5.5. 网络

OpenStack 网络是一种独立服务，可在多个节点上部署多个进程。这些进程与其他 OpenStack 服务和其他 OpenStack 服务交互。OpenStack 网络服务的主要进程是 neutron-server，它是一个 Python 守护进程，它公开 OpenStack 网络 API，并将项目请求传递到一组用于额外处理的插件。

OpenStack 网络组件包括：

下图显示了 OpenStack 网络组件的架构和网络流程图：

View larger image

请注意，当使用分布式虚拟路由(DVR)和第 3 层高可用性(L3HA)时，这种方法会有很大变化。这些模式会改变 neutron 的安全状况，因为 L3HA 在路由器之间实现 VRRP。部署需要正确调整并强化，以帮助缓解对路由器的 DoS 攻击，而且路由器之间的本地网络流量必须被视为敏感，以帮助解决 VRRP 欺骗的威胁。DVR 将网络组件（如路由）移到 Compute 节点，同时仍然需要网络节点。因此，计算节点需要访问公共网络或从公共网络进行访问，增加其暴露，并要求客户进行额外的安全性考虑，因为需要确保防火墙规则和安全模型支持此方法。

5.5.1.1. Neutron 服务在物理服务器上放置

复制链接

本节介绍了包括控制器节点、网络节点以及一组用于运行实例的计算节点的标准架构。要为物理服务器建立网络连接，典型的 neutron 部署最多可有四个不同的物理数据中心网络：

View larger image

• 管理网络 - 用于 OpenStack 组件之间的内部通信。此网络上的 IP 地址应该只能在数据中心访问，并被视为管理安全区域。默认情况下，管理网络角色由 内部 API 网络执行。
• 客户机网络 - 用于云部署中的虚拟机数据通信。此网络的 IP 寻址要求取决于所使用的 OpenStack 网络插件，以及项目所提出的虚拟网络的网络配置选择。此网络被视为客户机安全区域。
• 外部网络 - 在一些部署场景中用于为虚拟机提供互联网访问功能。此网络上的 IP 地址应该可以被 Internet 上的任何人访问。此网络被视为在公共安全区中。该网络由 neutron External networks 提供。这些 neutron VLAN 托管在外部网桥上。它们不是由 Red Hat OpenStack Platform director 创建，而是在部署后由 neutron 创建。
• 公共 API 网络 - 将所有 OpenStack API （包括 OpenStack 网络 API）公开给项目。此网络上的 IP 地址应该可以被 Internet 上的任何人访问。这可能与外部网络相同，因为可以为外部网络创建子网，它使用 IP 分配范围小于 IP 块中的完整 IP 地址范围。此网络被视为在公共安全区中。

建议您将此流量划分为不同的区。如需更多信息，请参见下一节。