成人免费xxxxx在线视频软件_久久精品久久久_亚洲国产精品久久久_天天色天天色_亚洲人成一区_欧美一级欧美三级在线观看

解除openstack中instance對(duì)IP的限制

作者：lustlost
云計(jì)算 OpenStack
最近公司的幾個(gè)關(guān)鍵業(yè)務(wù)跑在openstack中的虛擬機(jī)中，想把幾個(gè)虛擬機(jī)做成負(fù)載均衡和高可用集群。

最近公司的幾個(gè)關(guān)鍵業(yè)務(wù)跑在openstack中的虛擬機(jī)中，想把幾個(gè)虛擬機(jī)做成負(fù)載均衡和高可用集群。

對(duì)于負(fù)載均衡，G版本已經(jīng)集成了haproxy插件，對(duì)haproxy的配置做了一層封裝，可以很方便的通過quantum去創(chuàng)建一個(gè)負(fù)載均衡池，為相同或者不同宿主機(jī)上的虛擬機(jī)提供負(fù)載均衡的能力。

在這個(gè)模式下，haproxy是運(yùn)行在宿主機(jī)上的。

遺憾的是，目前還不能通過openstack做到haproxy的高可用。

想要做高可用，只能在虛擬機(jī)中去飄VIP了

但是創(chuàng)建了虛擬機(jī)之后，在這個(gè)虛擬機(jī)實(shí)例中只能使用指定的IP。

這就導(dǎo)致想在虛擬機(jī)中部署高可用去飄VIP是不可行的。

可以理解，在公有云環(huán)境下，是不可能讓用戶在虛擬機(jī)中隨意去配置額外地址的。

但我們是私有云環(huán)境，這個(gè)規(guī)則對(duì)私有云環(huán)境下很是麻煩。

在openstack中創(chuàng)建虛擬機(jī)，通過nova boot的--nic選項(xiàng)指定網(wǎng)卡和IP地址：

--nic net-id=${NETWORK_ID},v4-fixed-ip=${Host_IP}

 

之前一直以為是iptables規(guī)則導(dǎo)致的。于是去看了一遍宿主機(jī)中的iptables規(guī)則

root@node1:~# iptables -vnL

Chain INPUT (policy ACCEPT 3556K packets, 744M bytes)

pkts bytes target prot opt in out source destination

1778K 372M nova-compute-INPUT all -- * * 0.0.0.0/0 0.0.0.0/0

 

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)

pkts bytes target prot opt in out source destination

150 13488 nova-filter-top all -- * * 0.0.0.0/0 0.0.0.0/0

6 1392 nova-compute-FORWARD all -- * * 0.0.0.0/0 0.0.0.0/0

 

Chain OUTPUT (policy ACCEPT 4208K packets, 567M bytes)

pkts bytes target prot opt in out source destination

4202K 567M nova-filter-top all -- * * 0.0.0.0/0 0.0.0.0/0

2106K 284M nova-compute-OUTPUT all -- * * 0.0.0.0/0 0.0.0.0/0

 

Chain nova-compute-FORWARD (1 references)

pkts bytes target prot opt in out source destination

4 1312 ACCEPT udp -- * * 0.0.0.0 255.255.255.255 udp spt:68 dpt:67

2 80 ACCEPT all -- brq3eefcd79-07 * 0.0.0.0/0 0.0.0.0/0

0 0 ACCEPT all -- * brq3eefcd79-07 0.0.0.0/0 0.0.0.0/0

 

Chain nova-compute-INPUT (1 references)

pkts bytes target prot opt in out source destination

2 656 ACCEPT udp -- * * 0.0.0.0 255.255.255.255 udp spt:68 dpt:67

 

Chain nova-compute-OUTPUT (1 references)

pkts bytes target prot opt in out source destination

 

Chain nova-compute-inst-15 (1 references)

pkts bytes target prot opt in out source destination

0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 state INVALID

0 0 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED

0 0 nova-compute-provider all -- * * 0.0.0.0/0 0.0.0.0/0

0 0 ACCEPT udp -- * * 10.16.0.102 0.0.0.0/0 udp spt:67 dpt:68

0 0 ACCEPT all -- * * 10.16.0.0/24 0.0.0.0/0

0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 multiport dports 1:65535

0 0 ACCEPT udp -- * * 0.0.0.0/0 0.0.0.0/0 multiport dports 1:65535

0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0

0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 icmptype 8 code 8

0 0 nova-compute-sg-fallback all -- * * 0.0.0.0/0 0.0.0.0/0

 

Chain nova-compute-inst-17 (1 references)

pkts bytes target prot opt in out source destination

0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 state INVALID

0 0 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED

0 0 nova-compute-provider all -- * * 0.0.0.0/0 0.0.0.0/0

0 0 ACCEPT udp -- * * 10.16.0.102 0.0.0.0/0 udp spt:67 dpt:68

0 0 ACCEPT all -- * * 10.16.0.0/24 0.0.0.0/0

0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 multiport dports 1:65535

0 0 ACCEPT udp -- * * 0.0.0.0/0 0.0.0.0/0 multiport dports 1:65535

0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0

0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 icmptype 8 code 8

0 0 nova-compute-sg-fallback all -- * * 0.0.0.0/0 0.0.0.0/0

 

Chain nova-compute-local (1 references)

pkts bytes target prot opt in out source destination

0 0 nova-compute-inst-15 all -- * * 0.0.0.0/0 10.16.0.111

0 0 nova-compute-inst-17 all -- * * 0.0.0.0/0 10.16.0.131

 

Chain nova-compute-provider (2 references)

pkts bytes target prot opt in out source destination

 

Chain nova-compute-sg-fallback (2 references)

pkts bytes target prot opt in out source destination

0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0

 

Chain nova-filter-top (2 references)

pkts bytes target prot opt in out source destination

2106K 284M nova-compute-local all -- * * 0.0.0.0/0 0.0.0.0/0

 

分析一下這些openstack自動(dòng)生成的規(guī)則，可以看到input，forword和output鏈默認(rèn)都是accept狀態(tài)。分析每條鏈對(duì)數(shù)據(jù)包的跳轉(zhuǎn)和過濾，如果在虛擬機(jī)中配置新的地址，是不會(huì)被過濾的。

 

經(jīng)過一番折騰，最終發(fā)現(xiàn)限制IP的原因是ebtables在起作用

root@node1:~# ebtables -t nat -L

Bridge table: nat

 

Bridge chain: PREROUTING, entries: 2, policy: ACCEPT

-i tap0678bf1d-41 -j libvirt-I-tap0678bf1d-41

-i tap496fa038-9e -j libvirt-I-tap496fa038-9e

 

Bridge chain: OUTPUT, entries: 0, policy: ACCEPT

 

Bridge chain: POSTROUTING, entries: 0, policy: ACCEPT

 

Bridge chain: libvirt-I-tap0678bf1d-41, entries: 4, policy: ACCEPT

-j I-tap0678bf1d-41-mac

-p IPv4 -j I-tap0678bf1d-41-ipv4-ip

-p ARP -j I-tap0678bf1d-41-arp-mac

-p ARP -j I-tap0678bf1d-41-arp-ip

 

Bridge chain: I-tap0678bf1d-41-mac, entries: 2, policy: ACCEPT

-s fa:16:3e:a6:5f:70 -j RETURN

-j DROP

 

Bridge chain: I-tap0678bf1d-41-ipv4-ip, entries: 3, policy: ACCEPT

-p IPv4 --ip-src 0.0.0.0 --ip-proto udp -j RETURN

-p IPv4 --ip-src 10.16.0.131 -j RETURN

-j DROP

 

Bridge chain: I-tap0678bf1d-41-arp-mac, entries: 2, policy: ACCEPT

-p ARP --arp-mac-src fa:16:3e:a6:5f:70 -j RETURN

-j DROP

 

Bridge chain: I-tap0678bf1d-41-arp-ip, entries: 2, policy: ACCEPT

-p ARP --arp-ip-src 10.16.0.131 -j RETURN

-j DROP

 

Bridge chain: libvirt-I-tap496fa038-9e, entries: 4, policy: ACCEPT

-j I-tap496fa038-9e-mac

-p IPv4 -j I-tap496fa038-9e-ipv4-ip

-p ARP -j I-tap496fa038-9e-arp-mac

-p ARP -j I-tap496fa038-9e-arp-ip

 

Bridge chain: I-tap496fa038-9e-mac, entries: 2, policy: ACCEPT

-s fa:16:3e:58:1:ac -j RETURN

-j DROP

 

Bridge chain: I-tap496fa038-9e-ipv4-ip, entries: 3, policy: ACCEPT

-p IPv4 --ip-src 0.0.0.0 --ip-proto udp -j RETURN

-p IPv4 --ip-src 10.16.0.111 -j RETURN

-j DROP

 

Bridge chain: I-tap496fa038-9e-arp-mac, entries: 2, policy: ACCEPT

-p ARP --arp-mac-src fa:16:3e:58:1:ac -j RETURN

-j DROP

 

Bridge chain: I-tap496fa038-9e-arp-ip, entries: 2, policy: ACCEPT

-p ARP --arp-ip-src 10.16.0.111 -j RETURN

-j DROP

ebtables是linux專門做二層數(shù)據(jù)鏈路層過濾的。

 

在通過nova創(chuàng)建虛擬機(jī)后，會(huì)生成libvirt的一個(gè)xml配置文件

路徑在：/etc/libvirt/nwfilter/nova-base.xml

里面定義了以下規(guī)則，這些規(guī)則限制了在虛擬機(jī)上的地址，在二層上就做了過濾

<filter name='nova-base' chain='root'>

<uuid>12ec8693-253a-7db0-7cd3-f8cc0a1e1b02</uuid>

<filterref filter='no-mac-spoofing'/>

<filterref filter='no-ip-spoofing'/>

<filterref filter='no-arp-spoofing'/>

<filterref filter='allow-dhcp-server'/>

</filter>

 

然后為每個(gè)虛擬機(jī)創(chuàng)建一個(gè)xml文件，每個(gè)虛擬機(jī)的xml配置中包含了nova-base.xml中的配置

打開其中一個(gè)虛擬機(jī)的xml配置，可以看到，這個(gè)配置文件中只放行了指定IP在二層上可以通過，所以其它手動(dòng)配置的地址是不可用的。

cat /etc/libvirt/nwfilter/nova-instance-instance-0000000f-fa163e5801ac.xml

<filter name='nova-instance-instance-0000000f-fa163e5801ac' chain='root'>

<uuid>972d18be-2db0-4bf2-2853-a0a61beac036</uuid>

<filterref filter='nova-base'>

<parameter name='DHCPSERVER' value='10.16.0.102'/>

<parameter name='IP' value='10.16.0.111'/>

<parameter name='PROJMASK' value='255.255.255.0'/>

<parameter name='PROJNET' value='10.16.0.0'/>

</filterref>

</filter>

 

libvirt可以通過在這些xml配置的規(guī)則，去生成ebtables規(guī)則，最終是ebtables做出限制。

 

如何破解？

修改nova-base.xml文件

注釋掉以下三行

<filterref filter='no-mac-spoofing'/>

<filterref filter='no-ip-spoofing'/>

<filterref filter='no-arp-spoofing'/>

然后重啟libvirt進(jìn)程，libvirt會(huì)重新讀取xml中的配置，生成新的ebtables規(guī)則。

修改后，我通過新建虛擬機(jī)，重啟nova-computer進(jìn)程，或者直接重啟宿主機(jī)，這個(gè)base文件都不會(huì)發(fā)生變化了。

 

還有就是修改nova源碼（未測試）

源碼位置在

/usr/lib/python2.7/dist-packages/nova/virt/libvirt/firewall.py

第198行（G版本中）

151457483.jpg

去掉no-mac-spoofing,no-ip-spoofing,no-arp-spoofing這三行，以后生成nova-base.xml文件就可以不包含這3個(gè)選項(xiàng)了。

 

本文出自 “lustlost-迷失在欲望之中” 博客，請(qǐng)務(wù)必保留此出處http://lustlost.blog.51cto.com/2600869/1324832

責(zé)任編輯：王程程 來源： 51CTO博客
iptablesIP限制novaopenstack
相關(guān)推薦

2010-06-09 14:55:11

TCP IP協(xié)議限制

2013-06-09 09:26:07

路由器設(shè)置路由器

2011-08-03 15:40:09

注冊(cè)表注冊(cè)表編輯器

2021-06-30 13:13:55

IP地址網(wǎng)絡(luò)IP限制

2009-08-15 10:40:00

2011-04-18 15:33:33

Ubuntu 11.0

2009-07-21 16:23:57

2019-06-04 10:24:11

2025-02-28 05:50:12

2009-12-07 14:28:14

2009-01-12 08:04:27

Windows 7DVD鏡像數(shù)量限制

2015-08-17 11:01:49

OpenStack開源云架構(gòu)應(yīng)用遷移

2014-04-24 10:06:01

OpenStackDocker

2021-03-04 11:49:19

MySQL賬號(hào)IP

2019-06-03 10:08:57

華為禁令開發(fā)

2013-11-29 14:24:05

VMware

2013-12-03 09:31:33

VMwareOpenStack云基礎(chǔ)架構(gòu)

2015-06-15 09:43:05

SDNOpenStack N

2015-06-09 09:51:20

SDNOpenStackNeutron

2015-09-01 10:05:17

OpenStackDocker
點(diǎn)贊
收藏

51CTO技術(shù)棧公眾號(hào)

主站蜘蛛池模板： 亚洲啪啪 | 国产区在线免费观看 | 欧美日韩精品中文字幕 | 国产黄色大片网站 | 久久久久久久久久久久91 | 国产一区二区三区在线 | 国产精品视频网 | 99精品欧美一区二区三区综合在线 | 久久久青草婷婷精品综合日韩 | 盗摄精品av一区二区三区 | 污书屋| 成年人在线观看视频 | 波波电影院一区二区三区 | 亚洲1区 | 国产性生活一级片 | 日日操操操 | 免费电影av | 中文字幕在线播放第一页 | 国产精品久久久久久一区二区三区 | 日韩色在线 | 国产精品毛片一区二区三区 | 日韩精品 电影一区 亚洲 | 欧美日韩精品在线免费观看 | 欧美伦理一区 | 黄色一级片视频 | 久久aⅴ乱码一区二区三区 亚洲欧美综合精品另类天天更新 | 欧美a视频 | 国产精品无 | 成人欧美一区二区三区视频xxx | 在线黄 | 亚洲免费在线 | a级在线 | 亚洲第一在线 | 精品精品视频 | 日本黄色免费大片 | 亚洲一区二区三区桃乃木香奈 | 精品视频在线免费观看 | 欧美激情国产日韩精品一区18 | 久久久久久久久久久蜜桃 | 国产中文字幕在线观看 | 午夜视频在线观看网址 |