3.5. Red Hat OpenStack Platform 17.1 beta - 2023 年 6 月 15 日

在此次更新之前，实时迁移可能会失败，因为数据库没有使用目标主机详情进行更新。

在这个版本中，数据库中的实例主机值在实时迁移过程中被设置为目标主机。

在更新 Open Virtual Network (OVN)负载均衡器健康检查前，如果您使用与 Load Balancer Virtual IP (VIP)关联的浮动 IP (FIP)，如果使用了 FIP，则流量会被重定向到 Error 状态的成员。

在这个版本中，如果您使用浮动 IP (FIP)与 Load Balancer Virtual IP (VIP)关联，则为 FIP 创建新的负载均衡器健康检查，流量不会重定向到 Error 状态的成员。

在此次更新之前，计算服务(nova)不会自信检查虚拟机磁盘(VMDK)镜像文件的内容。通过使用特殊精心设计的 VMDK 镜像，可以将主机文件系统上的敏感文件公开给使用该 VMDK 镜像引导的客户机。在这个版本中，Compute 服务会信任检查 VMDK 文件并禁止泄漏行为所依赖的 VMDK 功能。不再可以使用特殊精心设计的 VMDK 文件泄漏敏感主机文件系统内容。

在此次更新之前，rgw_max_attr_size 的默认值为 256，它在上传大型镜像时为 OpenStack 上 OpenShift 造成问题。在这个版本中，rgw_max_attr_size 的默认值为 1024。

您可以通过在 overcloud 部署中包含的环境文件中添加以下配置来更改值：

parameters_default:
  CephConfigOverrides:
    rgw_max_attr_size: <new value>

在此次更新之前，在 RHOSP 部署的生命周期内无法更改 NovaHWMachineType，因为没有 hw_machine_type 镜像属性的机器类型会在硬重启或迁移后使用新配置的机器类型。更改实例的底层机器类型可能会破坏实例的内部 ABI。

在这个版本中，当启动实例时，计算服务会在实例的系统元数据中记录实例类型。因此，现在可以在 RHOSP 部署生命周期内更改 NovaHWMachineType，而不影响现有实例的机器类型。

这个版本引入了安全组日志记录功能。要监控流量流并尝试使用虚拟机实例，您可以为安全组配置网络服务数据包日志记录。

您可以将任何虚拟机实例端口与一个或多个安全组关联，并为每个安全组定义一个或多个规则。例如，您可以创建一个规则来将入站 ssh 流量丢弃到 finance 安全组中的任何虚拟机。您可以创建另一条规则，以允许该组中的虚拟机发送和响应 ICMP (ping)消息。

然后，您可以将数据包日志记录配置为记录接受和丢弃的数据包流的组合。

您可以将安全组日志记录用于有状态和无状态安全组。

日志记录的事件存储在托管虚拟机实例的计算节点上，位于 /var/log/containers/stdouts/ovn_controller.log 文件中。

此功能增强可帮助云用户确定他们无法访问"ACTIVE"实例的原因，因为托管该实例的 Compute 节点无法访问。现在，当主机 Compute 节点无法访问时，RHOSP 管理员可以配置以下参数，以启用自定义策略，这可以在云用户运行 openstack show server details 命令时可以提供 host_status 自动的状态：

在这个版本中，您可以使用备份和恢复工作流中的验证框架来验证恢复的系统状态。包括以下验证：

在这个版本中，由 overcloud-hardened-uefi-full.qcow2 整个磁盘 overcloud 镜像安装的 LVM 卷现在由一个精简池支持。卷仍然被增长为消耗可用的物理存储，但默认不会过度置备。

精简配置的逻辑卷的好处：

在 RHOSP 17.1 中，红帽建议同一 NIC 硬件上的所有物理功能(PF)都使用同一空间中的驱动程序。同一 NIC 上的 PFS 应该都使用在用户空间或内核空间中运行的驱动程序。

例如，如果 DPDK PMD 驱动程序使用 NIC1 上的 PF1，则 NIC1 上的 PF2 不应使用内核驱动程序。在本例中，NIC1 上的 PF 应该同时使用 DPDK PMD 驱动程序，或两者都使用内核驱动程序。

如果您在迁移到 OVN 机制驱动程序的过程中使用 IPv6 连接到虚拟机实例，则与实例的连接可能会在 ML2/OVN 服务启动时最多出现几分钟。

在迁移到 OVN 机制驱动程序时，IPv6 的路由器广告守护进程 radvd 会停止。在停止 radvd 时，路由器公告将不再广播。这个广播中断会导致 VM 实例连接在 IPv6 上丢失。新 ML2/OVN 服务启动后，会自动恢复 IPv6 通信。

临时解决方案： 要避免潜在的中断，请使用 IPv4。

目前，在 ML2/OVS 部署中，Open vSwitch (OVS)不支持设置 skb_priority、skb_mark 或输出队列字段的卸载 OpenFlow 规则。这些字段对于 virtio 端口的服务质量(QoS)支持是必需的。

如果您为 virtio 端口设置了最小带宽规则，则 Networking 服务(neutron) OVS 代理使用 Packet Mark 字段标记此端口的流量。此流量无法卸载，它会影响其他端口中的流量。如果您设置了带宽限制规则，则所有流量都标记为默认的 0 队列，这意味着无法卸载任何流量。

临时解决方案：如果您的环境包含 OVS 硬件卸载端口，请在需要硬件卸载的节点中禁用数据包标记。当您禁用数据包标记时，无法为 virtio 端口设置速率限制规则。但是，区分服务代码点(DSCP)标记规则仍然可用。

在配置文件中，将 disable_packet_marking 标志设置为 true。编辑配置文件时，您必须重启 neutron_ovs_agent 容器。例如：

$ cat `/var/lib/config-data/puppet-generated/neutron/etc/neutron/plugins/ml2/openvswitch_agent.ini`
  [ovs]
  disable_packet_marking=True

在 RHOSP 17.0 中，DNS 服务(designate)和负载均衡服务(octavia)被错误配置以实现高可用性。这些服务的 RHOSP 编排服务(heat)模板使用 Redis 模板的非 Pacemaker 版本。

临时解决方案：在 overcloud deploy 命令的 enable-designate.yaml 和 octavia.yaml 环境文件后包括 environments/ha-redis.yaml。

在使用 BGP 动态路由的 RHOSP 17.1 环境中，目前存在一个已知问题：浮动 IP (FIP)端口转发失败。

配置 FIP 端口转发时，发送到带有与 FIP 相等的目标 IP 的特定目标端口的数据包将从 RHOSP 网络服务(neutron)端口重定向到内部 IP。无论使用的协议是什么，都会出现这种情况：TCP、UDP 等。

配置 BGP 动态路由时，不公开执行 FIP 端口转发的路由，这些数据包无法访问其最终目的地。

目前，还没有临时解决方案。

红帽没有使用 AMD 处理器在 NFV 部署中验证 RHOSP 17.1 beta 版本。现在，测试正在进行，计划将在以后的发行版本中验证应用程序。

在红帽验证应用程序之前，请不要将 RHOSP 17.1 NFV 部署与 AMD 硬件用于生产环境。任何预先测试的应用程序都会面临意外结果的风险。

在带有 ML2/OVN 的 RHOSP 17.1 环境中使用 DVR 启用并使用 VLAN 租户网络，连接到不同租户网络的虚拟机之间的 east/west 流量会产生大量到光纤。

因此，这些虚拟机之间的数据包不仅到达运行那些虚拟机的计算节点，还到达任何其他 overcloud 节点。

这可能会给网络端造成影响，这可能是安全风险，因为光纤在任何位置发送流量。

这个程序错误将在后续 FDP 版本中解决，因此不需要 RHOSP 更新来获取它。

目前，Red Hat Ceph Storage (RHCS) 6.0 中的 Ceph RADOS 网关组件中的一个已知问题会导致使用 Identity 服务(keystone)令牌授权失败。请参阅 https://bugzilla.redhat.com/2188266。

因此，当使用 RADOS 网关作为 object-store 服务器配置 Red Hat Ceph Storage 时，Object Storage 服务(swift)客户端会失败，并返回代码 403/Unauthorized。这个问题没有包括在测试中部署了 RHCS 6.1 的预发布版本，这些版本在 2023 年 6 月 15 日正式发布。

此外，OpenStack 上的 OpenShift 集成尚未验证用于 beta 版，因为默认配置使用 RADOS 网关。以下临时解决方案是缓解这个问题，并可让您对 OpenStack 上的 OpenShift 集成进行初始测试。

临时解决方案：将 Object Storage 服务(swift)部署为 object-store 服务器而不是 RADOS 网关，即使为持久块存储服务(cinder)或 Image 服务(glance)存储启用 Ceph Storage 也是如此。为此，请在部署命令行中将 cephadm.yaml 环境文件替换为 cephadm-rbd-only.yaml。

当您使用 Object Storage 服务(swift)而不是 RADOS 网关配置为 object-store 服务器时，Object Storage 服务(swift)客户端可以正常工作。

在使用带有 OVN 的 BGP 动态路由的 RHOSP 17.1 环境中，存在一个已知问题：OVN BGP 代理使用的 Autonomous System Number (ASN)的默认值与 FRRouting (FRR)使用的 ASN 不同。

临时解决方案：确保 undercloud 和 overcloud 配置中使用的 tripleo 参数的值是 FrrBgpAsn 和 FrrOvnBgpAgentAsn。

目前存在一个已知问题：RHEL 9.2 中的 Retbleed 漏洞缓解可能会导致 Intel Skylake CPU 上带有 Data Plane Development Kit (OVS-DPDK)的 Open vSwitch 性能下降。

只有在 BIOS 中禁用了 C-states，超线程被启用，OVS-DPDK 只使用一个给定内核的超线程时，才会发生此性能回归。

临时解决方案：将核心的超线程分配给 OVS-DPDK 或将运行 DPDK 的 SRIOV 客户机（如 NFV 配置指南中的推荐）。

在使用 BGP 动态路由的 RHOSP 17.1 环境中，目前存在一个已知问题：在 overcloud 节点上运行的 OVN BGP 代理因为所提供的库(pyroute2)中存在错误。当出现这个问题时，不会从受影响的节点公告新的路由，新的或迁移的虚拟机、新的负载均衡器等连接可能会丢失。

临时解决方案：通过将以下行添加到 containers-prepare-parameter.yaml 中，在 ovn_bgp_agent 容器中安装 pyroute2 的更新版本：

ContainerImagePrepare:
- push_destination: true
  ...
  includes:
  - nova-compute
  modify_role: tripleo-modify-image
  modify_append_tag: "-hotfix"
  modify_vars:
    tasks_from: rpm_install.yml
    rpms_path: /home/stack/nova-hotfix-pkgs
  ...

如需更多信息，请参阅 将额外的 RPM 文件安装到容器镜像 中。

缓冲区超过安全组日志条目的日志队列有时会在达到指定限制前停止接受条目。作为临时解决方案，您可以设置超过您要保存的条目数的队列长度。

您可以使用参数 NeutronOVNLoggingRateLimit 设置每秒的最大日志条目数。如果日志条目创建超过那个速率，则过量在队列中会被缓冲到您在 NeutronOVNLoggingBurstLimit 中指定的日志条目数。

这个问题在突发的第一秒中尤其明显。在较长的突发（如 60 秒）中，速率限值更大，并补偿突发限制。因此，这个问题在短的突发中具有最大比例的影响。

临时解决方案：在比目标值高的值设置 NeutronOVNLoggingBurstLimit。根据需要观察和调整。

目前，当启用了安全基于角色的访问控制(SRBAC)时，DNS 即服务(designate)会被错误配置。如果您同时配置 SRBAC 和 DNS-as-a-Service，RHOSP 部署会失败。临时解决方案：要成功部署，请在 undercloud 服务器上应用以下补丁：

从 RHOSP 17.0 开始，ML2/OVS 机制驱动程序已弃用。

在多个版本中，红帽将 ML2/OVS 替换为 ML2/OVN。例如，从 RHOSP 15 开始，ML2/OVN 成为默认机制驱动程序。

通过 RHOSP 17 发行版本，支持已弃用的 ML2/OVS 机制驱动程序。在此期间，ML2/OVS 驱动程序保持维护模式，接收程序错误修复和正常支持，大多数新的功能开发都会在 ML2/OVN 机制驱动程序中发生。

在 RHOSP 18.0 中，红帽计划完全删除 ML2/OVS 机制驱动程序并停止支持它。

如果您的现有 RHOSP 部署使用 ML2/OVS 机制驱动程序，请立即开始评估迁移到机制驱动程序的计划。RHOSP 16.2 和 17.1 支持迁移。

红帽需要在尝试从 ML2/OVS 迁移到 ML2/OVN 前提交主动支持问题单。红帽不支持在没有主动支持问题单的情况下进行迁移。请参阅如何提交主动问题单。

使用 sensubility 通过 podman 监控 API 健康状态在 RHOSP 17.1 中已被弃用。

只有 sensubility 层已弃用。API 健康检查仍处于支持状态。sensubility 层存在与 Sensu 交互，它不再是一个受支持的接口。

Derived Parameters 功能已被删除。Derived Parameters 功能使用 openstack overcloud deploy 命令的 --plan-environment-file 选项进行配置。

临时解决方案/迁移说明

NFV 和 HCI overcloud 需要系统调整。系统调优有很多不同的选项。Derived 参数功能通过 director 调优系统，使用 openstack overcloud deploy 命令的 --plan-environment-file 选项检查硬件检查数据并设置调优参数。在 17.1 中删除了 Derived 参数功能。

以下参数由此功能调整：