红帽全球峰会第 11 章 网络
11.1. 网络概述
OpenShift Virtualization 使用自定义资源和插件提供高级联网功能。虚拟机(VM)与 OpenShift Container Platform 网络及其生态系统集成。
对单堆栈 IPv6 集群的 OpenShift Virtualization 支持仅限于 OVN-Kubernetes localnet 和 Linux 网桥 Container Network Interface (CNI)插件。
在单堆栈 IPv6 集群上部署 OpenShift Virtualization 只是一个技术预览功能。技术预览功能不受红帽产品服务等级协议（SLA）支持，且功能可能并不完整。红帽不推荐在生产环境中使用它们。这些技术预览功能可以使用户提早试用新的功能，并有机会在开发阶段提供反馈意见。
有关红帽技术预览功能支持范围的更多信息，请参阅技术预览功能支持范围。
下图演示了 OpenShift Virtualization 的典型网络设置。也可以进行其他配置。
图 11.1. OpenShift Virtualization 网络概述
Pod 和虚拟机在同一网络基础架构上运行，允许您轻松连接容器化和虚拟化的工作负载。
您可以将虚拟机连接到默认 pod 网络和任意数量的二级网络。
默认 pod 网络提供其所有成员、服务抽象、IP 管理、微分段和其他功能之间的连接。
Multus 是一个 "meta" CNI 插件，它允许 pod 或虚拟机使用其他兼容 CNI 插件连接到其他网络接口。
默认 pod 网络是基于覆盖的，通过底层机器网络进行隧道连接。
机器网络可以在一组选定的网络接口控制器(NIC)上定义。
辅助虚拟机网络通常直接桥接到物理网络，且没有 VLAN 封装。也可以为二级网络创建虚拟覆盖网络。
Red Hat OpenShift Service on AWS、Azure for OpenShift Container Platform 或 Oracle® Cloud Infrastructure (OCI)不支持将虚拟机直接连接到底层网络。
在公有云上，建议使用 layer2 拓扑将虚拟机连接到用户定义的网络。
二级虚拟机网络可以在专用的 NIC 集合上定义，如图 1 所示，也可以使用机器网络。
11.1.1. OpenShift Virtualization 术语表
以下是整个 OpenShift Virtualization 文档中使用的术语：
- Container Network Interface (CNI)
- 一个 Cloud Native Computing Foundation 项目，侧重容器网络连接。OpenShift Virtualization 使用 CNI 插件基于基本 Kubernetes 网络功能进行构建。
- Multus
- 一个“meta”CNI 插件，支持多个 CNI 共存，以便 pod 或虚拟机可使用其所需的接口。
- 自定义资源定义(CRD)
- 一个 Kubernetes API 资源，用于定义自定义资源，或使用 CRD API 资源定义的对象。
- 网络附加定义(NAD)
- 由 Multus 项目引入的 CRD，允许您将 Pod、虚拟机和虚拟机实例附加到一个或多个网络。
- UserDefinedNetwork (UDN)
- 用户定义的网络 API 中引入的命名空间范围的 CRD，用于创建租户网络，将租户命名空间与其他命名空间隔离。
- ClusterUserDefinedNetwork (CUDN)
- 由用户定义的网络 API 引入了的集群范围的 CRD，集群管理员可用于在多个命名空间间创建共享网络。
- 节点网络配置策略(NNCP)
-
nmstate 项目引入的 CRD，描述节点上请求的网络配置。您可以通过将
NodeNetworkConfigurationPolicy清单应用到集群来更新节点网络配置，包括添加和删除网络接口 。
11.1.2. 使用默认 pod 网络
- 将虚拟机连接到默认 pod 网络
- 每个虚拟机默认连接到默认的内部 pod 网络。您可以通过编辑虚拟机规格来添加或删除网络接口。
- 将虚拟机作为服务公开
-
您可以通过创建
Service对象在集群内或集群外公开虚拟机。对于内部集群，您可以使用 MetalLB Operator 配置负载均衡服务。您可以使用 OpenShift Container Platform Web 控制台或 CLI 安装 MetalLB Operator。
11.1.3. 配置主用户定义的网络
- 将虚拟机连接到主用户定义的网络
您可以在虚拟机的主接口上将虚拟机(VM)连接到用户定义的网络(UDN)。主 UDN 替换默认 pod 网络，以在所选命名空间中连接 pod 和虚拟机。
集群管理员可以配置主
UserDefinedNetworkCRD，创建一个租户网络，该网络将租户命名空间与其他命名空间隔离开来，而无需网络策略。另外，集群管理员可以使用ClusterUserDefinedNetworkCRD 在多个命名空间中创建共享 OVNlayer2网络。具有
layer2覆盖拓扑的用户定义网络对虚拟机工作负载很有用，对于物理网络访问受到限制的环境中的辅助网络（如公共云）来说是很好的替代方案。layer2拓扑启用了虚拟机无缝迁移，而无需网络地址转换(NAT)，并提供在重启和实时迁移过程中保留的持久性 IP 地址。
11.1.4. 配置虚拟机二级网络接口
您可以使用 Linux 网桥、SR-IOV 和 OVN-Kubernetes CNI 插件将虚拟机连接到二级网络。您可以在虚拟机规格中列出多个二级网络和接口。连接到二级网络接口时，不需要在虚拟机规格中指定主 pod 网络。
- 将虚拟机连接到 OVN-Kubernetes 二级网络
您可以将虚拟机连接到 OVN-Kubernetes 二级网络。OpenShift Virtualization 支持 OVN-Kubernetes 的
layer2和localnet拓扑。localnet拓扑是在使用或不使用 VLAN 封装的情况下将虚拟机公开给底层物理网络的建议方法。-
layer2拓扑通过集群范围的逻辑交换机连接工作负载。OVN-Kubernetes CNI 插件使用 Geneve （通用网络虚拟化封装）协议在节点间创建覆盖网络。您可以使用此覆盖网络在不同的节点上连接虚拟机，而无需配置任何其他物理网络基础架构。 -
localnet拓扑将二级网络连接到 下的物理网络。这可让 east-west 集群流量并访问在集群外运行的服务，但它需要在集群节点上配置底层 Open vSwitch (OVS) 系统。
要配置 OVN-Kubernetes 二级网络并将虚拟机附加到该网络，请执行以下步骤：
根据您的 OVN-Kubernetes 网络拓扑选择适当的选项：
- 通过创建网络附加定义(NAD)来配置 OVN-Kubernetes 层 2 二级网络。
-
通过创建
ClusterUserDefinedNetwork(CUDN) CR 来配置 OVN-Kubernetes localnet 二级网络。
根据您的 OVN-Kubernetes 网络拓扑选择适当的选项：
-
- 将虚拟机连接到 SR-IOV 网络
对于需要高带宽或低延迟的应用程序，您可以使用单根 I/O 虚拟化 (SR-IOV) 网络设备，并在裸机或 Red Hat OpenStack Platform (RHOSP) 基础架构上安装额外网络。
您必须 在集群中安装 SR-IOV Network Operator，以管理 SR-IOV 网络设备和网络附加。
您可以通过执行以下步骤将虚拟机连接到 SR-IOV 网络：
-
通过创建一个
SriovNetworkNodePolicyCRD 配置一个 SR-IOV 网络设备。 -
通过创建一个
SriovNetwork对象来配置 SR-IOV 网络。 - 通过在虚拟机配置中包含网络详情，将虚拟机连接到 SR-IOV 网络。
-
通过创建一个
- 将虚拟机连接到 Linux 网桥网络
安装 Kubernetes NMState Operator，为您的二级网络配置 Linux 网桥、VLAN 和绑定。OVN-Kubernetes
localnet拓扑是将虚拟机连接到底层物理网络的建议方法，但 OpenShift Virtualization 还支持 Linux 网桥网络。注意使用 Linux 网桥网络时，您无法直接附加到默认机器网络。
您可以通过执行以下步骤来创建 Linux 网桥网络并将虚拟机附加到网络：
-
通过创建
NodeNetworkConfigurationPolicy自定义资源定义(CRD) 来配置 Linux 网桥网络设备。 -
通过创建
NetworkAttachmentDefinitionCRD 来配置 Linux 网桥网络。 - 通过在虚拟机配置中包含网络详情，将虚拟机连接到 Linux 网桥网络。
-
通过创建
- 热插二级网络接口
- 您可以在不停止虚拟机的情况下添加或删除二级网络接口。OpenShift Virtualization 支持热插和热拔使用桥接绑定和 VirtIO 设备驱动程序的二级接口。OpenShift Virtualization 还支持热插使用 SR-IOV 绑定的二级接口。
- 在 SR-IOV 中使用 DPDK
- Data Plane Development Kit (DPDK) 提供了一组库和驱动程序，用于快速数据包处理。您可以配置集群和虚拟机，以通过 SR-IOV 网络运行 DPDK 工作负载。
- 为实时迁移配置专用网络
- 您可以为实时迁移配置专用 Multus 网络。专用的网络可最小化实时迁移期间对租户工作负载的网络饱和影响。
- 使用集群 FQDN 访问虚拟机
- 您可以使用其完全限定域名 (FQDN) 访问从集群外部附加到二级网络接口的虚拟机。
- 配置和查看 IP 地址
- 您可以在创建虚拟机时配置二级网络接口的 IP 地址。IP 地址使用 cloud-init 置备。您可以使用 OpenShift Container Platform Web 控制台或命令行查看虚拟机的 IP 地址。QEMU 客户机代理收集网络信息。
11.1.4.1. 比较 Linux 网桥 CNI 和 OVN-Kubernetes localnet 拓扑
下表提供了在使用 Linux bridge CNI 与 OVN-Kubernetes 插件的 localnet 拓扑相比可用功能的比较：
| 功能 | 在 Linux 网桥 CNI 上提供 | OVN-Kubernetes localnet 上提供 |
|---|---|---|
| 第 2 层访问 underlay 原生网络 | 仅在二级网络接口控制器(NIC)上。 | 是 |
| Layer 2 访问底层 VLAN | 是 | 是 |
| 网络策略 | 否 | 是 |
| 受管 IP 池 | 否 | 是 |
| MAC spoof 过滤 | 是 | 是 |
11.1.5. 与 OpenShift Service Mesh 集成
- 将虚拟机连接到服务网格
- OpenShift Virtualization 与 OpenShift Service Mesh 集成。您可以监控、视觉化和控制 pod 和虚拟机之间的流量。
11.1.6. 管理 MAC 地址池
- 为网络接口管理 MAC 地址池
- KubeMacPool 组件从共享 MAC 地址池为虚拟机网络接口分配 MAC 地址。这样可确保为每个网络接口分配唯一的 MAC 地址。从该虚拟机创建的虚拟机实例在重启后保留分配的 MAC 地址。
11.1.7. 配置 SSH 访问
- 配置对虚拟机的 SSH 访问
您可以使用以下方法配置到虚拟机的 SSH 访问：
您可以创建一个 SSH 密钥对，将公钥添加到虚拟机，并使用私钥运行
virtctl ssh命令连接到虚拟机。您可以在运行时将公共 SSH 密钥添加到 Red Hat Enterprise Linux (RHEL) 9 虚拟机，或者在第一次引导时使用 cloud-init 数据源配置的客户机操作系统的虚拟机。
您可以将
virtctl port-foward命令添加到.ssh/config文件中，并使用 OpenSSH 连接到虚拟机。您可以创建一个服务，将服务与虚拟机关联，并连接到该服务公开的 IP 地址和端口。
您可以配置二级网络，将虚拟机附加到二级网络接口，并连接到其分配的 IP 地址。
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}