Neutron DVR環境でのパケット処理を探る

第3回では、DVR環境でのパケット処理を解析してみます。少しだけ難しいですが、興味深い挙動がわかるので、最後までおつきあいください。

解析のためのコマンド

第2回で構築した手順では、NeutronのML2 pluginとしてOVS（Open vSwitch）を選択しています。この場合、仮想ルータの実態はNamespace（Linux Namespace）、iptables、OVSの組み合わせで構成されています。これを前提に、今回の解析で使うコマンドを以下に示します。なお出力結果は大量となるので、必要な箇所以外は適宜省略しています。

ネットワークの状態を把握する

パケット処理解析の前に、現在のOpenStack内部のネットワークがどのようになっているかを把握します。各テナントで、それぞれインスタンス（VM）を起動します。ネットワークトポロジー上では図1のようになっています。

図1：ネットワークトポロジー

最初にインタフェースやブリッジ等のネットワーク周りの状態を確認します。まずは、Controller + Network Serverの状態を確認します。

インタフェース名、ブリッジ名は、以下の手順で確認します。

次にNamespaceと、Namespace内のインタフェースを確認します。

続いて、OVSの構成確認をします。

以上の結果から判明したインタフェース、ブリッジ、IPアドレスを関連付けて図示すると、図2のようになります。

図2：Controller + Network Serverの状態

同様に、Compute Server1、2も調査します。今回の検証環境では、図3のようになっていることを確認しました（図が複雑なので、Management Network用のeth1は省略しています）。注目していただきたいのは、仮想ルータ用Namespaceをすべてのノードが同じ名前、同じインタフェース、同じIPアドレスで有している点です（図3の赤い点線部分）。

図3：全体の状態

これで、現在の状態がわかりました。それでは、実際にパケット処理を解析します。「別テナント上のインスタンス向けパケット」、「FIP（Floating IP）なしでのPublic Network向けパケット」、「FIPありでのPublic Network向けパケット」の順で解析していきます。

別テナント（セグメント）上のインスタンス向けパケット処理

非DVR環境では、別テナント向けの通信も、Network Server上の仮想ルータを経由していました。では、DVR環境下ではどうなっているのでしょうか。

Compute Server1上のインスタンスtest220-1（IPアドレス192.168.220.11、DFG 192.168.220.1）から、Compute Server2上のインスタンスtest210-1（IPアドレス192.168.210.14、DFG 192.168.210.1）へpingを実行します。パケット処理の大まかなあたりをつけるため、各サーバのTenant Networkのインタフェースでパケットをキャプチャします。

Controller + Network　Serverでは処理が行われず、Compute Server1、2だけで完結しています。Compute Server1、2は、それぞれ一つずつ仮想ルータを有しており、両テナント用のインタフェースを有しています。どの仮想ルータのインタフェースで処理されているかを確認するため、今度は仮想ルータ用Namespace内でパケットキャプチャをします。

ICMP echo requestはCompute Server1だけで、replyはCompute Server2だけで処理されていることがわかります。これを図示すると、図4のようになります。

図4：別テナント上のインスタンス向け通信

このようにDVR環境下では、別テナント上のインスタンス向け通信は、それぞれのインスタンスが動作しているCompute Server上の仮想ルータのみで処理されていることがわかります。