到了 Floodlight
$ ovs-vsctl show 30282710-d401-4187-8e13-52388f693df7 Bridge ovs-switch Controller "tcp:9.181.137.182:6633" is_connected: true Port ovs-switch Interface ovs-switch type: internal Port "p0" Interface "p0" type: internal Port "p1" tag: 101 Interface "p1" type: internal Port "p2" Interface "p2" type: internal
經過訪問 Floodlight 提供的 Web 管理界面 http://<Host Address>:8080/ui/index.html,咱們能夠查看 Floodlight 控制器的狀態以及全部鏈接到 Floodlight 的交換機列表
選中某個 OpenFlow 交換機, 查看其中的端口列表和流表信息
經過 Floodlight 的 RESTAPI,添加兩條新的規則讓端口 p0 和 p1 能夠相互通信。注意:替換命令行中的 switch 的 ID 爲交換機的 datapath ID
curl -d '{"switch": "00:00:0e:f9:05:6b:7c:44", "name":"my-flow1", "cookie":"0","priority":"32768", "ingress-port":"100","active":"true", "actions":"output=flood"}' http://9.181.137.182:8080/wm/staticflowentrypusher/json curl -d '{"switch": "00:00:0e:f9:05:6b:7c:44", "name":"my-flow2", "cookie":"0","priority":"32768", "ingress-port":"101","active":"true", "actions":"output=flood"}' http://9.181.137.182:8080/wm/staticflowentrypusher/json
驗證是否能從端口 p0 發送數據包到 p1
$ ip netns exec ns0 ping -c4 192.168.1.101 PING 192.168.1.101 (192.168.1.101) 56(84) bytes of data. 64 bytes from 192.168.1.101: icmp_req=1 ttl=64 time=0.027 ms 64 bytes from 192.168.1.101: icmp_req=2 ttl=64 time=0.018 ms 64 bytes from 192.168.1.101: icmp_req=3 ttl=64 time=0.023 ms 64 bytes from 192.168.1.101: icmp_req=4 ttl=64 time=0.022 ms --- 192.168.1.101 ping statistics --- 4 packets transmitted, 4 received, 0% packet loss, time 2998ms rtt min/avg/max/mdev = 0.018/0.022/0.027/0.005 ms
在 OVS 端也能夠看到,流表規則已經被 OVS 同步到本地。
$ ovs-ofctl dump-flows ovs-switch NXST_FLOW reply (xid=0x4): cookie=0xa0000000000000, duration=335.122s, table=0, n_packets=347, n_bytes=28070, idle_age=1, in_port=100 actions=FLOOD cookie=0xa0000000000000, duration=239.892s, table=0, n_packets=252, n_bytes=24080, idle_age=0, in_port=101 actions=FLOOD
經過 Floodlight 的 RestAPI,查看交換機上的流表規則
curl http://9.181.137.182:8080/wm/staticflowentrypusher/list/00:00:0e:f9:05:6b:7c:44/json
經過 Floodlight 的 RestAPI,刪除交換機上的流表規則
curl http://9.181.137.182:8080/wm/staticflowentrypusher/clear/00:00:0e:f9:05:6b:7c:44/json
通 過本文的講述和實驗,咱們瞭解了 Open vSwitch 以及 OpenFlow 的基本概念,以及經過 OpenFlow 協議修改 Open vSwitch 中的流表項,最後演示瞭如何使用 Floodlight 鏈接 Open vSwitch 並進行管理。