第 1 章 OpenStack 网络简介

提供项目中虚拟机实例的连接。

项目网络主要启用常规（非特权）项目，在不涉及管理员的情况下管理网络。这些网络完全虚拟，需要虚拟路由器与其他项目网络和外部网络（如互联网）交互。项目网络通常还会为实例提供 DHCP 和元数据服务。RHOSP 支持以下项目网络类型： flat、VLAN、VXLAN、GRE 和 GENEVE。

如需更多信息，请参阅管理项目网络。

将虚拟机实例连接到项目外的网络。

提供商网络提供如项目网络的连接。但是，只有管理（非特权）用户可以管理这些网络，因为它们与物理网络基础架构进行接口。RHOSP 支持以下供应商网络类型：扁平和 VLAN。

在项目网络内，您可以使用浮动 IP 地址池或单个浮动 IP 地址将入口流量定向到虚拟机实例。使用网桥映射，您可以将物理网络名称（接口标签）与通过 OVS 或 OVN 创建的网桥关联，以允许提供商网络流量访问物理网络。

如需更多信息，请参阅将虚拟机实例连接到物理网络。

创建为边缘计算优化的网络。

Operator 可以创建通常在边缘部署中使用的路由供应商网络，它依赖于多个第 2 层网络段，而不是仅有一个网段的传统网络。

路由提供商网络为最终用户简化云，因为它们只看到一个网络。对于云操作员，路由供应商网络提供可扩展和容错能力。例如，如果发生重大错误，则只有一个片段会受到影响，而不是整个网络失败。

如需更多信息，请参阅 部署路由的供应商网络。

将您的网络资源高度可用。

您可以使用可用区(AZ)和虚拟路由器冗余协议(VRRP)保持网络资源高度可用。operator 组附加到不同 AZ 上不同电源源的网络节点。接下来，Operator 调度关键服务，如 DHCP、L3、FW 等，使其位于单独的 AZ 上。

RHOSP 使用 VRRP 使项目路由器和浮动 IP 地址高度可用。集中式路由，分布式虚拟路由(DVR)根据 VRRP 提供替代路由设计，该设计将部署 L3 代理并在每个 Compute 节点上调度路由器。

如需更多信息，请参阅使用可用区使网络资源高度可用。

在端口级别保护您的网络。

安全组为虚拟防火墙规则提供一个容器，用于控制入口（绑定到实例）和出口（从实例绑定）网络流量（通过端口级别出站）。安全组使用默认拒绝策略，仅包含允许特定流量的规则。每个端口都可以以补充的方式引用一个或多个安全组。防火墙驱动程序将安全组规则转换为底层数据包过滤技术的配置，如 iptables。

如需更多信息，请参阅配置共享安全组。

管理端口流量。

通过允许的地址对，您可以识别特定的 MAC 地址、IP 地址或两者，以允许网络流量通过端口传递，而不考虑子网。当您定义允许的地址对时，您可以使用 VRRP （虚拟路由器冗余协议）的协议，该协议在两个虚拟机实例之间浮点 IP 地址以启用快速数据平面故障转移。

如需更多信息，请参阅配置允许的地址对。

优化大型覆盖网络。

使用 L2 Population 驱动程序，您可以启用广播、多播和单播流量，以便在大型覆盖网络上扩展。

如需更多信息，请参阅配置 L2 填充驱动程序。

为虚拟机实例上的流量设置入口和出口限制。

您可以使用服务质量(QoS)策略为实例提供不同的服务级别，以将速率限制应用到出口和入口流量。您可以将 QoS 策略应用到单独的端口。您还可以将 QoS 策略应用到项目网络，其中没有附加特定策略的端口会继承策略。

如需更多信息，请参阅 配置服务质量(QoS)策略。

管理 RHOSP 项目可以创建的网络资源量。

借助网络服务配额选项，您可以设置用户可以创建的网络资源项目数量的限值。这包括端口、子网、网络等资源。

如需更多信息，请参阅管理项目配额。

优化用于网络功能虚拟化(SVVP)的虚拟机实例。

实例可以通过单个虚拟 NIC 发送和接收 VLAN 标记的流量。这对希望 VLAN 标记流量的 NFV 应用程序(VNF)特别有用，允许单个虚拟 NIC 为多个客户或服务提供服务。

在 VLAN 透明网络中，您可以在虚拟机实例中设置 VLAN 标记。VLAN 标签通过网络传输，并由同一 VLAN 上的虚拟机实例消耗，并被其他实例和设备忽略。VLAN 中继通过将 VLAN 合并到单个中继端口来支持 VLAN 感知实例。

如需更多信息，请参阅 VLAN 感知实例。

控制哪些项目可以将实例附加到共享网络。

在 RHOSP 网络服务中使用基于角色的访问控制(RBAC)策略，云管理员可以删除某些项目创建网络的能力，并可以让他们附加到与其项目对应的预先存在的网络。

如需更多信息，请参阅配置 RBAC 策略。