OpenStack云計算平臺搭建與管理（openEuler）（微課版） 教案 第15講 OpenStack的網(wǎng)絡(luò)建設(shè)者-Neutron

PAGE76云計算基礎(chǔ)平臺搭建與應(yīng)用課程教案授課題目：第15講OpenStack的網(wǎng)絡(luò)建設(shè)者——Neutron教學(xué)時數(shù)：4授課類型：R理論課R實踐課教學(xué)目的、要求：了解Neutron的功能了解Neutron的組件構(gòu)成及功能了解Neutron的基本工作過程能夠安裝配置Neutron網(wǎng)絡(luò)組件教學(xué)重點：Neutron的組件構(gòu)成及基本工作過程安裝配置Neutron服務(wù)教學(xué)方法和手段：通過微課講解跟著視頻實作教學(xué)條件：網(wǎng)課參考資料：

云計算基礎(chǔ)平臺搭建與應(yīng)用課程教案教學(xué)內(nèi)容及過程旁批課前準(zhǔn)備：檢查自己前面的系統(tǒng)配置是否完全完成，必須完成后才能進入這一段學(xué)習(xí)。并且先進行系統(tǒng)快照。教學(xué)引入：Nova負(fù)責(zé)創(chuàng)建云主機，接下來需要將創(chuàng)建好的云主機連上網(wǎng)，使云主機和宿主機之間能夠相互連通。在OpenStack中負(fù)責(zé)管理網(wǎng)絡(luò)的組件是：“Neutron”，因此我們需要在OpenStack平臺中安裝上該組件。Neutron是OpenStack核心項目之一，提供云計算環(huán)境下的虛擬網(wǎng)絡(luò)功能，負(fù)責(zé)管理云主機私有網(wǎng)段之間及云主機與公有網(wǎng)段之間的通信及通信安全。教學(xué)內(nèi)容與教學(xué)設(shè)計：15.1Neutron的基本概念15.1.1網(wǎng)絡(luò)服務(wù)（Neutron）Neutron其實并不在最早的OpenStack項目中。在早期的OpenStack里面，網(wǎng)絡(luò)是由Nova的nova-network模塊實現(xiàn)的。之后隨著網(wǎng)絡(luò)功能日趨復(fù)雜，一個叫作Quantum的新項目被創(chuàng)建，它就是Neutron的前生。其后又發(fā)現(xiàn)Quantum與一家公司重名了，因此項目被改名為Neutron。Neutron負(fù)責(zé)虛擬網(wǎng)絡(luò)設(shè)備的創(chuàng)建和管理網(wǎng)絡(luò)基礎(chǔ)設(shè)施，包括交換機、路由器、網(wǎng)絡(luò)、子網(wǎng)等。15.1.2Neutron的組件架構(gòu)OpenStack網(wǎng)絡(luò)由對外提供服務(wù)的neutron-server、存儲網(wǎng)絡(luò)信息的數(shù)據(jù)庫和任意數(shù)量的插件（plugin）和代理（agent）組成。圖15.1Neutron的組件架構(gòu)neutron-serverneutron-server是Neutron與外部交流的接口（API），接收與響應(yīng)外部請求。Neutron插件（neutron-plugin）Neutron的插件對應(yīng)具體功能，各個廠商可以開發(fā)自己的插件放入Neutron中。插件做的事情主要有兩個：在數(shù)據(jù)庫中創(chuàng)建資源和發(fā)送請求給具體的neutron-agent。因此neutron-plugin不負(fù)責(zé)具體實現(xiàn)功能，它只負(fù)責(zé)把具體要執(zhí)行的業(yè)務(wù)操作和參數(shù)通知給自身對應(yīng)的neutron-agent。Neutron代理（neutron-agent）可以理解為neutron-plugin在物理設(shè)備上的代理，plugin要實現(xiàn)具體功能必須要通過代理來實現(xiàn)。代理接收到neutron-plugin通知的業(yè)務(wù)操作和參數(shù)，然后在“NetworkProvider”（網(wǎng)絡(luò)提供者，比如一塊真實的網(wǎng)卡）上實現(xiàn)各種網(wǎng)絡(luò)功能如創(chuàng)建網(wǎng)絡(luò)、子網(wǎng)、網(wǎng)橋等。當(dāng)設(shè)備發(fā)生問題時，neutron-agent會將情況通知給neutron-plugin。網(wǎng)絡(luò)提供者（NetworkProvider）是實際執(zhí)行功能的虛擬或物理網(wǎng)絡(luò)設(shè)備，例如“LinuxBridge”、“OpenvSwitch”或者其他支持Neutron的物理交換機。15.1.3Neutron的基本工作流程圖15.2Neutron的基本工作流程當(dāng)Nova發(fā)起對網(wǎng)絡(luò)操作的請求時，其請求將由neutron-server接收并向下傳達到neutron-plugin，并由neutron-plugin調(diào)用neutron-agent來實現(xiàn)具體功能。在眾多的插件中，“ML2Plugin”是一個由Neutron提供的核心插件（CorePlugin），它是集合了多種二層（Layer2）網(wǎng)絡(luò)管理工具的框架，負(fù)責(zé)管理網(wǎng)絡(luò)的模式和選擇實現(xiàn)這些模式所需要的驅(qū)動程序。15.1.4Neutron支持的網(wǎng)絡(luò)類型Neutron支持多種網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，可以組建多種不同功能的網(wǎng)絡(luò)，這里列舉了三種比較常見網(wǎng)絡(luò)模式。FLAT網(wǎng)絡(luò)模式圖15.3Flat網(wǎng)絡(luò)模式示意圖如圖15.3所示，F(xiàn)lat網(wǎng)絡(luò)模式是比較簡單的一種模式，主要用虛擬網(wǎng)橋（類似交換機）建立了虛擬機與物理網(wǎng)卡之間的聯(lián)系，所有虛擬機的IP地址和物理機的IP地址（如本書控制節(jié)點和計算節(jié)點中的外網(wǎng)網(wǎng)卡地址）處于同一個網(wǎng)段中。由于虛擬機和物理機屬于同一個網(wǎng)段，因此虛擬機和物理機可以直接通信。其缺點是所有的虛擬機都在同一個網(wǎng)絡(luò)內(nèi)，沒有進行網(wǎng)絡(luò)隔離，容易產(chǎn)生廣播風(fēng)暴。而且每個虛擬機都要用到寶貴的外網(wǎng)IP，這就注定了Flat模式的網(wǎng)絡(luò)中能容納的虛擬機（云主機）數(shù)量不會多。GRE網(wǎng)絡(luò)模式GRE（GeneralRoutingEncapsulation）是一種路由封裝的網(wǎng)絡(luò)模式。圖15.4GRE網(wǎng)絡(luò)模式示意圖此種網(wǎng)絡(luò)模式采用路由轉(zhuǎn)發(fā)的方式實現(xiàn)虛擬機與物理機網(wǎng)卡的通信，因此虛擬機IP網(wǎng)段和物理網(wǎng)卡的網(wǎng)段不能在同一個網(wǎng)段中，這種方式解決了Flat模式中虛擬機使用外網(wǎng)IP的缺點。VLAN網(wǎng)絡(luò)模式VLAN（LocalAreaNetwork）本地局域網(wǎng)模式，可將虛擬機放入不同的VLAN當(dāng)中形成虛擬的局域網(wǎng)，此時只有同一個VLAN中的虛擬機可以相互訪問。同一個網(wǎng)絡(luò)中的虛擬機個數(shù)很少，因此VLAN可以有效解決Flat網(wǎng)絡(luò)模式中網(wǎng)絡(luò)風(fēng)暴的問題。圖15.5VLAN網(wǎng)絡(luò)模式示意圖如圖15.5是VLAN模式的簡要示意圖，圖中存在兩個VLAN，分別由兩個路由和物理網(wǎng)絡(luò)相連。同一個用戶創(chuàng)建的虛擬機在同一個VLAN當(dāng)中，不同VLAN中的虛擬機默認(rèn)不能相互訪問。15.2安裝與配置控制節(jié)點Neutron網(wǎng)絡(luò)服務(wù)15.2.1Neutron安裝前的網(wǎng)卡設(shè)置本任務(wù)在控制節(jié)點和計算節(jié)點都運行。給網(wǎng)卡設(shè)置混雜模式#ifconfigens34promisc#將外網(wǎng)網(wǎng)卡ens34設(shè)置成混雜模式#ipa#查看網(wǎng)卡信息我們可以看到ens34這塊網(wǎng)卡中出現(xiàn)了PROMISC字樣，這就成功設(shè)置了混雜模式，以后凡是通過該網(wǎng)卡的數(shù)據(jù)不論接收方是不是該網(wǎng)卡，均可以被該網(wǎng)卡接收。設(shè)置重啟后混雜模式自動生效#vi/etc/profile如上在“/etc/profile”配置文件末尾加上“ifconfigens34promisc”。這樣每次重啟主機時ens34網(wǎng)卡會自動設(shè)置成為混雜模式。#systemctlrestartnetwork#重啟網(wǎng)絡(luò)15.2.2安裝和配置Neutron該任務(wù)在控制節(jié)點完成。安裝Neutron軟件包[root@controller~]#yuminstallopenstack-neutronopenstack-neutron-ml2openstack-neutron-linuxbridgeebtables-y【參數(shù)解釋】openstack-neutron：neutron-server的包openstack-neutron-ml2：ML2plugin的包openstack-neutron-linuxbridge：linux-bridge、network-provider相關(guān)的包ebtables：防火墻相關(guān)的包openstack-neutron安裝好以后會在Linux系統(tǒng)中自動生成一個名為neutron的用戶和同名的用戶組，我們可以采用前面幾章學(xué)到的查詢用戶名和用戶組的方法進行檢查。創(chuàng)建一個neutron數(shù)據(jù)庫并授權(quán)進入數(shù)據(jù)庫[root@controller~]#mysql-uroot-p000000因為MariaDB數(shù)據(jù)庫完全兼容MySql數(shù)據(jù)庫，因此在使用方式上是與MySql數(shù)據(jù)庫是一樣的。該命令的參數(shù)-u后為用戶名，-p后為密碼，可以不需要空格。登錄數(shù)據(jù)庫成功后就進入如上畫面。建立neutron數(shù)據(jù)庫MariaDB[（none）]>CREATEDATABASEneutron;為數(shù)據(jù)庫授權(quán)MariaDB[（none）]>GRANTALLPRIVILEGESONneutron.*TO'neutron'@'localhost'IDENTIFIEDBY'NEUTRON_DBPASS';MariaDB[（none）]>GRANTALLPRIVILEGESONneutron.*TO'neutron'@'%'IDENTIFIEDBY'NEUTRON_DBPASS';退出數(shù)據(jù)庫MariaDB[（none）]>exit;修改neutron-server配置文件該文件位于“/etc/neutron/neutron.conf”備份配置文件[root@controller~]#cp/etc/neutron/neutron.conf/etc/neutron/neutron.conf.bak去掉所有注釋，生成新的配置文件[root@controller~]#grep-Ev'^$|#'/etc/neutron/neutron.conf.bak>/etc/neutron/neutron.conf編輯新的配置文件[root@controller~]#vi/etc/neutron/neutron.conf我們可以看到現(xiàn)在配置文件是不含空行和注釋行的。然后針對該配置文件進行如下修改。[DEFAULT]core_plugin=ml2service_plugins=transport_url=rabbit://openstack:RABBIT_PASS@controllerauth_strategy=keystonenotify_nova_on_port_status_changes=truenotify_nova_on_port_data_changes=true[database]connection=mysql+pymysql://neutron:NEUTRON_DBPASS@controller/neutron[keystone_authtoken]www_authenticate_uri=http://controller:5000auth_url=http://controller:5000memcached_servers=controller:11211auth_type=passwordproject_domain_name=defaultuser_domain_name=defaultproject_name=serviceusername=neutronpassword=NEUTRON_PASS[oslo_concurrency]lock_path=/var/lib/neutron/tmp[nova]auth_url=http://controller:5000auth_type=passwordproject_domain_name=defaultuser_domain_name=defaultregion_name=RegionOneproject_name=serviceusername=novapassword=NOVA_PASSserver_proxyclient_address=0【提示】[nova]區(qū)域需要自己新增，配置如何和Nova交互。修改二層網(wǎng)絡(luò)插件（ML2plugin）的配置文件該文件是ML2plugin的配置文件，位于“/etc/neutron/plugins/ml2/ml2_conf.ini”。備份配置文件[root@controller~]#cp/etc/neutron/plugins/ml2/ml2_conf.ini/etc/neutron/plugins/ml2/ml2_conf.ini.bak去掉所有注釋，生成新的配置文件[root@controller~]#grep-Ev'^$|#'/etc/neutron/plugins/ml2/ml2_conf.ini.bak>/etc/neutron/plugins/ml2/ml2_conf.ini編輯新的配置文件[root@controller~]#vi/etc/neutron/plugins/ml2/ml2_conf.ini按照以下信息修改配置文件[ml2]type_drivers=flat,vlantenant_network_types=mechanism_drivers=linuxbridgeextension_drivers=port_security[ml2_type_flat]flat_networks=provider[securitygroup]enable_ipset=true修改網(wǎng)橋代理（linuxbridge_agent）的配置文件該文件位于“/etc/neutron/plugins/ml2/linuxbridge_agent.ini”。備份配置文件[root@controller~]#cp/etc/neutron/plugins/ml2/linuxbridge_agent.ini/etc/neutron/plugins/ml2/linuxbridge_agent.ini.bak去掉所有注釋，生成新的配置文件[root@controller~]#grep-Ev'^$|#'/etc/neutron/plugins/ml2/linuxbridge_agent.ini.bak>/etc/neutron/plugins/ml2/linuxbridge_agent.ini編輯新的配置文件[root@controller~]#vi/etc/neutron/plugins/ml2/linuxbridge_agent.ini按照以下信息修改配置文件:[linux_bridge]physical_interface_mappings=provider:ens34#配置ens34網(wǎng)卡作為網(wǎng)絡(luò)提供者[vxlan]enable_vxlan=false[securitygroup]enable_security_group=truefirewall_driver=neutron.agent.linux.iptables_firewall.IptablesFirewallDriver【提示】physical_interface_mappings=provider:ens34中的provider映射的是外網(wǎng)網(wǎng)卡，也就是這里的ens34網(wǎng)卡。如果讀者網(wǎng)卡名字不一樣，注意修改此處為外網(wǎng)網(wǎng)卡即可。設(shè)置橋接模式防火墻（br_netfilter）開機自動加載編輯配置文件[root@controller~]#vi/etc/sysctl.conf加入如下兩行信息net.bridge.bridge-nf-call-iptables=1

net.bridge.bridge-nf-call-ip6tables=1加載br_netfilter模塊[root@controller~]#modprobebr_netfilter檢查加載情況[root@controller~]#sysctl-p如果是以上信息，則表明加載成功。修改DHCP代理（dhcp-agent）配置文件該文件位于“/etc/neutron/dhcp_agent.ini”。備份配置文件[root@controller~]#cp/etc/neutron/dhcp_agent.ini/etc/neutron/dhcp_agent.ini.bak去掉所有注釋，生成新的配置文件[root@controller~]#grep-Ev'^$|#'/etc/neutron/dhcp_agent.ini.bak>/etc/neutron/dhcp_agent.ini編輯新的配置文件[root@controller~]#vi/etc/neutron/dhcp_agent.ini按照以下信息修改配置文件:[DEFAULT]interface_driver=linuxbridgedhcp_driver=neutron.agent.linux.dhcp.Dnsmasqenable_isolated_metadata=true修改元數(shù)據(jù)代理（metadata-agent）配置文件配置元數(shù)據(jù)代理與Nova通信:[root@controller~]#vi/etc/neutron/metadata_agent.ini在文件[DEFAULT]區(qū)域加上如下信息:[DEFAULT]nova_metadata_host=controllermetadata_proxy_shared_secret=METADATA_SECRET修改Nova配置文件[root@controller~]#vi/etc/nova/nova.conf在[neutron]區(qū)域加上如下信息：[neutron]auth_url=http://controller:5000auth_type=passwordproject_domain_name=defaultuser_domain_name=defaultregion_name=RegionOneproject_name=serviceusername=neutronpassword=NEUTRON_PASSservice_metadata_proxy=truemetadata_proxy_shared_secret=METADATA_SECRET建立ml2的軟連接[root@controller~]#ln-s/etc/neutron/plugins/ml2/ml2_conf.ini/etc/neutron/plugin.ini將ml2_conf.ini映射為/etc/neutron/下的plugin.ini文件。同步數(shù)據(jù)庫將相應(yīng)的信息傳入數(shù)據(jù)庫進行保存：[root@controller~]#su-s/bin/sh-c"neutron-db-manage--config-file/etc/neutron/neutron.conf--config-file/etc/neutron/plugins/ml2/ml2_conf.iniupgradehead"neutron使用neutron用戶將數(shù)據(jù)庫文件同步到本地數(shù)據(jù)庫。15.2.3Neutron網(wǎng)絡(luò)服務(wù)組件初始化本任務(wù)只在控制節(jié)點端完成。創(chuàng)建Neutron用戶與角色導(dǎo)入admin環(huán)境變量進行鑒權(quán)[root@controller~]#.admin-openrc在OpenStack中創(chuàng)建用戶“neutron”[root@controller~]#openstackusercreate--domaindefault--passwordNEUTRON_PASSneutron該語句在default域下創(chuàng)建了一個名為“neutron”，密碼為“NEUTRON_PASS”的用戶。給用戶“neutron”設(shè)定角色“admin”[root@controller~]#openstackroleadd--projectservice--userneutronadmin該語句為service項目下的neutron用戶添加一個admin角色，也就是讓neutron對service項目資源具有admin的權(quán)限。創(chuàng)建Neutron服務(wù)實體與端點創(chuàng)建Neutron服務(wù)實體[root@controller~]#openstackservicecreate--nameneutronnetwork該語句創(chuàng)建了一個名為“neutron”，類型為“network”的服務(wù)。創(chuàng)建Neutron網(wǎng)絡(luò)服務(wù)API訪問端點創(chuàng)建普通用戶訪問neutron服務(wù)的端點（Endpoint）[root@controller~]#openstackendpointcreate--regionRegionOnenetworkpublichttp://controller:9696創(chuàng)建組件間訪問neutron服務(wù)的端點（Endpoint）[root@controller~]#openstackendpointcreate--regionRegionOnenetworkinternalhttp://controller:9696創(chuàng)建admin用戶訪問neutron服務(wù)的端點（Endpoint）[root@controller~]#openstackendpointcreate--regionRegionOnenetworkadminhttp://controller:9696啟用控制節(jié)點nova-api與Neutron服務(wù)重啟nova-api服務(wù)[root@controller~]#systemctlrestartopenstack-nova-api啟動neutron服務(wù)[root@controller~]#systemctlenableneutron-serverneutron-linuxbridge-agentneutron-dhcp-agentneutron-metadata-agent#開機啟動[root@controller~]#systemctlstartneutron-serverneutron-linuxbridge-agentneutron-dhcp-agentneutron-metadata-agent#立即啟動15.2.4驗證控制節(jié)點Neutron網(wǎng)絡(luò)服務(wù)本任務(wù)均在控制節(jié)點上完成。查看端口情況neutron服務(wù)將占用9696端口，通過檢測該端口的狀況可以判斷neutron服務(wù)是否已經(jīng)運行。[root@controller~]#netstat-tnlup檢驗服務(wù)端點[root@controller~]#curlhttp://controller:9696查看服務(wù)運行狀態(tài)[root@controller~]#systemctlstatusneutron-server能看到Loaded狀態(tài)是“enabled”，Active狀態(tài)是“active（running）”。15.3安裝與配置計算節(jié)點Neutron網(wǎng)絡(luò)服務(wù)首先明確計算機節(jié)點已經(jīng)開機，并用SSH客戶端連上計算節(jié)點主機IP（0）。15.3.1安裝和配置Neutron安裝Neutron軟件包[root@compute~]#yuminstallopenstack-neutron-linuxbridgeebtablesipset-y修改Neutron配置文件該文件為“/etc/neutron/neutron.conf”。備份配置文件[root@compute~]#cp/etc/neutron/neutron.conf/etc/neutron/neutron.conf.bak去掉所有注釋，生成新的配置文件[root@compute~]#grep-Ev'^$|#'/etc/neutron/neutron.conf.bak>/etc/neutron/neutron.conf編輯新的配置文件[root@compute~]#vi/etc/neutron/neutron.conf按照下面所示對文件進行修改[DEFAULT]transport_url=rabbit://openstack:RABBIT_PASS@controllerauth_strategy=keystone[keystone_authtoken]www_authenticate_uri=http://controller:5000auth_url=http://controller:5000memcached_servers=controller:11211auth_type=passwordproject_domain_name=defaultuser_domain_name=defaultproject_name=serviceusername=neutronpassword=NEUTRON_PASS[oslo_concurrency]lock_path=/var/lib/neutron/tmp配置Linux網(wǎng)橋代理備份配置文件[root@compute~]#cp/etc/neutron/plugins/ml2/linuxbridge_agent.ini/etc/neutron/plugins/ml2/linuxbridge_agent.ini.bak去掉所有注釋，生成新的配置文件[root@compute~]#grep-Ev'^$|#'/etc/neutron/plugins/ml2/linuxbridge_agent.ini.bak>/etc/neutron/plugins/ml2/linuxbridge_agent.ini編輯新的配置文件[root@compute~]#vi/etc/neutron/plugins/ml2/linuxbridge_agent.ini按照下面所示對文件進行修改[DEFAULT][linux_bridge]physical_interface_mappings=provider:ens34[vxlan]enable_vxlan=false[securitygroup]enable_security_group=truefirewall_driver=neutron.agent.linux.iptables_firewall.IptablesFirewallDriver【提示】physical_interface_mappings=provider:ens34中，provider對應(yīng)的是外網(wǎng)網(wǎng)卡名，請照實際更改。設(shè)置br_netfilter模塊開機自動加載編輯配置文件[root@compute~]#vi/etc/sysctl.conf加入如下兩行信息net.bridge.bridge-nf-call-iptables=1

net.bridge.bridge-nf-call-ip6tables=1加載br_netfilter模塊[root@compute~]#modprobebr_netfilter檢查加載情況[root@compute~]#sysctl-p以上信息表明加載成功。修改Nova配置文件[root@compute~]#vi/etc/nova/nova.conf在[DEFAULT]區(qū)域添加如下兩行信息[DEFAULT]vif_plugging_is_fatal=falsevif_plugging_timeout=0在[neutron]區(qū)域加上如下信息[neutron]auth_url=http://controller:5000auth_type=passwordproject_domain_name=defaultuser_domain_name=defaultregion_name=RegionOneproject_name=serviceusername=neutronpassword=NEUTRON_PASS重啟計算節(jié)點的Nova計算服務(wù)[root@compute~]#systemctlrestartopenstack-nova-compute15.3.2啟動并驗證Neutron網(wǎng)絡(luò)服務(wù)啟動計算節(jié)點的Neutron網(wǎng)橋代理服務(wù)[root@compute~]#systemctlenableneutron-linuxbridge-agent#開機啟動[root@compute~]#systemctlstartneutron-linuxbridge-agent#立即啟動在控制節(jié)點驗證整個Neutron服務(wù)導(dǎo)入環(huán)境變量進行鑒權(quán)如果出現(xiàn)“Miss