OpenStack学习笔记之五：Neutron介绍

Neutron理论详解

1 引入

OpenStack网络服务提供了一个API接口，允许用户在云上设置和定义网络连接和地址。这个网络服务的项目代码名称是Neutron。OpenStack网络处理虚拟设备的创建和管理网络基础设施，包括网络、交换机、子网以及由计算服务（nova）管理的设备路由器。高级服务，如防火墙或虚拟私人网络（VPN）。
OpenStack网络由neutron-server，持久化存储数据库，和任意数量的插件代理组成，这些代理提供其他服务，如与本地linux联网接口机制、外部设备或SDN控制器。
OpenStack网络是完全独立的，可以部署到一个专用主机。如果你的部署使用了一个控制器主机运行集中计算组件，你可以部署网络服务来取代主机的设定。
OpenStack网络集成了各种组件：

1. 身份认证（Keystone）用于身份验证以及api请求的授权。
2. 计算服务（Nova）用于把一个特定网络插入每个虚拟机中。
3. 仪表盘（Horizon）由管理员和租户通过一个基于WEB的图形界面创建和管理网络。

2 一些术语

Neutron管理所有虚拟网络基础设施（VNI），物理网络基础设施（PNI）的接入层。OpenStack网络允许租户创建包括像firewall, :term:load balancer和 :term:virtual private network (VPN)等这样的高级虚拟网络拓扑。
网络服务提供网络，子网以及路由这些对象的抽象概念，模拟对应的物理设备：网络包括子网，路由在不同的子网和网络间进行路由转发。
给定的网络必须包含至少一个外部网络。它代表了一种OpenStack安装之外的能从物理的，外部的网络访问的视图。外部网络上的IP地址可供外部设备访问。
租户会拥有一个或多个内部网络。这些软件定义的网络直接连接到虚拟机。内部网络类似于局域网，用于连接到内部网络的虚拟机之间通信，也可以通过路由连接其他内部网络或外部网络。
如果外部网络想要和实例通信，就需要配置路由了。每一个路由都配有一个网关用于连接到外部网络，以及一个或多个连接到内部网络的接口。子网可以访问同一个路由上其他子网中的机器，并且机器也可以访问路由的网关访问外部网络。
浮动IP是一个外部网络地址，它可以分配给内部网络的端口。通过这种方式，外部网络上的实体可以访问实例。
安全组允许管理员在安全组中定义防火墙规则。一个实例可以属于一个或多个安全组。
所有的Networking安装使用了一个核心插件和一个安全组插件(或仅是空操作安全组插件)。另外，防火墙即服务(FWaaS)和负载均衡即服务(LBaaS)插件是可用的。

3 Neutron架构

• 位于最上层的Neutron Server充当一个门派中的“掌门人”角色（RESTful Server），负责接受来自外部门派（项目）的API请求，比如Nova API创建网络的请求。
• 位于中间层的Neutron Plugin充当一个门派中的“信使”角色，负责传达最高层指令给下面的人。
• 位于下层的Neutron Agent充当一个门派中“干活”角色，负责执行一些具体的任务和操作。

类似于各个计算、存储节点被虚拟化为计算、存储资源池，Openstack所在的整个物理网络在Neutron中也被虚拟化为网络资源池。通过对网络资源的划分和可扩展性，Neutron能够为每个租户提供独立的虚拟网络环境。
Neutron分别提供了二层（L2）vSwitch交换和三层（L3）Router路由抽象的功能，对应于物理网络环境中的交换机和路由器实现。具体实现了如下功能：

1. Router：为租户提供路由、NAT等服务。
2. Network：对应于一个真实物理网络中的二层局域网（VLAN），从租户的的角度而言，是租户私有的。
3. Subnet：为网络中的三层概念，指定一段IPV4或IPV6地址并描述其相关的配置信息。它附加在一个二层Network上，指明属于这个network的虚拟机可使用的IP地址范围。

3.1