基於 Open vSwitch 的 OpenFlow 實踐

Open vSwitch 概述

Open vSwitch（下面簡稱為 OVS）是由 Nicira Networks 主導的，執行在虛擬化平台（例如 KVM，Xen）上的虛擬交換機。在虛擬化平台上，OVS 可以為動態變化的端點提供 2 層交換功能，很好的控制虛擬網路中的存取策略、網路隔離、流量監控等等。

OVS 遵循 Apache 2.0 許可證, 能同時支援多種標準的管理介面和協定。OVS 也提供了對 OpenFlow 協定的支援，使用者可以使用任何支援 OpenFlow 協定的控制器對 OVS 進行遠端管理控制。

Open vSwitch 概述

在 OVS 中, 有幾個非常重要的概念：

• Bridge: Bridge 代表一個乙太網交換機（Switch），一個主機中可以建立一個或者多個 Bridge 裝置。
• Port: 埠與物理交換機的埠概念類似，每個 Port 都隸屬於一個 Bridge。
• Interface: 連線到 Port 的網路介面裝置。在通常情況下，Port 和 Interface 是一對一的關係, 只有在設定 Port 為 bond 模式後，Port 和 Interface 是一對多的關係。
• Controller: OpenFlow 控制器。OVS 可以同時接受一個或者多個 OpenFlow 控制器的管理。
• datapath: 在 OVS 中，datapath 負責執行資料交換，也就是把從接收埠收到的封包在流表中進行匹配，並執行匹配到的動作。
• Flow table: 每個 datapath 都和一個“flow table”關聯，當 datapath 接收到資料之後， OVS 會在 flow table 中查詢可以匹配的 flow，執行對應的操作, 例如轉發資料到另外的埠。

Open vSwitch 實驗環境設定

OVS 可以安裝在主流的 Linux 作業系統中，使用者可以選擇直接安裝編譯好的軟體包，或者下載原始碼進行編譯安裝。

在我們的實驗環境中，使用的作業系統是 64 位 Ubuntu Server 12.04.3 LTS，並通過原始碼編譯的方式安裝了 Open vSwitch 1.11.0

OVS 的原始碼編譯安裝方式可以參考官方文件 How to Install Open vSwitch on Linux, FreeBSD and NetBSD。

安裝完畢後，檢查 OVS 的執行情況：

檢視 OVS 的版本資訊, 我們安裝版本的是 1.11.0

檢視 OVS 支援的 OpenFlow 協定的版本

基於 Open vSwitch 的 OpenFlow 實踐

OpenFlow 是用於管理交換機流表的協定，ovs-ofctl 則是 OVS 提供的命令列工具。在沒有設定 OpenFlow 控制器的模式下，使用者可以使用 ovs-ofctl 命令通過 OpenFlow 協定去連線 OVS，建立、修改或刪除 OVS 中的流表項，並對 OVS 的執行狀況進行動態監控。

圖 1. OpenFlow 的匹配流程

Flow 語法說明

在 OpenFlow 的白皮書中，Flow 被定義為某個特定的網路流量。例如，一個 TCP 連線就是一個 Flow，或者從某個 IP 地址發出來的封包，都可以被認為是一個 Flow。支援 OpenFlow 協定的交換機應該包括一個或者多個流表，流表中的條目包含：封包頭的資訊、匹配成功後要執行的指令和統計資訊。

當封包進入 OVS 後，會將封包和流表中的流表項進行匹配，如果發現了匹配的流表項，則執行該流表項中的指令集。相反，如果封包在流表中沒有發現任何匹配，OVS 會通過控制通道把封包發到 OpenFlow 控制器中。

在 OVS 中，流表項作為 ovs-ofctl 的引數，採用如下的格式：欄位=值。如果有多個欄位，可以用逗號或者空格分開。一些常用的欄位列舉如下：

表 1. 流表常用欄位

對於 add−flow，add−flows 和 mod−flows 這三個命令，還需要指定要執行的動作：actions=[target][,target...]

一個流規則中可能有多個動作，按照指定的先後順序執行。

常見的操作有：

• output:port: 輸出封包到指定的埠。port 是指埠的 OpenFlow 埠編號
• mod_vlan_vid: 修改封包中的 VLAN tag
• strip_vlan: 移除封包中的 VLAN tag
• mod_dl_src/ mod_dl_dest: 修改源或者目標的 MAC 地址資訊
• mod_nw_src/mod_nw_dst: 修改源或者目標的 IPv4 地址資訊
• resubmit:port: 替換流表的 in_port 欄位，並重新進行匹配
• load:value−>dst[start..end]: 寫資料到指定的欄位

實踐操作 OpenFlow 命令

在本例中, 我們會建立一個不連線到任何控制器的 OVS 交換機，並演示如何使用 ovs-octl 命令操作 OpenFlow 流表。

建立一個新的 OVS 交換機

建立一個埠 p0，設定埠 p0 的 OpenFlow 埠編號為 100（如果在建立埠的時候沒有指定 OpenFlow 埠編號，OVS 會自動生成一個）。

設定網路介面裝置的型別為“internal”。對於 internal 型別的的網路介面，OVS 會同時在 Linux 系統中建立一個可以用來收發資料的模擬網路裝置。我們可以為這個網路裝置設定 IP 地址、進行資料監聽等等。

為了避免網路介面上的地址和本機已有網路地址衝突，我們可以建立一個虛擬網路空間 ns0，把 p0 介面移入網路空間 ns0，並設定 IP 地址為 192.168.1.100

使用同樣的方法建立埠 p1、p2

表 2. 建立的埠資訊

建立所有的埠之後， 檢視 OVS 交換機的資訊

使用 ovs-ofctl 建立並測試 OpenFlow 命令

1. 檢視 Open vSwitch 中的埠資訊。從輸出結果中，可以獲得交換機對應的 datapath ID （dpid），以及每個埠的 OpenFlow 埠編號，埠名稱，當前狀態等等。

   1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23

   $ ovs-ofctl show ovs-switch OFPT_FEATURES_REPLY (xid=0x2): dpid:00001232a237ea45 n_tables:254, n_buffers:256 capabilities: FLOW_STATS TABLE_STATS PORT_STATS QUEUE_STATS ARP_MATCH_IP actions: OUTPUT SET_VLAN_VID SET_VLAN_PCP STRIP_VLAN SET_DL_SRC SET_DL_DST SET_NW_SRC SET_NW_DST SET_NW_TOS SET_TP_SRC SET_TP_DST ENQUEUE  100(p0): addr:54:01:00:00:00:00      config:    PORT_DOWN      state:      LINK_DOWN      speed: 0 Mbps now, 0 Mbps max  101(p1): addr:54:01:00:00:00:00      config:    PORT_DOWN      state:      LINK_DOWN      speed: 0 Mbps now, 0 Mbps max  102(p2): addr:54:01:00:00:00:00      config:    PORT_DOWN      state:      LINK_DOWN      speed: 0 Mbps now, 0 Mbps max  LOCAL(ovs-switch): addr:12:32:a2:37:ea:45      config:    0      state:      0      speed: 0 Mbps now, 0 Mbps max OFPT_GET_CONFIG_REPLY (xid=0x4): frags=normal miss_send_len=0

   如果想獲得網路介面的 OpenFlow 編號，也可以在 OVS 的資料庫中查詢

   1 2	$ ovs-vsctl get Interface p0 ofport 100

   檢視 datapath 的資訊

   1 2 3 4 5 6 7 8 9

   $ ovs-dpctl show system@ovs-system: lookups: hit:12173 missed:712 lost:0 flows: 0 port 0: ovs-system (internal) port 1: ovs-switch (internal) port 2: p0 (internal) port 3: p1 (internal) port 4: p2 (internal)

2. 遮蔽封包

   遮蔽所有進入 OVS 的乙太網廣播封包

   1	$ ovs-ofctl add-flow ovs-switch "table=0, dl_src=01:00:00:00:00:00/01:00:00:00:00:00, actions=drop"

   遮蔽 STP 協定的廣播封包

   1	$ ovs-ofctl add-flow ovs-switch "table=0, dl_dst=01:80:c2:00:00:00/ff:ff:ff:ff:ff:f0, actions=drop"

3. 修改封包

   新增新的 OpenFlow 條目，修改從埠 p0 收到的封包的源地址為 9.181.137.1

   1 2	$ ovs-ofctl add-flow ovs-switch "priority=1 idle_timeout=0,     in_port=100,actions=mod_nw_src:9.181.137.1,normal"

   從埠 p0（192.168.1.100）傳送測試資料到埠 p1（192.168.1.101）

   1	$ ip netns exec ns0 ping 192.168.1.101

   在接收埠 p1 監控資料，發現接收到的封包的來源已經被修改為 9.181.137.1

   1 2 3 4 5

   $ ip netns exec ns1 tcpdump -i p1 icmp tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on p1, link-type EN10MB (Ethernet), capture size 65535 bytes 15:59:16.885770 IP 9.181.137.1 > 192.168.1.101: ICMP echo request, id 23111, seq 457, length 64 15:59:17.893809 IP 9.181.137.1 > 192.168.1.101: ICMP echo request, id 23111, seq 458, length 64

4. 重定向封包

   新增新的 OpenFlow 條目，重定向所有的 ICMP 封包到埠 p2

   1	$ ovs-ofctl add-flow ovs-switch idle_timeout=0,dl_type=0x0800,nw_proto=1,actions=output:102

   從埠 p0 （192.168.1.100）傳送資料到埠 p1（192.168.1.101）

   1	$ ip netns exec ns0 ping 192.168.1.101

   在埠 p2 上監控資料，發現封包已被轉發到埠 p2

   1 2 3 4 5

   $ ip netns exec ns3 tcpdump -i p2 icmp tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on p2, link-type EN10MB (Ethernet), capture size 65535 bytes 16:07:35.677770 IP 192.168.1.100 > 192.168.1.101: ICMP echo request, id 23147, seq 25, length 64 16:07:36.685824 IP 192.168.1.100 > 192.168.1.101: ICMP echo request, id 23147, seq 26, length 64

5. 修改封包的 VLAN Tag

   除了使用“ping”、“tcpdump”和“iperf” 等 Linux 命令以外，我們也可以使用 OVS 提供的 ovs-appctl ofproto/trace 工具來測試 OVS 對封包的轉發狀況。ovs-appctl ofproto/trace 可以用來生成測試用的模擬封包，並一步步的展示 OVS 對封包的流處理過程。在以下的例子中，我們演示一下如何使用這個命令：

   修改埠 p1 的 VLAN tag 為 101，使埠 p1 成為一個隸屬於 VLAN 101 的埠

   1	$ ovs-vsctl set Port p1 tag=101

   現在由於埠 p0 和 p1 屬於不同的 VLAN，它們之間無法進行資料交換。我們使用 ovs-appctl ofproto/trace 生成一個從埠 p0 傳送到埠 p1 的封包，這個封包不包含任何 VLAN tag，並觀察 OVS 的處理過程

   1 2 3 4 5 6 7 8 9 10 11 12

   $ ovs-appctl ofproto/trace ovs-switch in_port=100,dl_src=66:4e:cc:ae:4d:20, dl_dst=46:54:8a:95:dd:f8 -generate Flow:metadata=0,in_port=100,vlan_tci=0x0000,dl_src=66:4e:cc:ae:4d:20,  dl_dst=46:54:8a:95:dd:f8,dl_type=0x0000 Rule: table=0 cookie=0 priority=0 OpenFlow actions=NORMAL no learned MAC for destination, flooding   Final flow: unchanged Relevant fields: skb_priority=0,in_port=100,vlan_tci=0x0000/0x1fff, dl_src=66:4e:cc:ae:4d:20,dl_dst=46:54:8a:95:dd:f8,dl_type=0x0000,nw_frag=no Datapath actions: 4,1

   在第一行輸出中，“Flow:”之後的欄位描述了輸入的流的資訊。由於我們沒有指定太多資訊，所以多數位段 （例如 dl_type 和 vlan_tci）被 OVS 設定為空值。

   在第二行的輸出中，“Rule:” 之後的欄位描述了匹配成功的流表項。

   在第三行的輸出中，“OpenFlow actions”之後的欄位描述了實際執行的操作。

   最後一段以”Final flow”開始的欄位是整個處理過程的總結，“Datapath actions: 4,1”代表封包被傳送到 datapath 的 4 和 1 號埠。

   建立一條新的 Flow：對於從埠 p0 進入交換機的封包，如果它不包含任何 VLAN tag，則自動為它新增 VLAN tag 101

   1 2	$ ovs-ofctl add-flow ovs-switch "priority=3,in_port=100,dl_vlan=0xffff, actions=mod_vlan_vid:101,normal"

   再次嘗試從埠 p0 傳送一個不包含任何 VLAN tag 的封包，發現封包進入埠 p0 之後, 會被加上 VLAN tag101, 同時轉發到埠 p1 上

   1 2 3 4 5 6 7 8 9 10 11 12 13

   $ ovs-appctl ofproto/trace ovs-switch in_port=100,dl_src=66:4e:cc:ae:4d:20, dl_dst=46:54:8a:95:dd:f8 –generate Flow: metadata=0,in_port=100,vlan_tci=0x0000,dl_src=66:4e:cc:ae:4d:20, dl_dst=46:54:8a:95:dd:f8,dl_type=0x0000 Rule: table=0 cookie=0 priority=3,in_port=100,vlan_tci=0x0000 OpenFlow actions=mod_vlan_vid:101,NORMAL forwarding to learned port   Final flow: metadata=0,in_port=100,dl_vlan=101,dl_vlan_pcp=0,dl_src=66:4e:cc:ae:4d:20, dl_dst=46:54:8a:95:dd:f8,dl_type=0x0000 Relevant fields: skb_priority=0,in_port=100,vlan_tci=0x0000/0x1fff,dl_src=66:4e:cc:ae:4d:20, dl_dst=46:54:8a:95:dd:f8,dl_type=0x0000,nw_frag=no Datapath actions: 3

   反過來從埠 p1 傳送封包，由於 p1 現在是帶有 VLAN tag 101 的 Access 型別的埠，所以封包進入埠 p1 之後，會被 OVS 新增 VLAN tag 101 並行送到埠 p0

   1 2 3 4 5 6 7 8 9 10 11 12

   $ ovs-appctl ofproto/trace ovs-switch in_port=101,dl_dst=66:4e:cc:ae:4d:20, dl_src=46:54:8a:95:dd:f8 -generate Flow: metadata=0,in_port=101,vlan_tci=0x0000,dl_src=46:54:8a:95:dd:f8, dl_dst=66:4e:cc:ae:4d:20,dl_type=0x0000 Rule: table=0 cookie=0 priority=0 OpenFlow actions=NORMAL forwarding to learned port   Final flow: unchanged Relevant fields: skb_priority=0,in_port=101,vlan_tci=0x0000,dl_src=46:54:8a:95:dd:f8, dl_dst=66:4e:cc:ae:4d:20,dl_type=0x0000,nw_frag=no Datapath actions: push_vlan(vid=101,pcp=0),2

6. 其他 OpenFlow 常用的操作

   檢視交換機中的所有 Table

   1	ovs-ofctl dump-tables ovs-switch

   檢視交換機中的所有流表項

   1	ovs−ofctl dump−flows ovs-switch

   刪除編號為 100 的埠上的所有流表項

   1	ovs-ofctl del-flows ovs-switch "in_port=100"

   檢視交換機上的埠資訊

   1	ovs-ofctl show ovs-switch

通過 Floodlight 管理 OVS

一方面，OpenFlow 控制器可以通過 OpenFlow 協定連線到任何支援 OpenFlow 的交換機，控制器通過和交換機交換流表規則來控制資料流向。另一方面， OpenFlow 控制器向使用者提供的介面或者介面，使用者可以通過介面對網路架構進行動態的修改，修改交換機的流表規則等等。Floodlight 是一個基於 Apache 協定，使用 Java 開發的企業級 OpenFlow 控制器。我們在下面的例子中演示如何安裝 Floodlight，並連線管理 OVS 的過程。

Floodlight 的安裝過程非常簡單，在另外一台機器上, 下載 Floodlight 原始碼並編譯

執行 Floodlight

在安裝了 OVS 交換機的節點上，設定 OVS 交換機 ovs-switch，使用 Floodlight 作為控制器。預設情況下，Floodlight 在埠 6633 上進行監聽，我們使用 ovs-vsctl 命令設定 OVS 交換機使用 TCP 協定連線到 Floodlight（IP 地址為 9.181.137.182，埠號 6633）。對於一個 OVS 交換機來說，可以同時設定一個或者多個控制器

$ ovs-vsctl set-controller ovs-switch tcp:9.181.137.182:6633

當 OVS 交換機連線到 Floodlight 控制器後，理論上所有的流表規則應該交給控制器來建立。由於 OVS 交換機和控制器之間是通過網路通訊來傳遞資料的，所以網路連線失敗會影響到 Flow 的建立。針對這種情況，OVS 提供了兩種處理模式：

• standlone: 預設模式。如果 OVS 交換機超過三次無法正常連線到 OpenFlow 控制器，OVS 交換機自己會負責建立流表。在這種模式下，OVS 和常見的 L2 交換機相似。與此同時，OVS 也會繼續嘗試連線控制器，一旦網路連線恢復，OVS 會再次切換到使用控制器進行流表管理。
• secure: 在 secure 模式下，如果 OVS 無法正常連線到 OpenFlow 控制器，OVS 會不停的嘗試與控制器重新建立連線，而不會自己負責建立流表。

設定 OVS 的連線模式為 secure 模式

檢視 OVS 的狀態，“is_connected:true”代表 OVS 已經成功連線到了 Floodlight

通過存取 Floodlight 提供的 Web 管理介面 http://<Host Address>:8080/ui/index.html，我們可以檢視 Floodlight 控制器的狀態以及所有連線到 Floodlight 的交換機列表

圖 2. Floodlight 主介面

 

選中某個 OpenFlow 交換機， 檢視其中的埠列表和流表資訊

圖 3. 檢視 OpenFlow 交換機的詳細資訊

點選檢視大圖

通過 Floodlight 的 RESTAPI，新增兩條新的規則讓埠 p0 和 p1 可以相互通訊。注意：替換命令列中的 switch 的 ID 為交換機的 datapath ID

驗證是否能從埠 p0 傳送封包到 p1

在 OVS 端也可以看到，流表規則已經被 OVS 同步到本地。

通過 Floodlight 的 RestAPI，檢視交換機上的流表規則

通過 Floodlight 的 RestAPI，刪除交換機上的流表規則

總結

通過本文的講述和實驗，我們了解了 Open vSwitch 以及 OpenFlow 的基本概念，以及通過 OpenFlow 協定修改 Open vSwitch 中的流表項，最後演示了如何使用 Floodlight 連線 Open vSwitch 並進行管理。

本文永久更新連結地址：http://www.linuxidc.com/Linux/2017-06/144770.htm