OpenStack TackerによるNFVオーケストレーション

OpenDaylightのユースケースにNFV（Network Functions Virtualization）があります。今回はNFVの視点から、Tacker（https://wiki.openstack.org/wiki/Tacker）について解説します。Tackerとは、OpenStackのプロジェクトの1つで、ETSI MANOアーキテクチャフレームワークに基づいたVNFM/NFVOの役割を果たすコンポーネントです。といっても、VNFM/NFVOって何？という方も多いと思いますので、ETSI（欧州電気通信標準化機構）が提唱するNFVについて簡単におさらいしておきます。

NFVアーキテクチャのおさらい

NFVとは、ファイアーウォールなどのこれまで専用のハードウェアアプライアンスで実現されていたネットワーク機能を、ソフトウェア（仮想マシン）として実現しようというものです。そのソフトウェアで動作するネットワーク機能をVNF（Virtualized Network Function）と呼びます。そして、VNFの実行基盤に必要なストレージやネットワークなどのハードウェアやハイパーバイザーなどのソフトウェアをNFVI（Network Functions Virtualization Infrastructure）と呼びます。

そうなると、VNFやNFVIをまとめて管理するコンポーネントが必要になってきます。それがNFV-MANO（NFV Management and Orchestration）になります。NFV-MANOは以下に示す3つの機能ブロックを持ちます。

1. VIM（Virtualized Infrastructure Manager）
   • NFVIのコンピューティング、ストレージおよびネットワークリソースの制御、管理を行います
2. NFVO（NFV Orchestrator）
   • NFVIのオーケストレーションやネットワークサービスのライフサイクルの管理を行います
3. VNFM（VNF Manager）
   • VNFの設定やテンプレートによる展開、ソフトウェアアップグレードの管理、イベント/障害検出、オートヒーリングなど、VNFインスタンスのライフサイクルの管理を行います

OpenStackでNFVを実現するためにTackerが担っているのは、これらの機能ブロックの中のNFVOとVNFMです。そして、将来的にはTackerはNeutronのnetworking-sfcを経由してOpenDaylight（以降、ODLと省略）を利用する仕組みになります。このTackerとODL連携の仕組みは、2016年4月現在、実装が進められている段階ですが、すでに各方面から注目されており、ODLを用いたNFVとして広く使われる可能性があります。

しかしながら、Tackerについては、OpenDaylight以上に、構築についての情報が少なく、手動による構築は難易度が高いです。前回まで、OpenStack環境の構築にDevStackを利用しました。そこで、今回もDevStackを利用してTackerを構築した後、VNFを作成して使ってみるところまで解説していきます。

環境・バージョンについて

今回の構築はシングルノードの構成とします。筆者の環境ではvSphere ESXi上にNested KVMを有効にしたUbuntuの仮想マシンを1台用意しています。この仮想マシンは、DevStackの性質上、ルート権限（sudo）での実行が可能である必要があります。さらに、ソースコードのダウンロードを行うためインターネットアクセスができる環境が必要です。

OpenStack環境の各コンポーネントはMitakaを使用します。

構築してみよう

それでは構築を始めていきます。まずは、構築を簡単にするためにファイアーウォールを無効化しておきます。

次にDevStackをダウンロードします。その際、gitコマンドが必要なので必要に応じてインストールしてください。ブランチ名はstable/mitakaを指定します。

今回使用するlocal.confをダウンロードします。

後は、stack.shスクリプトを実行するだけです。以下の様なメッセージが出力されれば終了です。

以上で構築作業は終了です。

デフォルトでnet_mgmt、external、net0、net1のネットワークとそれぞれのサブネットが作成されていることを確認します。

構築したOpenStackが、VIMとして登録されていることも確認します。

TackerでVNFをデプロイしてみよう

VNFを作成するには、先にVNFD（VNF Descriptor）を作成する必要があります。VNFDとはTOSCAで定義されたVNFのトポロジに対して、どのようにデプロイやオペレーションするかを定義したものです。TOSCA（Topology and Orchestration Specification for Cloud Applications）とは、クラウド上に展開されるシステム構成（トポロジ）を定義したものです。TOSCAを使用することによって、異なるベンダ間のクラウドアプリケーションおよびサービスをスムーズに導入でき、多種多様なクラウドをまたがったアプリケーションの可搬性を確保し、システムの移行や連携を容易にできるメリットが得られます。

今回使用するTOSCAテンプレートの中では、VNFインスタンスのイメージの指定の他、net0とnet1、net_mgmtという3つのネットワークをVNFインスタンスに接続するように定義しています。

VNFイメージの登録

今回使用するVNFは、ファイアーウォールに見立てた簡易的なもので、Ubuntuのイメージをベースに筆者が独自に作成しました。ファイアーウォール機能にはiptablesを使っています。まず、そのVNFイメージのダウンロードとGlanceへの登録を行います。

編注：Google DriveのWeb Hostingサービス廃止に伴いVNFイメージをThink ITのサーバーにホストするように変更しました。会員登録、ログイン後に記事末からダウンロードをお試しください。

このVNFイメージを起動するために、RAMが3GB、ディスクが20GB程度のフレーバーを用意します。myvnf_flavorという名前のフレーバーを作成します。TOSCAテンプレート内でフレーバーを指定しているので同じ名前で作成して下さい。

VNFDの作成

それではVNFDを作成しますが、先にTOSCAテンプレートをダウンロードします。

VNFの作成

先ほど作成したVNFDのIDを指定してVNFを作成します。完了するまで、1分程度かかる場合があります。

以下の様に、作成したVNFのステータスが「PENDING_CREATE」から「ACTIVE」になれば作成完了です。

VNFインスタンスはserviceテナントに作られる

Novaコマンドから、VNFインスタンスの状態を確認してみます。

先ほど作成したVNFインスタンスが見当たりません。実は、tackerによって展開されるVNFインスタンスはserviceテナントに作成されます。--all-tenantオプションを付けると全テナントのインスタンスが取得できます。

VNFの構成

今回作成したVNFインスタンスはnet0とnet1およびnet_mgmtのネットワークに接続されています。

net0はVNFインスタンスへのインバウンドパケットのためのネットワーク、それに対してnet1はVNFインスタンスからのアウトバウンドパケットのためのネットワークです。net_mgmtというネットワークはVNFインスタンスのための管理用ネットワークです。管理用ネットワークは、VNFインスタンスの設定やヘルスチェックなどを行うためのネットワークなので、全てのVNFインスタンスが接続されることになります。VNFの構成はTOSCAテンプレートで記述すると説明しましたが、今回使用したTOSCAテンプレートの中で、VNFインスタンスのイメージや接続するネットワーク、ヘルスチェックなど、VNFの構成を定義しています。

VNFを使ってみる

では、実際にVNFインスタンスを使ってみます。先ほど作成したVNFはiptablesを使った簡易的なファイアーウォール機能として動作します。

VNFインスタンスにはネットワークnet0とnet1が接続されていました。そこで、それぞれのネットワークにクライアントとなるインスタンスnet0-vm（cirros）とnet1-vm（cirros）を作成し疎通確認をしてみます。インスタンスはadminテナントで作成します。疎通確認は次の2点を確認します。

1. 初期状態のVNFの設定ではnet0からnet1宛のpingが到達すること
2. VNF（iptables）を設定することによって、net0からnet1宛のpingがブロックされるようになること

経路情報の追加

net0とnet1のインスタンス間をVNF経由で相互に通信できるように経路情報を登録する必要があります。まず、VNFのnet0側とnet1側のIPを調べます。

経路情報を登録します。

インスタンスの作成

それでは、net0-vmとnet1-vmを作成します。pingによる疎通確認さえできれば良いのでcirrosイメージを使用します。externalネットワークからインスタンスにSSH接続出きるようにフローティングIPも割り当てます。

今回使用しているVNFインスタンスは、初期状態で全てのパケットの転送を許可するようにしています。そのため、今の状態ではnet0からnet1への通信はできるようになっています。

別のターミナルを開き、net0-vmにSSHログインしてnet1-vmにping疎通ができることを確認してみます。フローティングIPから接続します。ユーザー名に「cirros」で、パスワードに「cubswin:)」を入力することでログインできます。

net0-vmからnet1-vmへの疎通が確認できました。それでは、VNFの設定を変更してnet0からnet1へのパケットをブロックします。

VNFの設定はマネジメントネットワークnet_mgmtからSSH接続して行います。まず、VNFのマネジメントネットワークのIPアドレスを確認します。

ユーザ名に「user」、パスワードに「password」を入力してVNFにSSHログインします。

今回しようしているVNFのファイアーウォール機能にはiptablesを使用しています。net0からnet1への転送を拒否するように設定を変更します。

net0-vmからnet1-vmへの疎通を確認してみます。

VNFの設定を変更したことにより、net0-vmからnet1-vmへのping疎通ができなくなったことが確認できました。

再度、通信を許可するには以下の様に設定します。

今回はOpenStackでNFVを実現するTackerをご紹介しました。ぜひOpenStack Tackerを使ったNFVの構築にチャレンジしてみて下さい。OpenDaylightと連携するための実装も進められているので、ドキュメントも充実していき、OpenDaylightユーザにとってもますます注目すべきコンポーネントとなっていくでしょう。