溫馨提示×
您好，登錄后才能下訂單哦！
點擊 登錄注冊 即表示同意《億速云用戶服務條款》
您好，登錄后才能下訂單哦！
小編給大家分享一下基于Open vSwitch的OpenFlow怎么用，相信大部分人都還不怎么了解，因此分享這篇文章給大家參考一下，希望大家閱讀完這篇文章后大有收獲，下面讓我們一起去了解一下吧！
Open vSwitch（下面簡稱為 OVS）是由 Nicira Networks 主導的，運行在虛擬化平臺（例如 KVM，Xen）上的虛擬交換機。在虛擬化平臺上，OVS 可以為動態變化的端點提供 2 層交換功能，很好的控制虛擬網絡中的訪問策略、網絡隔離、流量監控等等。
OVS 遵循 Apache 2.0 許可證, 能同時支持多種標準的管理接口和協議。OVS 也提供了對 OpenFlow 協議的支持，用戶可以使用任何支持 OpenFlow 協議的控制器對 OVS 進行遠程管理控制。
在 OVS 中, 有幾個非常重要的概念：
Bridge: Bridge 代表一個以太網交換機（Switch），一個主機中可以創建一個或者多個 Bridge 設備。
Port: 端口與物理交換機的端口概念類似，每個 Port 都隸屬于一個 Bridge。
Interface: 連接到 Port 的網絡接口設備。在通常情況下，Port 和 Interface 是一對一的關系, 只有在配置 Port 為 bond 模式后，Port 和 Interface 是一對多的關系。
Controller: OpenFlow 控制器。OVS 可以同時接受一個或者多個 OpenFlow 控制器的管理。
datapath: 在 OVS 中，datapath 負責執行數據交換，也就是把從接收端口收到的數據包在流表中進行匹配，并執行匹配到的動作。
Flow table: 每個 datapath 都和一個“flow table”關聯，當 datapath 接收到數據之后， OVS 會在 flow table 中查找可以匹配的 flow，執行對應的操作, 例如轉發數據到另外的端口。
OVS 可以安裝在主流的 Linux 操作系統中，用戶可以選擇直接安裝編譯好的軟件包，或者下載源碼進行編譯安裝。
在我們的實驗環境中，使用的操作系統是 64 位 Ubuntu Server 12.04.3 LTS，并通過源碼編譯的方式安裝了 Open vSwitch 1.11.0
$ lsb_release -a No LSB modules are available. Distributor ID:Ubuntu Description:Ubuntu 12.04.3 LTS Release:12.04 Codename:precise
OVS 的源碼編譯安裝方式可以參考官方文檔 How to Install Open vSwitch on Linux, FreeBSD and NetBSD。
安裝完畢后，檢查 OVS 的運行情況：
$ ps -ea | grep ovs 12533 ? 00:00:00 ovs_workq 12549 ? 00:00:04 ovsdb-server 12565 ? 00:00:48 ovs-vswitchd 12566 ? 00:00:00 ovs-vswitchd
查看 OVS 的版本信息, 我們安裝版本的是 1.11.0
$ ovs-appctl --version ovs-appctl (Open vSwitch) 1.11.0 Compiled Oct 28 2013 14:17:16
查看 OVS 支持的 OpenFlow 協議的版本
$ ovs-ofctl --version ovs-ofctl (Open vSwitch) 1.11.0 Compiled Oct 28 2013 14:17:17 OpenFlow versions 0x1:0x4
回頁首
OpenFlow 是用于管理交換機流表的協議，ovs-ofctl 則是 OVS 提供的命令行工具。在沒有配置 OpenFlow 控制器的模式下，用戶可以使用 ovs-ofctl 命令通過 OpenFlow 協議去連接 OVS，創建、修改或刪除 OVS 中的流表項，并對 OVS 的運行狀況進行動態監控。
在 OpenFlow 的白皮書中，Flow 被定義為某個特定的網絡流量。例如，一個 TCP 連接就是一個 Flow，或者從某個 IP 地址發出來的數據包，都可以被認為是一個 Flow。支持 OpenFlow 協議的交換機應該包括一個或者多個流表，流表中的條目包含：數據包頭的信息、匹配成功后要執行的指令和統計信息。
當數據包進入 OVS 后，會將數據包和流表中的流表項進行匹配，如果發現了匹配的流表項，則執行該流表項中的指令集。相反，如果數據包在流表中沒有發現任何匹配，OVS 會通過控制通道把數據包發到 OpenFlow 控制器中。
在 OVS 中，流表項作為 ovs-ofctl 的參數，采用如下的格式：字段=值。如果有多個字段，可以用逗號或者空格分開。一些常用的字段列舉如下：
| 字段名稱 | 說明 |
|---|---|
| in_port=port | 傳遞數據包的端口的 OpenFlow 端口編號 |
| dl_vlan=vlan | 數據包的 VLAN Tag 值，范圍是 0-4095，0xffff 代表不包含 VLAN Tag 的數據包 |
| dl_src=<MAC> dl_dst=<MAC> | 匹配源或者目標的 MAC 地址 01:00:00:00:00:00/01:00:00:00:00:00 代表廣播地址 00:00:00:00:00:00/01:00:00:00:00:00 代表單播地址 |
| dl_type=ethertype | 匹配以太網協議類型，其中： dl_type=0x0800 代表 IPv4 協議 dl_type=0x086dd 代表 IPv6 協議 dl_type=0x0806 代表 ARP 協議 完整的的類型列表可以參見以太網協議類型列表 |
| nw_src=ip[/netmask] nw_dst=ip[/netmask] | 當 dl_typ=0x0800 時，匹配源或者目標的 IPv4 地址，可以使 IP 地址或者域名 |
| nw_proto=proto | 和 dl_type 字段協同使用。 當 dl_type=0x0800 時，匹配 IP 協議編號 當 dl_type=0x086dd 代表 IPv6 協議編號 完整的 IP 協議編號可以參見IP 協議編號列表 |
| table=number | 指定要使用的流表的編號，范圍是 0-254。在不指定的情況下，默認值為 0。通過使用流表編號，可以創建或者修改多個 Table 中的 Flow |
| reg<idx>=value[/mask] | 交換機中的寄存器的值。當一個數據包進入交換機時，所有的寄存器都被清零，用戶可以通過 Action 的指令修改寄存器中的值 |
對于 add?flow，add?flows 和 mod?flows 這三個命令，還需要指定要執行的動作：actions=[target][,target...]
一個流規則中可能有多個動作，按照指定的先后順序執行。
常見的操作有：
output:port: 輸出數據包到指定的端口。port 是指端口的 OpenFlow 端口編號
mod_vlan_vid: 修改數據包中的 VLAN tag
strip_vlan: 移除數據包中的 VLAN tag
mod_dl_src/ mod_dl_dest: 修改源或者目標的 MAC 地址信息
mod_nw_src/mod_nw_dst: 修改源或者目標的 IPv4 地址信息
resubmit:port: 替換流表的 in_port 字段，并重新進行匹配
load:value?>dst[start..end]: 寫數據到指定的字段
在本例中, 我們會創建一個不連接到任何控制器的 OVS 交換機，并演示如何使用 ovs-octl 命令操作 OpenFlow 流表。
創建一個新的 OVS 交換機
$ ovs-vsctl add-br ovs-switch
創建一個端口 p0，設置端口 p0 的 OpenFlow 端口編號為 100（如果在創建端口的時候沒有指定 OpenFlow 端口編號，OVS 會自動生成一個）。
$ ovs-vsctl add-port ovs-switch p0 -- set Interface p0 ofport_request=100
設置網絡接口設備的類型為“internal”。對于 internal 類型的的網絡接口，OVS 會同時在 Linux 系統中創建一個可以用來收發數據的模擬網絡設備。我們可以為這個網絡設備配置 IP 地址、進行數據監聽等等。
$ ovs-vsctl set Interface p0 type=internal $ ethtool -i p0 driver: openvswitch version: firmware-version: bus-info: supports-statistics: no supports-test: no supports-eeprom-access: no supports-register-dump: no
為了避免網絡接口上的地址和本機已有網絡地址沖突，我們可以創建一個虛擬網絡空間 ns0，把 p0 接口移入網絡空間 ns0，并配置 IP 地址為 192.168.1.100
$ ip netns add ns0 $ ip link set p0 netns ns0 $ ip netns exec ns0 ip addr add 192.168.1.100/24 dev p0 $ ip netns exec ns0 ifconfig p0 promisc up
使用同樣的方法創建端口 p1、p2
| 端口 | 說明 |
|---|---|
| p0 | IP 地址: 192.168.1.100/24 網絡名稱空間: ns0 網絡接口 MAC 地址: 66:4e:cc:ae:4d:20 OpenFlow Port Number: 100 |
| p1 | IP 地址: 192.168.1.101/24 網絡名稱空間: ns1 網絡接口 MAC 地址: 46:54:8a:95:dd:f8 OpenFlow Port Number: 101 |
| p2 | IP 地址: 192.168.1.102/24, 網絡名稱空間: ns2 網絡接口 MAC 地址: 86:3b:c8:d0:44:10 OpenFlow Port Number: 102 |
創建所有的端口之后， 查看 OVS 交換機的信息
$ ovs-vsctl show 30282710-d401-4187-8e13-52388f693df7 Bridge ovs-switch Port "p0" Interface "p0" type: internal Port "p2" Interface "p2" type: internal Port "p1" Interface "p1" type: internal Port ovs-switch Interface ovs-switch type: internal
使用 ovs-ofctl 創建并測試 OpenFlow 命令
查看 Open vSwitch 中的端口信息。從輸出結果中，可以獲得交換機對應的 datapath ID （dpid），以及每個端口的 OpenFlow 端口編號，端口名稱，當前狀態等等。
$ ovs-ofctl show ovs-switch OFPT_FEATURES_REPLY (xid=0x2): dpid:00001232a237ea45 n_tables:254, n_buffers:256 capabilities: FLOW_STATS TABLE_STATS PORT_STATS QUEUE_STATS ARP_MATCH_IP actions: OUTPUT SET_VLAN_VID SET_VLAN_PCP STRIP_VLAN SET_DL_SRC SET_DL_DST SET_NW_SRC SET_NW_DST SET_NW_TOS SET_TP_SRC SET_TP_DST ENQUEUE 100(p0): addr:54:01:00:00:00:00 config: PORT_DOWN state: LINK_DOWN speed: 0 Mbps now, 0 Mbps max 101(p1): addr:54:01:00:00:00:00 config: PORT_DOWN state: LINK_DOWN speed: 0 Mbps now, 0 Mbps max 102(p2): addr:54:01:00:00:00:00 config: PORT_DOWN state: LINK_DOWN speed: 0 Mbps now, 0 Mbps max LOCAL(ovs-switch): addr:12:32:a2:37:ea:45 config: 0 state: 0 speed: 0 Mbps now, 0 Mbps max OFPT_GET_CONFIG_REPLY (xid=0x4): frags=normal miss_send_len=0
如果想獲得網絡接口的 OpenFlow 編號，也可以在 OVS 的數據庫中查詢
$ ovs-vsctl get Interface p0 ofport 100
查看 datapath 的信息
$ ovs-dpctl show system@ovs-system: lookups: hit:12173 missed:712 lost:0 flows: 0 port 0: ovs-system (internal) port 1: ovs-switch (internal) port 2: p0 (internal) port 3: p1 (internal) port 4: p2 (internal)
屏蔽數據包
屏蔽所有進入 OVS 的以太網廣播數據包
$ ovs-ofctl add-flow ovs-switch "table=0, dl_src=01:00:00:00:00:00/01:00:00:00:00:00, actions=drop"
屏蔽 STP 協議的廣播數據包
$ ovs-ofctl add-flow ovs-switch "table=0, dl_dst=01:80:c2:00:00:00/ff:ff:ff:ff:ff:f0, actions=drop"
修改數據包
添加新的 OpenFlow 條目，修改從端口 p0 收到的數據包的源地址為 9.181.137.1
$ ovs-ofctl add-flow ovs-switch "priority=1 idle_timeout=0,\ in_port=100,actions=mod_nw_src:9.181.137.1,normal"
從端口 p0（192.168.1.100）發送測試數據到端口 p1（192.168.1.101）
$ ip netns exec ns0 ping 192.168.1.101
在接收端口 p1 監控數據，發現接收到的數據包的來源已經被修改為 9.181.137.1
$ ip netns exec ns1 tcpdump -i p1 icmp tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on p1, link-type EN10MB (Ethernet), capture size 65535 bytes 15:59:16.885770 IP 9.181.137.1 > 192.168.1.101: ICMP echo request, id 23111, seq 457, length 64 15:59:17.893809 IP 9.181.137.1 > 192.168.1.101: ICMP echo request, id 23111, seq 458, length 64
重定向數據包
添加新的 OpenFlow 條目，重定向所有的 ICMP 數據包到端口 p2
$ ovs-ofctl add-flow ovs-switch idle_timeout=0,dl_type=0x0800,nw_proto=1,actions=output:102
從端口 p0 （192.168.1.100）發送數據到端口 p1（192.168.1.101）
$ ip netns exec ns0 ping 192.168.1.101
在端口 p2 上監控數據，發現數據包已被轉發到端口 p2
$ ip netns exec ns3 tcpdump -i p2 icmp tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on p2, link-type EN10MB (Ethernet), capture size 65535 bytes 16:07:35.677770 IP 192.168.1.100 > 192.168.1.101: ICMP echo request, id 23147, seq 25, length 64 16:07:36.685824 IP 192.168.1.100 > 192.168.1.101: ICMP echo request, id 23147, seq 26, length 64
修改數據包的 VLAN Tag
除了使用“ping”、“tcpdump”和“iperf” 等 Linux 命令以外，我們也可以使用 OVS 提供的 ovs-appctl ofproto/trace 工具來測試 OVS 對數據包的轉發狀況。ovs-appctl ofproto/trace 可以用來生成測試用的模擬數據包，并一步步的展示 OVS 對數據包的流處理過程。在以下的例子中，我們演示一下如何使用這個命令：
修改端口 p1 的 VLAN tag 為 101，使端口 p1 成為一個隸屬于 VLAN 101 的端口
$ ovs-vsctl set Port p1 tag=101
現在由于端口 p0 和 p1 屬于不同的 VLAN，它們之間無法進行數據交換。我們使用 ovs-appctl ofproto/trace 生成一個從端口 p0 發送到端口 p1 的數據包，這個數據包不包含任何 VLAN tag，并觀察 OVS 的處理過程
$ ovs-appctl ofproto/trace ovs-switch in_port=100,dl_src=66:4e:cc:ae:4d:20, dl_dst=46:54:8a:95:dd:f8 -generate Flow:metadata=0,in_port=100,vlan_tci=0x0000,dl_src=66:4e:cc:ae:4d:20, dl_dst=46:54:8a:95:dd:f8,dl_type=0x0000 Rule: table=0 cookie=0 priority=0 OpenFlow actions=NORMAL no learned MAC for destination, flooding Final flow: unchanged Relevant fields: skb_priority=0,in_port=100,vlan_tci=0x0000/0x1fff,\ dl_src=66:4e:cc:ae:4d:20,dl_dst=46:54:8a:95:dd:f8,dl_type=0x0000,nw_frag=no Datapath actions: 4,1
在第一行輸出中，“Flow:”之后的字段描述了輸入的流的信息。由于我們沒有指定太多信息，所以多數字段 （例如 dl_type 和 vlan_tci）被 OVS 設置為空值。
在第二行的輸出中，“Rule:” 之后的字段描述了匹配成功的流表項。
在第三行的輸出中，“OpenFlow actions”之后的字段描述了實際執行的操作。
最后一段以”Final flow”開始的字段是整個處理過程的總結，“Datapath actions: 4,1”代表數據包被發送到 datapath 的 4 和 1 號端口。
創建一條新的 Flow：對于從端口 p0 進入交換機的數據包，如果它不包含任何 VLAN tag，則自動為它添加 VLAN tag 101
$ ovs-ofctl add-flow ovs-switch "priority=3,in_port=100,dl_vlan=0xffff,\ actions=mod_vlan_vid:101,normal"
再次嘗試從端口 p0 發送一個不包含任何 VLAN tag 的數據包，發現數據包進入端口 p0 之后, 會被加上 VLAN tag101, 同時轉發到端口 p1 上
$ ovs-appctl ofproto/trace ovs-switch in_port=100,dl_src=66:4e:cc:ae:4d:20, dl_dst=46:54:8a:95:dd:f8 –generate Flow: metadata=0,in_port=100,vlan_tci=0x0000,dl_src=66:4e:cc:ae:4d:20, dl_dst=46:54:8a:95:dd:f8,dl_type=0x0000 Rule: table=0 cookie=0 priority=3,in_port=100,vlan_tci=0x0000 OpenFlow actions=mod_vlan_vid:101,NORMAL forwarding to learned port Final flow: metadata=0,in_port=100,dl_vlan=101,dl_vlan_pcp=0,dl_src=66:4e:cc:ae:4d:20, dl_dst=46:54:8a:95:dd:f8,dl_type=0x0000 Relevant fields: skb_priority=0,in_port=100,vlan_tci=0x0000/0x1fff,dl_src=66:4e:cc:ae:4d:20, dl_dst=46:54:8a:95:dd:f8,dl_type=0x0000,nw_frag=no Datapath actions: 3
反過來從端口 p1 發送數據包，由于 p1 現在是帶有 VLAN tag 101 的 Access 類型的端口，所以數據包進入端口 p1 之后，會被 OVS 添加 VLAN tag 101 并發送到端口 p0
$ ovs-appctl ofproto/trace ovs-switch in_port=101,dl_dst=66:4e:cc:ae:4d:20, dl_src=46:54:8a:95:dd:f8 -generate Flow: metadata=0,in_port=101,vlan_tci=0x0000,dl_src=46:54:8a:95:dd:f8, dl_dst=66:4e:cc:ae:4d:20,dl_type=0x0000 Rule: table=0 cookie=0 priority=0 OpenFlow actions=NORMAL forwarding to learned port Final flow: unchanged Relevant fields: skb_priority=0,in_port=101,vlan_tci=0x0000,dl_src=46:54:8a:95:dd:f8, dl_dst=66:4e:cc:ae:4d:20,dl_type=0x0000,nw_frag=no Datapath actions: push_vlan(vid=101,pcp=0),2
其他 OpenFlow 常用的操作
查看交換機中的所有 Table
ovs-ofctl dump-tables ovs-switch
查看交換機中的所有流表項
ovs?ofctl dump?flows ovs-switch
刪除編號為 100 的端口上的所有流表項
ovs-ofctl del-flows ovs-switch "in_port=100"
查看交換機上的端口信息
ovs-ofctl show ovs-switch
回頁首
一 方面，OpenFlow 控制器可以通過 OpenFlow 協議連接到任何支持 OpenFlow 的交換機，控制器通過和交換機交換流表規則來控制數據流向。另一方面， OpenFlow 控制器向用戶提供的界面或者接口，用戶可以通過界面對網絡架構進行動態的修改，修改交換機的流表規則等等。Floodlight 是一個基于 Apache 協議，使用 Java 開發的企業級 OpenFlow 控制器。我們在下面的例子中演示如何安裝 Floodlight，并連接管理 OVS 的過程。
Floodlight 的安裝過程非常簡單，在另外一臺機器上, 下載 Floodlight 源碼并編譯
$ git clone git://github.com/floodlight/floodlight.git $ cd floodlight/ $ ant $ java -jar target/floodlight.jar
運行 Floodlight
$ java -jar floodlight.jar
在 安裝了 OVS 交換機的節點上，配置 OVS 交換機 ovs-switch，使用 Floodlight 作為控制器。默認情況下，Floodlight 在端口 6633 上進行監聽，我們使用 ovs-vsctl 命令配置 OVS 交換機使用 TCP 協議連接到 Floodlight（IP 地址為 9.181.137.182，端口號 6633）。對于一個 OVS 交換機來說，可以同時配置一個或者多個控制器
$ ovs-vsctl set-controller ovs-switch tcp:9.181.137.182:6633
當 OVS 交換機連接到 Floodlight 控制器后，理論上所有的流表規則應該交給控制器來建立。由于 OVS 交換機和控制器之間是通過網絡通訊來傳遞數據的，所以網絡連接失敗會影響到 Flow 的建立。針對這種情況，OVS 提供了兩種處理模式：
standlone: 默認模式。如果 OVS 交換機超過三次無法正常連接到 OpenFlow 控制器，OVS 交換機自己會負責建立流表。在這種模式下，OVS 和常見的 L2 交換機相似。與此同時，OVS 也會繼續嘗試連接控制器，一旦網絡連接恢復，OVS 會再次切換到使用控制器進行流表管理。
secure: 在 secure 模式下，如果 OVS 無法正常連接到 OpenFlow 控制器，OVS 會不停的嘗試與控制器重新建立連接，而不會自己負責建立流表。
設置 OVS 的連接模式為 secure 模式
$ ovs-vsctl set Bridge ovs-switch fail-mode=secure
查看 OVS 的狀態，“is_connected:true”代表 OVS 已經成功連接到了 Floodlight
$ ovs-vsctl show 30282710-d401-4187-8e13-52388f693df7 Bridge ovs-switch Controller "tcp:9.181.137.182:6633" is_connected: true Port ovs-switch Interface ovs-switch type: internal Port "p0" Interface "p0" type: internal Port "p1" tag: 101 Interface "p1" type: internal Port "p2" Interface "p2" type: internal
通過訪問 Floodlight 提供的 Web 管理界面 http://<Host Address>:8080/ui/index.html，我們可以查看 Floodlight 控制器的狀態以及所有連接到 Floodlight 的交換機列表
選中某個 OpenFlow 交換機， 查看其中的端口列表和流表信息
通過 Floodlight 的 RESTAPI，添加兩條新的規則讓端口 p0 和 p1 可以相互通訊。注意：替換命令行中的 switch 的 ID 為交換機的 datapath ID
curl -d '{"switch": "00:00:0e:f9:05:6b:7c:44", "name":"my-flow1", "cookie":"0","priority":"32768",
"ingress-port":"100","active":"true", "actions":"output=flood"}'
http://9.181.137.182:8080/wm/staticflowentrypusher/json
curl -d '{"switch": "00:00:0e:f9:05:6b:7c:44", "name":"my-flow2", "cookie":"0","priority":"32768",
"ingress-port":"101","active":"true", "actions":"output=flood"}'
http://9.181.137.182:8080/wm/staticflowentrypusher/json驗證是否能從端口 p0 發送數據包到 p1
$ ip netns exec ns0 ping -c4 192.168.1.101 PING 192.168.1.101 (192.168.1.101) 56(84) bytes of data. 64 bytes from 192.168.1.101: icmp_req=1 ttl=64 time=0.027 ms 64 bytes from 192.168.1.101: icmp_req=2 ttl=64 time=0.018 ms 64 bytes from 192.168.1.101: icmp_req=3 ttl=64 time=0.023 ms 64 bytes from 192.168.1.101: icmp_req=4 ttl=64 time=0.022 ms --- 192.168.1.101 ping statistics --- 4 packets transmitted, 4 received, 0% packet loss, time 2998ms rtt min/avg/max/mdev = 0.018/0.022/0.027/0.005 ms
在 OVS 端也可以看到，流表規則已經被 OVS 同步到本地。
$ ovs-ofctl dump-flows ovs-switch NXST_FLOW reply (xid=0x4): cookie=0xa0000000000000, duration=335.122s, table=0, n_packets=347, n_bytes=28070, idle_age=1, in_port=100 actions=FLOOD cookie=0xa0000000000000, duration=239.892s, table=0, n_packets=252, n_bytes=24080, idle_age=0, in_port=101 actions=FLOOD
通過 Floodlight 的 RestAPI，查看交換機上的流表規則
curl http://9.181.137.182:8080/wm/staticflowentrypusher/list/00:00:0e:f9:05:6b:7c:44/json
通過 Floodlight 的 RestAPI，刪除交換機上的流表規則
curl http://9.181.137.182:8080/wm/staticflowentrypusher/clear/00:00:0e:f9:05:6b:7c:44/json
以上是“基于Open vSwitch的OpenFlow怎么用”這篇文章的所有內容，感謝各位的閱讀！相信大家都有了一定的了解，希望分享的內容對大家有所幫助，如果還想學習更多知識，歡迎關注億速云行業資訊頻道！
免責聲明：本站發布的內容（圖片、視頻和文字）以原創、轉載和分享為主，文章觀點不代表本網站立場，如果涉及侵權請聯系站長郵箱：is@yisu.com進行舉報，并提供相關證據，一經查實，將立刻刪除涉嫌侵權內容。
