架构指南

OpenStack 网络处理 OpenStack 云中虚拟网络基础架构的创建和管理。基础架构元素包括网络、子网和路由器。您还可以部署防火墙或虚拟专用网络(VPN)等高级服务。

OpenStack 网络为云管理员提供了相应的灵活性，决定在哪些物理系统上运行。所有服务守护进程可以在单一物理主机中运行，以进行评估。或者，每个服务都可以有一个唯一的物理主机，或者在多个主机间复制，以提供冗余。

由于 OpenStack 网络是软件定义的，它可以实时响应更改的网络需求，如创建和分配新的 IP 地址。

OpenStack 网络的优点包括：

OpenStack 网络服务和代理的放置取决于网络要求。下图显示了没有控制器的通用部署模型示例。此模型利用专用的 OpenStack 网络节点和租户网络。

示例显示了以下网络服务配置：

OpenStack Block Storage 为虚拟硬盘提供持久的块存储管理。块存储允许用户创建和删除块设备，并管理向服务器附加块设备。

设备的实际附加和分离是通过与计算服务的集成来处理的。您可以使用地区和区域来处理分布式块存储主机。

您可以在性能敏感的场景中使用块存储，如数据库存储或可扩展文件系统。您还可以将其用作可访问原始块存储的服务器。另外，您可以获取卷快照来恢复数据或创建新块存储卷。快照依赖于驱动程序支持。

OpenStack Block Storage 的优点包括：

虽然主要的块存储服务（如卷、调度程序、API）可以共存到生产环境中，但它比部署卷服务的多个实例以及多个 API 和调度程序服务实例来管理它们更为常见。

下图显示了块存储 API、调度程序、卷服务和其他 OpenStack 组件之间的关系。

对象存储为大量数据提供 HTTP 可访问的存储系统，包括视频、镜像、电子邮件消息、文件或虚拟机镜像等静态实体。对象作为二进制文件存储在底层文件系统中，以及存储在各个文件的扩展属性中的元数据。

对象存储分布式架构通过基于软件的数据复制，支持水平扩展以及故障转移冗余。由于该服务支持异步和最终一致性复制，因此您可以在多个数据中心部署中使用它。

OpenStack Object Storage 的优点包括：

对象存储使用 ring .gz 文件，该文件充当数据库和配置文件。这些文件包含所有存储设备的详细信息，以及存储实体到各个文件的物理位置的映射。因此，您可以使用 ring 文件来确定特定数据的位置。每个对象、帐户和容器服务器都有唯一的 ring 文件。

对象存储服务依赖于其他 OpenStack 服务和组件来执行操作。例如，需要 Identity Service (keystone)、rsync 守护进程和负载均衡器。

下图显示了对象存储用于与其他 OpenStack 服务、数据库和代理交互的主要接口。

OpenStack 数据库即服务允许用户选择、配置和操作各种相关和非关系数据库，并开箱即用处理更复杂的数据库管理任务。

OpenStack Database-as-a-Service 优点包括：

下图显示了 Database-as-a-Service 和其他 OpenStack 服务之间的关系。

OpenStack Compute 通过按需提供虚拟机，充当 OpenStack 云的核心。计算通过定义与底层虚拟化机制交互的驱动程序并将虚拟机调度到一组节点上运行，并通过向其他 OpenStack 组件提供功能。

计算支持使用 KVM 作为 hypervisor 的 libvirt 驱动程序 libvirtd。hypervisor 创建虚拟机并启用从节点实时迁移到节点。要置备裸机，您还可以使用 第 1.3.2 节 “OpenStack Bare Metal Provisioning (ironic)”。

计算与身份服务交互，以验证实例和数据库访问，以及访问镜像服务，以及启动实例的仪表板服务，以及提供用户和管理界面的控制面板服务。

您可以根据项目和用户限制对镜像的访问，并指定项目和用户配额，如单个用户可创建的实例数量。

部署 Red Hat OpenStack Platform 云时，您可以根据不同的类别划分云：

下图显示了计算服务和其他 OpenStack 组件之间的关系。

OpenStack 裸机置备使用户能够为具有特定硬件驱动程序的各种硬件供应商调配物理或裸机。裸机调配与计算服务集成，以调配虚拟机的方式调配裸机，并为 裸机到可信租户 用例提供解决方案。

OpenStack 裸机置备优势包括：

裸机恢复调配使用计算服务进行调度和配额管理，并使用 Identity 服务进行身份验证。实例镜像必须配置为支持裸机置备，而不是 KVM。

下图显示了在置备物理服务器时 Ironic 和其他 OpenStack 服务如何交互：

下图中演示了 Ironic API：

OpenStack 镜像充当虚拟磁盘镜像的注册表。用户可以添加新镜像，也可以为现有服务器生成快照以进行即时存储。您可以使用快照进行备份，或用作新服务器的模板。

注册的镜像可以存储在对象存储服务或其他位置中，如简单文件系统或外部 Web 服务器。

支持以下镜像磁盘格式：

容器格式也可以由镜像服务注册。容器格式决定了要存储在镜像中的虚拟机元数据的类型和详细级别。

支持以下容器格式：

下图显示了镜像服务用来注册和检索镜像数据库的主要接口。

OpenStack 编排提供模板来创建和管理云资源，如存储、网络、实例或应用。模板用于创建堆栈，这些堆栈是资源的集合。

例如，您可以为实例、浮动 IP、卷、安全组或用户创建模板。编排通过单一模块化模板提供对所有 OpenStack 核心服务的访问，以及自动扩展和基本高可用性等功能。

OpenStack 编排优势包括：

下图显示了编排服务用于创建两个新实例和本地网络的新堆栈的主要接口。

OpenStack 数据处理支持在 OpenStack 上调配和管理 Hadoop 集群。Hadoop 在群集中存储和分析大量非结构化和结构化数据。

Hadoop 集群是可以充当运行 Hadoop 分布式文件系统(HDFS)的存储服务器组，运行 Hadoop 的 MapReduce (MR)框架或两者。

Hadoop 集群中的服务器需要驻留在同一网络中，但不需要共享内存或磁盘。因此，您可以在不影响现有服务器兼容性的情况下添加或删除服务器和集群。

Hadoop 计算和存储服务器共同定位，支持对存储数据的高速分析。所有任务都划分到服务器间，并使用本地服务器资源。

OpenStack Data Processing 优点包括：

数据处理支持 Cloudera (CDH)和 Hortonworks Data Platform (HDP)发行版以及特定于供应商的管理工具，如 Apache Ambari。您可以使用 OpenStack 仪表板或命令行工具来置备和管理集群。

下图显示了数据处理服务用于调配和管理 Hadoop 集群的主要接口。

OpenStack Identity 为所有 OpenStack 组件提供用户身份验证和授权。身份支持多种身份验证机制，包括用户名和密码凭据、基于令牌的系统和 AWS 样式的日志。

默认情况下，身份服务使用 MariaDB 后端作为令牌、目录、策略和身份信息。对于开发环境，建议使用此后端，或者验证较小的用户集。您还可以同时使用多个身份后端，如 LDAP 和 SQL。您还可以使用 memcache 或 Redis 进行令牌持久性。

身份支持与 SAML 的联邦。联邦身份在身份提供程序(IdP)和为最终用户提供的服务之间建立信任。

OpenStack Identity 的优点包括：

下图显示了 Identity 用来对与其他 OpenStack 组件验证用户身份的基本身份验证流程。

OpenStack 控制面板为用户和管理员提供了一个图形用户界面，供用户和管理员执行诸如创建和启动实例、管理网络和设置访问控制等操作。

控制面板服务提供 Project、Admin 和 Settings 默认仪表板。模块化设计使仪表板能够与其他产品（如计费、监控和其他管理工具）进行接口。

下图显示了 Admin 控制面板中的 Compute 面板的示例。

登录到仪表板的用户的角色决定了哪些仪表板和面板可用。

下图显示了仪表板架构的概述。

示例显示了以下交互：

OpenStack Telemetry 为基于 OpenStack 的云提供用户级使用情况数据。数据可用于客户计费、系统监控或警报。Telemetry 可以从现有 OpenStack 组件（如计算使用事件）发送的通知收集数据，或者通过轮询 OpenStack 基础架构资源（如 libvirt ）来收集。

Telemetry 包括一个存储守护进程，它通过可信消息传递系统与经过身份验证的代理通信，以收集和聚合数据。另外，该服务使用插件系统来添加新监控器。您可以在不同的主机上部署 API 服务器、中央代理、数据存储服务和收集器代理。

该服务使用 MongoDB 数据库来存储收集的数据。只有收集器代理和 API 服务器有权访问数据库。

下图显示了由 Telemetry 服务使用的接口。

有些 Red Hat OpenStack Platform 组件使用第三方数据库、服务和工具。

如果您在两个独立交换机中使用两个 LAN，您可以使用以下方法将它们相互共享信息：

虚拟局域网(VLAN)允许您为在同一交换机上运行的计算机分段网络流量。您可以通过将端口配置为不同网络的成员来对交换机进行逻辑划分。此配置会将端口转换为 mini-LANs，允许您为安全目的分隔流量。

例如，如果您的交换机有 24 个端口，您可以定义端口 1-6 属于 VLAN200，端口 7-18 属于 VLAN201。插入 VLAN200 的计算机与 VLAN201 上的计算机完全独立，且无法直接通信。两个 VLAN 之间的所有流量现在都必须通过路由器，就像它们是两个独立的物理交换机一样。您还可以增强防火墙的安全性，以确定哪些 VLAN 可以相互通信。

防火墙与 IP 路由位于同一个 OSI 层。它们通常位于与路由器相同的网络段中，它们管理所有网络之间的流量。防火墙使用预定义的规则集，它们规定哪些流量可以或无法进入网络。这些规则可能非常精细的。例如，您可以定义一个规则，其中 VLAN 200 上的服务器只能与 VLAN201 上的计算机通信，并且仅当流量是 Web (HTTP)并移动一个方向时。

为了帮助强制实施这些规则，一些防火墙也会执行有状态数据包调用(SPI)，在其中检查数据包的内容以确保它们声明是什么。黑客通过发送伪装作为其他内容的流量来消除数据，SPI 是一种有助于缓解威胁的方法。

网桥是运行在 OSI 模型的同一级别 2 的交换机，但它们的唯一功能是将独立的网络连接在一起，类似于路由器。

OpenStack 网络在集中式网络节点上托管虚拟路由器，这是专用于托管虚拟网络组件功能的物理服务器。这些虚拟路由器将流量定向到虚拟机，并且对环境继续连接至关重要。由于由于许多原因，物理服务器可能会遇到中断问题，因此当网络节点不可用时，您的虚拟机可能会受到停机的影响。

OpenStack 网络使用第 3 层高可用性来帮助缓解此漏洞，实施行业标准 VRRP 来保护虚拟路由器和浮动 IP 地址。使用第 3 层高可用性时，租户的虚拟路由器在多个物理网络节点上随机分布，一个路由器被指定为活跃路由器，而其他路由器则准备好接管托管活跃路由器的网络节点是否中断。

如需更多信息，请参阅网络指南中的"Layer 3 高可用性" 章节。

负载平衡即服务(LBaaS)使 OpenStack 网络能够在指定的实例之间平均分配传入的网络请求。此发行版可确保工作负载在实例之间共享，有助于更有效地使用系统资源。传入的请求使用以下负载均衡方法之一分发：

如需更多信息，请参阅网络指南中的"配置负载平衡即服务"部分。

OpenStack 网络支持租户网络中的 IPv6 地址，以便您可以为虚拟机动态分配 IPv6 地址。OpenStack 网络也可以与物理路由器上的 SLAAC 集成，以便虚拟机可以从现有的 DHCP 基础架构接收 IPv6 地址。

有关更多信息，请参阅 《网络指南》 中的"IPv6"章节。

要执行短期容量规划和预测，请考虑捕获以下指标的记录：

vCPU、vRAM 和延迟指标是容量规划的最可访问。通过这些详细信息，您可以应用标准的第二排序回归，并获得一个可用容量估算，涵盖以下三个月。使用此估算来确定是否需要部署额外硬件。

此模型需要检查迭代，您必须估算预测趋势和实际使用情况的偏差。您可以使用标准统计工具或特殊分析模型（如 Nash-Sutcliffe ）分析此信息。也可以使用第二顺序回归来计算趋势。

总资源使用量可能在一年内有所不同，通常发生自原始长期容量估算的偏差。因此，对于容量预测，第二排序回归可能不足，特别是在使用cyclical 时。

在计划长期部署时，基于超过一年的数据的容量规划模型必须至少适合第一天。根据使用情况模式，可能还需要频率分析。

每个创建的实例都会提供一个类别或资源模板，它决定了实例大小和容量。类别也可以指定辅助临时存储、交换内存、用于限制使用的元数据，或者特殊项目访问权限。默认类别没有定义这些额外属性。实例类型允许测量容量预测，因为常见的用例是可预测的大小，而不是调整其大小。

为方便将虚拟机打包到物理主机，默认选择类别提供第二个最大类别的大小，即每个维度中最大的类别的大小。该类别具有一半的 vCPU、半个vRAM 和一半的临时磁盘。每个后续的最大类别都是之前类别的一半。

下图显示了通用计算设计中类别分配的可视化表示，以及 CPU 优化的打包服务器：

对于商用服务器硬件的典型配置，建议使用默认类别。为最大化利用率，您可能需要自定义类别或创建新类别，使实例大小与可用硬件保持一致。

如果可能，请将您的类别限制为每个类别的一个 vCPU。请注意，类型 1 管理程序可以更轻松地将 CPU 时间调度到配置了一个 vCPU 的虚拟机。例如，将 CPU 时间调度到配置了 4 个 vCPU 的虚拟机的虚拟机监控程序必须等到四个物理内核可用，即使任务只需要一个 vCPU。

工作负载特征也可以影响硬件选择和类别配置，特别是任务存在不同 CPU、RAM 或 HDD 要求的情况。有关类别的详情，请参阅管理实例和镜像。

Red Hat OpenStack Platform 中的默认分配比率是每个物理或超线程内核 16 个 vCPU。

下表根据可用内存（包括为系统保留 4GB）在物理主机中可以运行的最大虚拟机数量：

例如，规划一个初始的 greenfields 代表 60 个实例，需要 3+1 计算节点。通常，内存瓶颈比 CPU 瓶颈要多。但是，如果需要，每个物理内核可将分配比率降低到 8 个 vCPU。

KVM hypervisor 需要少量的虚拟机内存开销，包括非共享内存。QEMU/KVM 系统的可共享内存可以为每个管理程序舍入为 200 MB。

通常，您可以估计每个虚拟机的 100mb 的管理程序开销。

内存是虚拟机监控程序部署的一个限制因素。您可以在每个物理主机上运行的虚拟机数量受主机可访问的内存量的限制。例如，部署具有 256GB RAM 和 200GB 实例的四核 CPU 会导致性能不佳。因此，您必须仔细确定 CPU 内核和内存的最佳比例，以便在实例之间分发。

您可以考虑 Compute 节点的以下附加设备：

如果您为外部存储考虑 Ceph，则必须调整 Ceph 集群后端的大小，才能处理具有合理的延迟的并发虚拟机数量。可接受的服务级别可以在 20ms 下维护 99% 的 I/O 操作，用于写入操作，在 10ms 下，用于读取操作。

您可以通过配置每个 Rados 块设备(RBD)的最大带宽或设置最低保证承诺，将 I/O 高峰与其他虚拟机隔离。

OpenStack 云传统上有多个网络段。每个片段提供对云中资源的访问权限，供操作员和租户使用。网络服务还需要与其他网络分开的网络通信路径。将服务隔离到单独的网络有助于保护敏感数据并防止未经授权的访问服务。

最低推荐的隔离涉及以下网络段：

您选择的网络类型在云网络架构设计中扮演关键角色。

网络硬件没有单一最佳实践架构来支持 OpenStack 云，您可以适用于所有实施。选择网络硬件的关键考虑因素包括：

网络要求有助于确定性能功能。例如，较小的部署可能会使用 1 千兆位以太网(GbE)网络，并为多个部门或许多用户提供服务的大型安装应使用 10 GbE 网络。

运行实例的性能可能会受这些网络速度的限制。您可以设计运行多种网络功能的 OpenStack 环境。通过利用不同的接口速度，OpenStack 环境的用户可以选择符合其目的的网络。

例如，web 应用程序实例可以在带有 OpenStack 网络 1GbE 功能的公共网络中运行，后端数据库可以使用具有 10 GbE 功能的 OpenStack 网络来复制其数据。在某些情况下，设计可以纳入链路聚合来提高吞吐量。

通过实施向云 API 提供前端服务的硬件负载均衡器，可以提升网络性能。如果需要，硬件负载均衡器也可以执行 SSL 终止。在实现 SSL 卸载时，验证所选设备的 SSL 卸载功能非常重要。

计算节点中使用的硬件规格（包括 CPU、内存和磁盘类型）直接影响实例的性能。OpenStack 服务中的可调参数也可以直接影响性能。

例如，OpenStack Compute 的默认 over-commit 比率为 16:1，CPU 和 1.5 内存。这些高比例可能会导致"无法"活动增加。您必须仔细调整 Compute 环境的大小，以避免这种情况，并确保在使用量增加时监控您的环境。

块存储可以使用 NetApp 或 EMC 等企业后端系统，如 Ceph，或者利用块存储节点中直接附加存储的功能。

可以部署块存储，使流量遍历主机网络，这可能会受到前端 API 流量性能的影响。因此，请考虑使用带有控制器和计算主机上专用接口的专用数据存储网络。

用户通常通过代理服务访问对象存储，该服务在硬件负载均衡器后面运行。默认情况下，高弹性存储系统复制存储的数据，这可能会影响整体系统性能。在这种情况下，建议在存储网络构架中推荐 10 GbE 或更高的网络容量。

控制器节点为最终用户提供管理服务，并在内部为云操作提供服务。务必要仔细设计用于运行控制器基础架构的硬件。

控制器在服务间为系统消息传递运行消息排队服务。消息传递中的性能问题可能会导致操作功能（如启动和删除实例、置备新存储卷和管理网络资源）的延迟。这些延迟还可能会影响应用程序对某些条件做出反应的能力，特别是在使用自动扩展功能时。

您还需要确保控制器节点可以处理多个并发用户的工作负载。确保 API 和 Horizon 服务已加载，以提升您客户的服务可靠性。

务必要考虑 OpenStack Identity Service (keystone)，它在 OpenStack 和最终用户内部为所有服务提供身份验证和授权。如果该服务没有适当大小，则这个服务可能会导致整体性能降低。

监控非常重要的指标包括：

您的设计可能会受到您的备份和恢复策略、数据评估或分层存储管理、保留策略、数据放置和工作流自动化的影响。

有效的云构架应支持以下内容：

例如，如果计算主机失败，则可能会从快照中恢复实例，或者通过重新生成实例来恢复。但是，为了获得高可用性，您可能需要部署额外的支持服务，如共享存储或设计可靠的迁移路径。

在线分类广告公司希望在私有云中运行包括 Apache Tomcat、Nginx 和 MariaDB 的 Web 应用程序。为满足策略要求，云基础架构将在公司数据中心内运行。

公司具有可预测的负载要求，但需要随着需求不断增长而扩展以应对。当前环境没有与运行开源 API 环境的公司目标保持一致的灵活性。

当前环境由以下组件组成：

公司运行硬件负载均衡器以及为 Web 站点提供服务的多个 Web 应用程序。环境编排使用脚本和 Puppet 的组合。网站每天都会生成大量需要存档的日志数据。

本例中的架构包含三个控制器节点和至少 8 个 Compute 节点。它使用 OpenStack Object Storage 进行静态对象，并将 OpenStack Block Storage 用于所有其他存储需求。

为确保 OpenStack 基础架构组件高度可用，节点将 Pacemaker 附加组件用于 Red Hat Enterprise Linux 和 HAProxy。

架构包括以下组件：

Compute 服务安装在每个 Compute 节点上。

这种通用架构可以最多运行 140 个 Web 实例，而少量 MariaDB 实例需要 292 个 vCPU 和 584 GB RAM。在具有超线程双插槽十六进制 Intel CPU 的典型 1U 服务器上，假设 2:1 CPU over-commit 比例，此架构需要 8 个 Compute 节点。

Web 应用实例从每个 Compute 节点上的本地存储运行。Web 应用实例是无状态的，因此当其中一个实例出现故障时，应用可以继续运行。

对于存储，请使用扩展的解决方案，并包含服务器中直接附加的存储。例如，您可以在计算主机上填充存储，其方式类似于网格计算解决方案，或在专门提供块存储的专用主机上填充存储。

如果您在计算主机中部署存储，请确保硬件可以处理存储和计算服务。

组织为研究项目提供 HPC，需要将第三个计算中心添加到欧洲的两个现有计算中心。

下表列出了要添加的每个计算中心的要求：

此架构使用单元格来隔离计算资源，并在不同数据中心之间透明扩展。这个决定会影响对安全组和实时迁移的支持。此外，它需要跨单元手动复制一些配置元素，如类别。但是，单元在向用户公开一个公共 API 端点时提供所需的扩展。

云对两个原始数据中心使用一个计算单元，每当您添加新数据中心时，都将创建新的计算单元。每个单元都包含三个可用区，用于进一步隔离计算资源，以及至少三个为具有镜像队列以实现高可用性的集群配置的 RabbitMQ 消息代理。

位于 HAProxy 负载均衡器后面的 API 单元位于 Switzerland 的数据中心。API 单元使用单元调度程序的自定义变体将 API 调用定向到计算单元。自定义允许某些工作负载路由到特定数据中心，或基于单元 RAM 可用性的所有数据中心。

您还可以使用过滤器来自定义处理单元格中放置的计算调度程序。例如，ImagePropertiesFilter 根据客户机运行的操作系统（如 Linux 或 Windows）提供特殊处理。

中央数据库团队使用 NetApp 存储后端在主动/被动配置中管理每个单元格的 SQL 数据库服务器。备份每 6 小时运行一次。

除了 第 3 章 设计 和计算节点设计注意事项 中描述的基本设计注意事项外，还需要考虑以下项目用于计算密集型架构。

云存储模型将数据存储在物理存储设备上的逻辑池中。这种架构通常被称为集成存储云。

云存储通常是指托管的对象存储服务。但是，术语也可以包括作为服务可用的其他类型的数据存储。OpenStack 提供 Block Storage (cinder)和 Object Storage (swift)。云存储通常在虚拟基础架构上运行，类似于接口可访问性、弹性、可扩展性、多租户和量表资源方面的更广泛的云计算。

您可以在内部或内部使用云存储服务。云存储对冗余和数据分布具有高度容错性，具有版本控制副本，可以执行一致的数据复制。

云存储应用程序示例包括：

有关 OpenStack 存储服务的更多信息，请参阅 第 1.2.2 节 “OpenStack Object Storage (swift)” 和 第 1.2.1 节 “OpenStack Block Storage (cinder)”。

对大型数据集的分析高度依赖于存储系统的性能。并行文件系统可以提供高性能数据处理，并推荐用于大规模以性能为导向的系统。

数据库架构从高性能存储后端中受益。虽然企业存储不是必需的，但许多环境包括 OpenStack 云可以用作后端的存储。

您可以创建一个存储池来为实例和对象接口为块设备提供 OpenStack Block Storage。在这种架构中，数据库 I/O 要求很高，需要来自快速 SSD 池的存储。

除了 第 3 章 设计 和存储节点设计 第 3.3 节 “存储资源” 中描述的基本设计注意事项外，还应该考虑以下项目用于存储密集型架构。

由于基于服务的性质，所有 OpenStack 部署都依赖于网络通信才能正常工作。然而，在某些情况下，网络配置更为重要，需要其他设计注意事项。

下表描述了常见以网络为中心的架构。这些架构依赖于可靠的网络基础架构，以及满足用户和应用程序要求的服务。

这种架构适用于提供文件存储和文件共享的云。您可以考虑以存储为中心的用例，但网络端要求使其成为以网络为中心的用例。

此架构适用于大规模 Web 应用，可横向扩展并产生高实例数。应用程序需要 SSL 连接安全数据，且不得丢失到各个服务器的连接。

除了 第 3 章 设计 中描述的基本设计注意事项以及 第 2 章 Network In-Depth 中描述的网络节点设计外，还应该考虑以下项目用于网络密集型架构。