图文精华

About云-梭伦科技»专题 › 技术学习(版主发帖区) › 云技术学习 › 基于 Open vSwitch 的 OpenFlow 实践
分享

基于 Open vSwitch 的 OpenFlow 实践

xioaxu790 发表于 2014-9-23 21:24:25 [显示全部楼层] 只看大图 回帖奖励 阅读模式 关闭右栏 0 16384
问题导读
1、什么是OpenFlow？
2、如何通过 OpenFlow 协议修改 Open vSwitch 中的流表项？
3、如何使用 Floodlight 连接 Open vSwitch 并进行管理？





Open vSwitch 概述
Open vSwitch（下面简称为 OVS）是由 Nicira Networks 主导的，运行在虚拟化平台（例如 KVM，Xen）上的虚拟交换机。在虚拟化平台上，OVS 可以为动态变化的端点提供 2 层交换功能，很好的控制虚拟网络中的访问策略、网络隔离、流量监控等等。
OVS 遵循 Apache 2.0 许可证, 能同时支持多种标准的管理接口和协议。OVS 也提供了对 OpenFlow 协议的支持，用户可以使用任何支持 OpenFlow 协议的控制器对 OVS 进行远程管理控制。

Open vSwitch 概述
在 OVS 中, 有几个非常重要的概念：
Bridge: Bridge 代表一个以太网交换机（Switch），一个主机中可以创建一个或者多个 Bridge 设备。
Port: 端口与物理交换机的端口概念类似，每个 Port 都隶属于一个 Bridge。
Interface: 连接到 Port 的网络接口设备。在通常情况下，Port 和 Interface 是一对一的关系, 只有在配置 Port 为 bond 模式后，Port 和 Interface 是一对多的关系。
Controller: OpenFlow 控制器。OVS 可以同时接受一个或者多个 OpenFlow 控制器的管理。
datapath: 在 OVS 中，datapath 负责执行数据交换，也就是把从接收端口收到的数据包在流表中进行匹配，并执行匹配到的动作。
Flow table: 每个 datapath 都和一个“flow table”关联，当 datapath 接收到数据之后， OVS 会在 flow table 中查找可以匹配的 flow，执行对应的操作, 例如转发数据到另外的端口。

Open vSwitch 实验环境配置
OVS 可以安装在主流的 Linux 操作系统中，用户可以选择直接安装编译好的软件包，或者下载源码进行编译安装。
在我们的实验环境中，使用的操作系统是 64 位 Ubuntu Server 12.04.3 LTS，并通过源码编译的方式安装了 Open vSwitch 1.11.0
  1. $ lsb_release -a

  2. No LSB modules are available.

  3. Distributor ID:Ubuntu

  4. Description:Ubuntu 12.04.3 LTS

  5. Release:12.04

  6. Codename:precise
复制代码



OVS 的源码编译安装方式可以参考官方文档 How to Install Open vSwitch on Linux, FreeBSD and NetBSD。
安装完毕后，检查 OVS 的运行情况：
  1. $ ps -ea | grep ovs

  2. 12533 ?        00:00:00 ovs_workq

  3. 12549 ?        00:00:04 ovsdb-server

  4. 12565 ?        00:00:48 ovs-vswitchd

  5. 12566 ?        00:00:00 ovs-vswitchd
复制代码



查看 OVS 的版本信息, 我们安装版本的是 1.11.0
  1. $ ovs-appctl --version

  2. ovs-appctl (Open vSwitch) 1.11.0

  3. Compiled Oct 28 2013 14:17:16
复制代码



查看 OVS 支持的 OpenFlow 协议的版本
  1. $ ovs-ofctl --version

  2. ovs-ofctl (Open vSwitch) 1.11.0

  3. Compiled Oct 28 2013 14:17:17

  4. OpenFlow versions 0x1:0x4
复制代码

基于 Open vSwitch 的 OpenFlow 实践
OpenFlow 是用于管理交换机流表的协议，ovs-ofctl 则是 OVS 提供的命令行工具。在没有配置 OpenFlow 控制器的模式下，用户可以使用 ovs-ofctl 命令通过 OpenFlow 协议去连接 OVS，创建、修改或删除 OVS 中的流表项，并对 OVS 的运行状况进行动态监控。
1.gif

图 1. OpenFlow 的匹配流程

Flow 语法说明
在 OpenFlow 的白皮书中，Flow 被定义为某个特定的网络流量。例如，一个 TCP 连接就是一个 Flow，或者从某个 IP 地址发出来的数据包，都可以被认为是一个 Flow。支持 OpenFlow 协议的交换机应该包括一个或者多个流表，流表中的条目包含：数据包头的信息、匹配成功后要执行的指令和统计信息。
当数据包进入 OVS 后，会将数据包和流表中的流表项进行匹配，如果发现了匹配的流表项，则执行该流表项中的指令集。相反，如果数据包在流表中没有发现任何匹配，OVS 会通过控制通道把数据包发到 OpenFlow 控制器中。
在 OVS 中，流表项作为 ovs-ofctl 的参数，采用如下的格式：字段=值。如果有多个字段，可以用逗号或者空格分开。一些常用的字段列举如下：

表 1. 流表常用字段

1.jpg


对于 add−flow，add−flows 和 mod−flows 这三个命令，还需要指定要执行的动作：actions=[target][,target...]
一个流规则中可能有多个动作，按照指定的先后顺序执行。

常见的操作有：
output:port: 输出数据包到指定的端口。port 是指端口的 OpenFlow 端口编号
mod_vlan_vid: 修改数据包中的 VLAN tag
strip_vlan: 移除数据包中的 VLAN tag
mod_dl_src/ mod_dl_dest: 修改源或者目标的 MAC 地址信息
mod_nw_src/mod_nw_dst: 修改源或者目标的 IPv4 地址信息
resubmit:port: 替换流表的 in_port 字段，并重新进行匹配
load:value−>dst[start..end]: 写数据到指定的字段


实践操作 OpenFlow 命令
在本例中, 我们会创建一个不连接到任何控制器的 OVS 交换机，并演示如何使用 ovs-octl 命令操作 OpenFlow 流表。
创建一个新的 OVS 交换机
  1. $ ovs-vsctl add-br ovs-switch
复制代码


创建一个端口 p0，设置端口 p0 的 OpenFlow 端口编号为 100（如果在创建端口的时候没有指定 OpenFlow 端口编号，OVS 会自动生成一个）。
  1. $ ovs-vsctl add-port ovs-switch p0 -- set Interface p0 ofport_request=100
复制代码


设置网络接口设备的类型为“internal”。对于 internal 类型的的网络接口，OVS 会同时在 Linux 系统中创建一个可以用来收发数据的模拟网络设备。我们可以为这个网络设备配置 IP 地址、进行数据监听等等。
  1. $ ovs-vsctl set Interface p0 type=internal

  2. $ ethtool -i p0

  3. driver: openvswitch

  4. version: 

  5. firmware-version: 

  6. bus-info: 

  7. supports-statistics: no

  8. supports-test: no

  9. supports-eeprom-access: no

  10. supports-register-dump: no
复制代码



为了避免网络接口上的地址和本机已有网络地址冲突，我们可以创建一个虚拟网络空间 ns0，把 p0 接口移入网络空间 ns0，并配置 IP 地址为 192.168.1.100
  1. $ ip netns add ns0

  2. $ ip link set p0 netns ns0

  3. $ ip netns exec ns0 ip addr add 192.168.1.100/24 dev p0

  4. $ ip netns exec ns0 ifconfig p0 promisc up
复制代码



使用同样的方法创建端口 p1、p2
表 2. 创建的端口信息

1.jpg


创建所有的端口之后， 查看 OVS 交换机的信息
  1. $ ovs-vsctl show

  2. 30282710-d401-4187-8e13-52388f693df7

  3.     Bridge ovs-switch

  4.         Port "p0"

  5.             Interface "p0"

  6.                 type: internal

  7.         Port "p2"

  8.             Interface "p2"

  9.                 type: internal

  10.         Port "p1"

  11.             Interface "p1"

  12.                 type: internal

  13.         Port ovs-switch

  14.             Interface ovs-switch

  15.                 type: internal
复制代码


使用 ovs-ofctl 创建并测试 OpenFlow 命令
1、查看 Open vSwitch 中的端口信息。从输出结果中，可以获得交换机对应的 datapath ID （dpid），以及每个端口的 OpenFlow 端口编号，端口名称，当前状态等等。
  1. $ ovs-ofctl show ovs-switch

  2. OFPT_FEATURES_REPLY (xid=0x2): dpid:00001232a237ea45

  3. n_tables:254, n_buffers:256

  4. capabilities: FLOW_STATS TABLE_STATS PORT_STATS QUEUE_STATS ARP_MATCH_IP

  5. actions: OUTPUT SET_VLAN_VID SET_VLAN_PCP STRIP_VLAN SET_DL_SRC SET_DL_DST 

  6. SET_NW_SRC SET_NW_DST SET_NW_TOS SET_TP_SRC SET_TP_DST ENQUEUE

  7.  100(p0): addr:54:01:00:00:00:00

  8.      config:     PORT_DOWN

  9.      state:      LINK_DOWN

  10.      speed: 0 Mbps now, 0 Mbps max

  11.  101(p1): addr:54:01:00:00:00:00

  12.      config:     PORT_DOWN

  13.      state:      LINK_DOWN

  14.      speed: 0 Mbps now, 0 Mbps max

  15.  102(p2): addr:54:01:00:00:00:00

  16.      config:     PORT_DOWN

  17.      state:      LINK_DOWN

  18.      speed: 0 Mbps now, 0 Mbps max

  19.  LOCAL(ovs-switch): addr:12:32:a2:37:ea:45

  20.      config:     0

  21.      state:      0

  22.      speed: 0 Mbps now, 0 Mbps max

  23. OFPT_GET_CONFIG_REPLY (xid=0x4): frags=normal miss_send_len=0
复制代码


如果想获得网络接口的 OpenFlow 编号，也可以在 OVS 的数据库中查询
  1. $ ovs-vsctl get Interface p0 ofport

  2. 100
复制代码


查看 datapath 的信息
  1. $ ovs-dpctl show

  2. system@ovs-system:

  3. lookups: hit:12173 missed:712 lost:0

  4. flows: 0

  5. port 0: ovs-system (internal)

  6. port 1: ovs-switch (internal)

  7. port 2: p0 (internal)

  8. port 3: p1 (internal)

  9. port 4: p2 (internal)
复制代码



2、屏蔽数据包
  1. 屏蔽所有进入 OVS 的以太网广播数据包

  2. $ ovs-ofctl add-flow ovs-switch "table=0, dl_src=01:00:00:00:00:00/01:00:00:00:00:00, actions=drop"

  3. 屏蔽 STP 协议的广播数据包

  4. $ ovs-ofctl add-flow ovs-switch "table=0, dl_dst=01:80:c2:00:00:00/ff:ff:ff:ff:ff:f0, actions=drop"
复制代码


3、修改数据包
添加新的 OpenFlow 条目，修改从端口 p0 收到的数据包的源地址为 9.181.137.1
  1. $ ovs-ofctl add-flow ovs-switch "priority=1 idle_timeout=0,\

  2.     in_port=100,actions=mod_nw_src:9.181.137.1,normal"
复制代码


从端口 p0（192.168.1.100）发送测试数据到端口 p1（192.168.1.101）
  1. $ ip netns exec ns0 ping 192.168.1.101
复制代码


在接收端口 p1 监控数据，发现接收到的数据包的来源已经被修改为 9.181.137.1
  1. $ ip netns exec ns1 tcpdump -i p1 icmp

  2. tcpdump: verbose output suppressed, use -v or -vv for full protocol decode

  3. listening on p1, link-type EN10MB (Ethernet), capture size 65535 bytes

  4. 15:59:16.885770 IP 9.181.137.1 > 192.168.1.101: ICMP echo request, id 23111, seq 457, length 64

  5. 15:59:17.893809 IP 9.181.137.1 > 192.168.1.101: ICMP echo request, id 23111, seq 458, length 64
复制代码



4、重定向数据包
添加新的 OpenFlow 条目，重定向所有的 ICMP 数据包到端口 p2
  1. $ ovs-ofctl add-flow ovs-switch idle_timeout=0,dl_type=0x0800,nw_proto=1,actions=output:102

  2. 从端口 p0 （192.168.1.100）发送数据到端口 p1（192.168.1.101）

  3. $ ip netns exec ns0 ping 192.168.1.101
复制代码


在端口 p2 上监控数据，发现数据包已被转发到端口 p2
  1. $ ip netns exec ns3 tcpdump -i p2 icmp

  2. tcpdump: verbose output suppressed, use -v or -vv for full protocol decode

  3. listening on p2, link-type EN10MB (Ethernet), capture size 65535 bytes

  4. 16:07:35.677770 IP 192.168.1.100 > 192.168.1.101: ICMP echo request, id 23147, seq 25, length 64

  5. 16:07:36.685824 IP 192.168.1.100 > 192.168.1.101: ICMP echo request, id 23147, seq 26, length 64
复制代码



5、修改数据包的 VLAN Tag
除了使用“ping”、“tcpdump”和“iperf” 等 Linux 命令以外，我们也可以使用 OVS 提供的 ovs-appctl ofproto/trace 工具来测试 OVS 对数据包的转发状况。ovs-appctl ofproto/trace 可以用来生成测试用的模拟数据包，并一步步的展示 OVS 对数据包的流处理过程。在以下的例子中，我们演示一下如何使用这个命令：
修改端口 p1 的 VLAN tag 为 101，使端口 p1 成为一个隶属于 VLAN 101 的端口
  1. $ ovs-vsctl set Port p1 tag=101
复制代码


现在由于端口 p0 和 p1 属于不同的 VLAN，它们之间无法进行数据交换。我们使用 ovs-appctl ofproto/trace 生成一个从端口 p0 发送到端口 p1 的数据包，这个数据包不包含任何 VLAN tag，并观察 OVS 的处理过程
  1. $ ovs-appctl ofproto/trace ovs-switch in_port=100,dl_src=66:4e:cc:ae:4d:20,

  2. dl_dst=46:54:8a:95:dd:f8 -generate

  3. Flow:metadata=0,in_port=100,vlan_tci=0x0000,dl_src=66:4e:cc:ae:4d:20,

  4.  dl_dst=46:54:8a:95:dd:f8,dl_type=0x0000

  5. Rule: table=0 cookie=0 priority=0

  6. OpenFlow actions=NORMAL

  7. no learned MAC for destination, flooding

  8. 

  9. Final flow: unchanged

  10. Relevant fields: skb_priority=0,in_port=100,vlan_tci=0x0000/0x1fff,\

  11. dl_src=66:4e:cc:ae:4d:20,dl_dst=46:54:8a:95:dd:f8,dl_type=0x0000,nw_frag=no

  12. Datapath actions: 4,1
复制代码


在第一行输出中，“Flow:”之后的字段描述了输入的流的信息。由于我们没有指定太多信息，所以多数字段 （例如 dl_type 和 vlan_tci）被 OVS 设置为空值。
在第二行的输出中，“Rule:” 之后的字段描述了匹配成功的流表项。
在第三行的输出中，“OpenFlow actions”之后的字段描述了实际执行的操作。
最后一段以”Final flow”开始的字段是整个处理过程的总结，“Datapath actions: 4,1”代表数据包被发送到 datapath 的 4 和 1 号端口。
创建一条新的 Flow：对于从端口 p0 进入交换机的数据包，如果它不包含任何 VLAN tag，则自动为它添加 VLAN tag 101
  1. $ ovs-ofctl add-flow ovs-switch "priority=3,in_port=100,dl_vlan=0xffff,\

  2. actions=mod_vlan_vid:101,normal"
复制代码


再次尝试从端口 p0 发送一个不包含任何 VLAN tag 的数据包，发现数据包进入端口 p0 之后, 会被加上 VLAN tag101, 同时转发到端口 p1 上
  1. $ ovs-appctl ofproto/trace ovs-switch in_port=100,dl_src=66:4e:cc:ae:4d:20,

  2. dl_dst=46:54:8a:95:dd:f8 –generate

  3. Flow: metadata=0,in_port=100,vlan_tci=0x0000,dl_src=66:4e:cc:ae:4d:20,

  4. dl_dst=46:54:8a:95:dd:f8,dl_type=0x0000

  5. Rule: table=0 cookie=0 priority=3,in_port=100,vlan_tci=0x0000

  6. OpenFlow actions=mod_vlan_vid:101,NORMAL

  7. forwarding to learned port

  8. 

  9. Final flow: metadata=0,in_port=100,dl_vlan=101,dl_vlan_pcp=0,dl_src=66:4e:cc:ae:4d:20,

  10. dl_dst=46:54:8a:95:dd:f8,dl_type=0x0000

  11. Relevant fields: skb_priority=0,in_port=100,vlan_tci=0x0000/0x1fff,dl_src=66:4e:cc:ae:4d:20,

  12. dl_dst=46:54:8a:95:dd:f8,dl_type=0x0000,nw_frag=no

  13. Datapath actions: 3
复制代码


反过来从端口 p1 发送数据包，由于 p1 现在是带有 VLAN tag 101 的 Access 类型的端口，所以数据包进入端口 p1 之后，会被 OVS 添加 VLAN tag 101 并发送到端口 p0
[code]$ ovs-appctl ofproto/trace ovs-switch in_port=101,dl_dst=66:4e:cc:ae:4d:20,
dl_src=46:54:8a:95:d
回复

使用道具 举报

自定义广告语

没找到任何评论，期待你打破沉寂

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

发表新帖
xioaxu790

金牌会员

关注

  • 851

    主题

  • 1000

    帖子

  • 108

    粉丝

TA的主题
关闭

推荐上一条 /2 下一条

关于我们· 联系我们· 加入我们· 小黑屋· 合作伙伴   

Copyright © 2001-2024 About云-梭伦科技 Powered by Discuz! X3.4 Licensed Discuz Team.

简书 / Smrz 京ICP备2020039040号 Wxb 简书网举报电话：021-34700000