返回 登录
0

GBP 开启新型网络设计时代

阅读6060

2016年5月13日-15日,由CSDN重磅打造的2016中国云计算技术大会(CCTC 2016)将于5月13日-15日在北京举办,今年大会特设“中国Spark技术峰会”、“Container技术峰会”、“OpenStack技术峰会”、“大数据核心技术与应用实战峰会”四大技术主题峰会,以及“云计算核心技术架构”、“云计算平台构建与实践”等专场技术论坛。大会讲师阵容囊括Intel、微软、IBM、AWS、Hortonworks、Databricks、Elastic、百度、阿里、腾讯、华为、乐视、京东、小米、微博、迅雷、国家电网、中国移动、长安汽车、广发证券、民生银行、国家超级计算广州中心等60+顶级技术讲师,CCTC必将是中国云计算技术开发者的顶级盛会。目前会议门票限时7折(还有最后2天),详情访问CCTC 2016官网

在传统物理网络环境下,划分VLAN,分配网段,设置路由是个网工应该熟悉的内容。在SDN环境下,比如neutron虚拟网络,我们用API创建网络,子网,虚拟路由器,负载均衡和防火墙,这些还是太网络化了。GBP,基于组的策略模型,开启了新型的网络设计时代,我感觉就是“没有网络”。 现在实现GBP的项目比较多,比如OpenStack的GBP,OpenDaylight的GBP和思科的ACI。OpenStack 的GBP除了可以驱动Neutron外,还能和OpenDaylight GBP和思科的ACI集成。本文针对OpenStack的GBP进行阐述。

GBP介绍

GBP,group-based policy,基于组的策略,提供了声明式的、从使用者意图出发的一种架构。在这个模式下,用户面对的是应用架构本身,而不是Neutron中的各种网络元素。在使用时,用户定义各种“组”,然后定义“组”之间的网络特性,包括安全,性能,网络服务等。

它的核心模型有:

  • 策略目标(Policy Target),定义策略所作用的对象,一般定义为可以定位的个体,比如一个网卡,一个IP地址。
  • 策略目标组(Policy Target Group),代表一组策略目标,这组目标有一定的相同的属性。策略目标组能提供或消费规则集。
  • 策略规则集(policy rule set),是一组策略规则。
  • 策略规则(policy rule)是一分类器和动作对。
  • 分类器(policy classier),一个对网络流量,比如IP地址,mac地址,方向进行分类的手段
  • 动作(policy action),在分类器对流量进行分类后,针对这个种类的流量的动作,包括允许(allow),从定向(redirect),丢弃(drop)。

除了上述的模型,它还定义了下面的网络策略:

  • 二层策略(L2 Policy), 它定义了一个策略目标组的集合。代表一个二层网络交换域。可以定义一些二层网络属性,比如是否允许二层广播。二层策略必须引用一个三层策略。
  • 三层策略(L3 Policy)。定义了一个三层路由空间,可以包括多个二层策略。
  • 网络服务策略(Network service policy),为网络服务链(service function chaining)定义一些特殊的网络参数。

它们之间的关系可以表述为:

图片描述

这个模型和neutron模型的映射关系如下:

GBPNeutron
策略目标(policy target)端口(port)
策略目标组(policy target group)子网(subnet)
二层策略(L2 Policy)网络(network)
三层策略(L3 Policy)路由器(router)
策略规则集(policy rule set)(L3 Policy)安全组(security group)

组件架构

模型定义了之后,就是看看它的实现构成。

图片描述

除了REST Ful API外,它对外提供了命令行,界面和heat的接口。向下则是两种驱动,neutron和native驱动。Neutron驱动结合neutron社区的ML2 实现,使用neutron的网络模型来实现GBP。native 驱动是纯的第三方驱动,比如ACI,ODL。它们在形成neutron模型之后,结合自身的ML2实现,调用各自的SDN controller。ACI调用APIC,ODL则是OpenDaylight GBP。

内部实现

GBP项目的代码是从neutron库分支出来的,在部署的时候也借壳于neutron server。如下所示,GBP项目提供了两个接口,一是GBP模型本身,另外一个是网络链接口。本文只讲GBP这个模型接口。

图片描述

GroupPolicyPlugin接口实现了GBP模型,它有两个主要的成员变量,如下图:

图片描述

ExtensionManager负责管理扩展,在neutron.conf中有extension_drivers配置项来配置系统支持的扩展功能。

PolicyDriverManager管理前面我们所说的neutron和第三方驱动。在neutron.conf中policy_drivers配置项来配置这些驱动。Implicit_policy驱动会创建缺省的二层和三层policy。Resource_mapping则是把GBP模型映射到neutron模型的驱动。

图片描述

上图显示了系统定义的一些驱动,其中odl和apic都是继承自resource_mapping。

操作过程

下面就一个简单的应用模型介绍GBP的经典操作过程。

图片描述

在这个应用中,我们有两个策略目标组web和client。Web组放置起开80和443端口的虚拟机,提供web服务。而Client组则是要访问web服务的虚拟机。操作过程如下:

  1. 创建web策略目标 组
  2. 创建client策略目标组
  3. 创建动作allow
  4. 创建分类器http和https,分别指定80和443端口,方向为in。
  5. 创建policy 规则 webrule和websrule,分别添加分类器http和https
  6. 创建policy 规则组 web,添加webrule和websrule规则
  7. 更改web策略目标组,使其提供web规则组
  8. 更改client策略目标组,使其消费web规则组。

这些操作完后,在horizon中的界面就如下所示:

图片描述

接下来就是启动虚拟机了。一般情况下,不能使用先前neutron网络下启动虚拟机的方式使其进入策略目标组。下面我们先介绍基于客户端工具的方法:

第一步: 在策略目标组中创建端口

$ WEB_PORT=$(gbp policy-target-create web_port_1 --policy-target-group web | awk "/port_id/ {print \$4}”) 

第二步:使用这个端口创建虚拟机:

$ nova boot --flavor m1.tiny --image image_name --nic port-id=$WEB_PORT web-vm-1 

除了这种方式,我们可以在horizon的界面上创建虚拟机,但不是以前的操作入口,操作过程如下:

第一步:找到策略目标组:

图片描述

第二步:点击策略目标组web,进入这个组的界面:

图片描述

第三步:点击“create member”,调出虚拟机创建界面:

图片描述

这个界面和普通的虚拟机创建界面貌似没什么区别,但是在“访问&安全”这个界面上,我们是不能选择“安全组”的,因为GBP会帮我们管理安全组。我们到“组”这个特别标签看看。
第四步:填写所在的“目标策略组”:

图片描述

我们可以点击“+”和“-”来调整组成员身份。

结语

GBP这个项目目前进展还算比较顺利,但是社区参与度不是很大,基本由思科在主导。本文只阐述了其中一个部分,服务链还没有阐述。但是根据我们PTL沟通下来,这个项目可能还需要一个比较大的代码调整,特别是服务链这块。GBP项目现在只在网络领域,将来会扩展到其它的范围。

整体来说GBP是一个新思想,给用户的不是那些创建网络,路由,子网等比较低级的操作接口,这个应该属于基础设施部分。GBP提供给用户的是一个更高级的抽象,直接面对应用部署,使得用户可以直接表达自己的“应用意图”。

最后感谢张磊同学搭建环境。

本文来自九州云独家供稿


目前会议门票限时7折(截止至4月29日24点),详情访问CCTC 2016官网

评论