Calico creates and manages a flat layer 3 network, assigning each workload a fully routable IP address.

官网：https://www.projectcalico.org/

实现目标

随着云计算的发展，安全方面得到越来越多的重视，但云安全这块领域应该才算刚起步，目前各个传统安全厂商将各自的安全产品云化也只是将镜像抠出来部署进云环境，然后使用传统的处理方式将流量引入安全设备进行处理。

春去秋来，大江南北，又听见你的呼吸在笑
一路同行，just you！
@致25岁的大喵

TAPaaS，全称为Tap as a Service，其主要功能是将流量镜像到特定的、运行有流量分析软件的虚拟机中，以实现租户流量的可视化。

数据类型

TaaS中主要定义了两个数据类型，如下：

接触过 TripleO 的小伙伴应该已经领略过它的网络结构了，不得不说，还是蛮复杂的。那对于 TripleO-QuickStart 这玩意儿是否有过好奇，那么多结构是怎么在一台机器里面虚拟实现出来的？
之前花了一天的时间研究过一遍，当时的感受就是，厉害了，网络还可以这么玩。但由于一直在开发 Policy-based Routing，没时间将细节记录下来。
这就导致经常有小伙伴来找我解决相关问题时，我要把那玩意儿的网络结构再现撸一遍。就是今天，又有小伙伴问我怎么把服务面板暴露出去，easy，一层一层写 iptables 映射出去啊。
How？mmmp，又要撸一遍网络是怎么实现的。所以这次手头再忙，我也要把这玩意儿网络结构的大概给记录下来！！！

简介

VPN的英文全称是“Virtual Private Network”，翻译过来就是“虚拟专用网络”。顾名思义，虚拟专用网络我们可以把它理解成是虚拟出来的企业内部专线。它可以通过特殊的加密的通讯协议在连接在Internet上的位于不同地方的两个或多个企业内部网之间建立一条专有的通讯线路，就好比是架设了一条专线一样，但是它并不需要真正的去铺设光缆之类的物理线路。一句话，VPN的核心就是在利用公共网络建立虚拟私有网。

简介

Octavia 是一款开放源码的运营商级负载平衡解决方案，旨在与 OpenStack 配合使用。
Octavia 之前由 Neutron LBaaS 项目承担，影响了Neutron LBaaS项目的转型，Neutron LBaaS 从版本1转为版本2。从OpenStack的Liberty发行版开始，Octavia 成为Neutron LBaaS第2版的参考实现。从 Pike 版本开始，Octavia 就可以作为独立的Keystone服务而不再是 Neutron 的一个 service plugin，同时，CLI 命令也作为 openstack 命令行的一部分，而不是通过 neutron 调用。
Octavia通过管理一组虚拟机，容器或裸机（通常称为amphora）来完成其负载均衡服务的交付。 这种按需、横向扩展特性将Octavia与其他负载平衡解决方案区分开来，从而使Octavia真正适合“云”。
说白了，就是将用户的API请求经过逻辑处理，转换成haproxy和keepalived的配置参数，下发到amphorae虚拟机中。

概述

Neutron的SFC (Service Function Chaining, SFC, 业务链)是由华为主导并开发的一个neutron下的服务框架。
其目的是动态建立服务链使不同租户的流量可以按照不同顺序导向不同的服务功能模块。其概念类似于策略路由, 即SFC使网络报文流量走特定的路径,而不是通过IP目的地址来查看路由表得最终目的地。

刚接触devstack，可能第一步发愁的就是写 local.conf 了吧。
反正我是在部署前为了让网络的连通性得到保障，根据实际环境在网络规划面前做了考虑。下面是网络方面的部分配置：

1
2
3
4
5

HOST_IP=192.168.100.15  #宿主机接口IP地址
FLOATING_RANGE="192.168.100.0/24"  #provide网络CIDR
PUBLIC_NETWORK_GATEWAY="192.168.100.1"  #provide网络网关
FIXED_RANGE="192.168.10.0/24"  #self-service网络CIDR
NETWORK_GATEWAY="192.168.10.1"  #self-service网络网关

今天老大说openstack的默认安全组会使ovs产生大量流表，需要优化。So，开始分析一波吧 —- 基于 Q 版 qs。

简介

由于 Open vSwitch 无法直接与 Linux iptables 进行交互，因此为了实现安全组，之前采用了在 br-int 与实例之间增加一个 Linux 网桥来实现基于 iptables 的安全组功能。通常情况下，实例与基础物理网络之间的附加组件越多，性能与可扩展性越低。为了缓解这一问题，Neutron OpenvSwitch Agent 中实现了基于 OVS 流表的安全组驱动，当然这个驱动是可选的。