如果你在虚拟机里玩过 OpenStack大概率会在网络配置这一步卡住——不是 Neutron 服务起不来就是虚拟机拿不到 IP或者更糟内外网完全不通。这往往不是因为 OpenStack 本身有多复杂而是它的网络模型和现实世界的交换机、路由器、网卡纠缠在一起任何一个环节的误解都会让整个云平台“失联”。网上很多教程会直接扔给你一串openstack network create命令但很少有人告诉你OpenStack 的网络配置本质上是在软件里“画”出一张逻辑网络拓扑图然后让虚拟机的流量沿着你设计的路径流动。不理解这张“图”和底层物理网络的映射关系照抄命令大概率会失败。本文将彻底拆解 OpenStack 网络配置的核心逻辑与实操步骤。我不会只讲命令而是会先带你理解 Neutron 的三种经典网络模式Flat, VLAN, VXLAN/GRE分别适用于什么场景然后以最常用的 VXLAN 模式为例从物理网卡绑定、Neutron 组件配置到最终创建网络、子网、路由器和安全组完成一个可用的私有云网络环境搭建。无论你是为了学习、测试还是搭建内部开发云读完本文你都能清晰地知道每一步在做什么以及出了问题该从哪里查起。1. 为什么 OpenStack 网络配置是第一个“拦路虎”在部署 OpenStack 时计算Nova、镜像Glance、身份Keystone服务通常都能比较顺利地启动。但网络服务Neutron一旦配置不当会导致后续所有创建虚拟机的操作失败。其根本原因在于Neutron 承担了将虚拟世界的网络请求“翻译”并落实到物理硬件上的重任。想象一下这个场景你在 OpenStack 上创建了一台虚拟机并为其分配了一个 IP 地址192.168.100.10。这个 IP 地址对于虚拟机来说是真实的但对于你办公室的物理路由器而言它根本不存在。Neutron 要解决的核心问题就是如何让这个虚拟的192.168.100.10能够被同一物理网络下的其他机器访问甚至能够连接到互联网这涉及到几个层面的抽象与对接虚拟网络在 OpenStack 内部定义的逻辑网络如private-net。虚拟交换机由 Neutron 的 Open vSwitch (OVS) 或 Linux Bridge 插件实现的软件交换机负责连接同一台物理主机上的虚拟机网卡。隧道网络用于在不同物理主机的虚拟交换机之间传递数据构建一个跨主机的、更大的二层网络如 VXLAN 隧道。物理网络真实的网线、物理交换机和路由器。虚拟网络的流量最终必须通过某块物理网卡如eth0或bond0发送出去。很多初学者失败的原因是混淆了这些层次或者没有正确地将虚拟网络“锚定”到正确的物理接口上。接下来我们先理清核心概念。2. 核心概念三种网络模式与适用场景Neutron 支持多种网络类型最常用的是 Flat、VLAN 和 TunnelVXLAN/GRE。选择哪一种取决于你的物理网络环境和需求。网络类型工作原理优点缺点适用场景Flat虚拟机直接使用物理网络的一个子网无任何标签隔离。所有虚拟机都在同一个二层广播域。配置简单性能最好无隧道开销。毫无隔离性安全性差IP地址需要手动管理容易冲突。测试环境、高度信任的内部集群、需要极致性能的场景。VLAN基于 IEEE 802.1Q 标准为每个虚拟网络分配一个唯一的 VLAN ID如 101, 102。物理交换机需要配置 Trunk 口。网络隔离性好性能接近物理网络技术成熟。依赖物理交换机支持VLAN ID 数量有限4094个配置稍复杂。企业私有云物理网络可控需要与传统 VLAN 环境集成的场景。Tunnel (VXLAN/GRE)通过隧道技术如 VXLAN在 IP 网络之上封装二层帧。每个虚拟网络对应一个隧道 IDVNI。完全不受物理网络限制可创建大量1600万逻辑网络部署灵活。有隧道封装和解封装开销性能略有损耗问题排查更复杂。大型云平台、多租户环境、物理网络不可控或跨三层网络部署。一个关键判断对于大多数学习、测试和小型部署环境VXLAN 模式是首选。因为它不要求物理交换机做任何特殊配置只需要节点间 IP 可达即可最适合在虚拟机嵌套或有限物理设备的环境中实践。本文后续的实战也将基于 VXLAN 模式展开。3. 环境准备与架构规划在开始敲命令之前必须规划好你的网络架构。以一个最小化的双节点控制节点计算节点为例控制节点: 运行 Neutron Server、OVS 代理、DHCP 代理、L3 路由代理等。计算节点: 运行 Nova Compute 和 OVS 代理负责运行虚拟机。物理网络规划管理网络用于节点间内部通信如 RabbitMQ, MySQL。假设使用eth0网段10.0.0.0/24。业务/数据网络用于虚拟机流量、VXLAN 隧道、外部通信。假设使用eth1网段192.168.100.0/24。这个网络需要能访问外部互联网用于虚拟机下载软件包。外部网络如果希望虚拟机直接拥有公网IPFloating IP通常需要一块独立的物理网卡或一个独立的 VLAN 连接到物理路由器。在实验环境中我们常将其与业务网络复用通过“提供商网络”的方式模拟。软件前提操作系统Ubuntu 20.04/22.04 LTS 或 CentOS 7/Stream 9本文命令以 Ubuntu 22.04 为例CentOS 用户需替换apt为yum/dnf。OpenStack 版本建议选择稳定的版本如 Yoga 或 Antelope。安装方法可以使用openstack-install脚本或手动安装。本文假设你已通过openstack-install或类似工具完成了基础服务Keystone, Glance, Nova, Placement的安装并且正在集中配置 Neutron。4. 核心流程拆解从物理网卡到虚拟网络整个配置过程可以概括为以下五大步骤每一步都不可或缺物理网络准备配置节点物理网卡确保节点间网络互通。安装与配置 Neutron 组件在控制节点和计算节点上安装 Neutron 相关软件包并修改配置文件。初始化 Neutron 数据库与核心插件创建数据库表并配置 OVS 和 ML2 插件。配置 Open vSwitch (OVS)创建网桥将物理网卡加入网桥设置隧道类型。创建逻辑网络资源通过 OpenStack CLI 创建网络、子网、路由器并关联安全组。下面我们进入详细的实操环节。5. 完整示例与配置实战基于 VXLAN我们假设你的控制节点 IP 是10.0.0.10计算节点 IP 是10.0.0.11并且都有一块名为eth1的网卡用于业务和隧道流量。5.1 步骤一安装 Neutron 组件在控制节点和计算节点上执行# 更新软件包列表 sudo apt update # 安装 Neutron 服务器控制节点和代理所有节点 # 控制节点 sudo apt install neutron-server neutron-plugin-ml2 neutron-openvswitch-agent neutron-l3-agent neutron-dhcp-agent neutron-metadata-agent -y # 计算节点 sudo apt install neutron-openvswitch-agent -y5.2 步骤二配置 Neutron 核心文件配置文件通常位于/etc/neutron/。以下是最关键的几个文件。a) 配置/etc/neutron/neutron.conf(控制节点)找到并修改以下部分[DEFAULT] core_plugin ml2 service_plugins router allow_overlapping_ips true transport_url rabbit://openstack:RABBIT_PASS10.0.0.10:5672 auth_strategy keystone notify_nova_on_port_status_changes true notify_nova_on_port_data_changes true [database] connection mysqlpymysql://neutron:NEUTRON_DBPASS10.0.0.10/neutron [keystone_authtoken] www_authenticate_uri http://10.0.0.10:5000 auth_url http://10.0.0.10:5000 memcached_servers 10.0.0.10:11211 auth_type password project_domain_name default user_domain_name default project_name service username neutron password NEUTRON_PASS [nova] auth_url http://10.0.0.10:5000 auth_type password project_domain_name default user_domain_name default region_name RegionOne project_name service username nova password NOVA_PASS注意请将RABBIT_PASS,NEUTRON_DBPASS,NEUTRON_PASS,NOVA_PASS替换为你实际部署中设置的密码。b) 配置/etc/neutron/plugins/ml2/ml2_conf.ini(控制节点)这是定义网络类型和机制驱动器的核心文件。[ml2] type_drivers flat,vlan,vxlan tenant_network_types vxlan mechanism_drivers openvswitch,l2population extension_drivers port_security [ml2_type_flat] flat_networks provider [ml2_type_vlan] network_vlan_ranges provider:1000:2000 [ml2_type_vxlan] vni_ranges 1:1000 [securitygroup] enable_ipset true关键解释tenant_network_types vxlan指定租户项目默认创建的网络类型为 VXLAN。mechanism_drivers openvswitch,l2population使用 OVS 实现虚拟交换并启用l2population优化广播流量。flat_networks provider定义了一个名为provider的扁平网络可用于连接外部。c) 配置/etc/neutron/plugins/ml2/openvswitch_agent.ini(所有节点)此文件配置 OVS 代理。[DEFAULT] [agent] tunnel_types vxlan l2_population true prevent_arp_spoofing true [ovs] bridge_mappings provider:br-ex local_ip 节点 eth1 的IP地址 # 例如控制节点local_ip 10.0.0.10 # 计算节点local_ip 10.0.0.11 [securitygroup] firewall_driver iptables_hybrid关键解释bridge_mappings provider:br-ex将逻辑网络标签provider映射到本地的 OVS 网桥br-ex。这个br-ex网桥我们稍后会创建。local_ip这是最重要的配置之一必须设置为用于 VXLAN 隧道通信的物理网卡 IP 地址本例中是eth1的 IP。节点间将通过这个 IP 建立隧道。d) 配置/etc/neutron/l3_agent.ini(控制节点)配置三层路由代理。[DEFAULT] interface_driver openvswitch external_network_bridge br-exe) 配置/etc/neutron/dhcp_agent.ini(控制节点)配置 DHCP 代理。[DEFAULT] interface_driver openvswitch dhcp_driver neutron.agent.linux.dhcp.Dnsmasq enable_isolated_metadata true5.3 步骤三配置 Open vSwitch (OVS)现在我们需要在每个节点上创建 OVS 网桥并将物理网卡与之关联。# 1. 创建外部网桥 br-ex sudo ovs-vsctl add-br br-ex # 2. 将物理网卡 eth1 添加到 br-ex 网桥 # 注意这会导致 eth1 的 IP 丢失请确保通过其他方式如 eth0能 SSH 到该机器。 sudo ovs-vsctl add-port br-ex eth1 # 3. 为 br-ex 配置一个 IP 地址通常使用 eth1 原来的地址 # 假设 eth1 原 IP 为 192.168.100.10/24网关为 192.168.100.1 sudo ip addr add 192.168.100.10/24 dev br-ex sudo ip link set br-ex up # 如果需要设置默认网关请指向 br-ex # sudo ip route add default via 192.168.100.1 dev br-ex # 4. 验证 OVS 配置 sudo ovs-vsctl show执行ovs-vsctl show后你应该看到类似下面的输出表明br-ex网桥已创建并且eth1已作为端口加入。Bridge br-ex Port br-ex Interface br-ex type: internal Port eth1 Interface eth15.4 步骤四重启服务并同步数据库在控制节点上操作# 1. 同步 Neutron 数据库 sudo neutron-db-manage --config-file /etc/neutron/neutron.conf --config-file /etc/neutron/plugins/ml2/ml2_conf.ini upgrade head # 2. 重启所有 Neutron 服务 sudo systemctl restart neutron-server neutron-openvswitch-agent neutron-l3-agent neutron-dhcp-agent neutron-metadata-agent # 3. 设置服务开机自启 sudo systemctl enable neutron-server neutron-openvswitch-agent neutron-l3-agent neutron-dhcp-agent neutron-metadata-agent在计算节点上操作# 重启 OVS 代理 sudo systemctl restart neutron-openvswitch-agent sudo systemctl enable neutron-openvswitch-agent5.5 步骤五创建逻辑网络OpenStack CLI现在所有底层服务已就绪。我们使用 OpenStack 命令行客户端来创建逻辑网络资源。首先加载管理员权限的环境变量admin-openrc文件。source admin-openrca) 创建“外部网络”这个网络用于连接外部世界如互联网通常映射到我们之前配置的provider物理网络。# 创建一个名为 ext-net 的扁平外部网络 openstack network create --external --provider-physical-network provider --provider-network-type flat ext-net # 为外部网络创建一个子网 # 这里的网关和地址范围需要与你真实的物理网络br-ex所在的网络匹配 openstack subnet create --network ext-net \ --allocation-pool start192.168.100.100,end192.168.100.200 \ --dns-nameserver 8.8.8.8 \ --gateway 192.168.100.1 \ --subnet-range 192.168.100.0/24 \ ext-subnetb) 创建“租户私有网络”这是虚拟机内部使用的网络。# 创建一个名为 private-net 的 VXLAN 网络 openstack network create private-net # 为私有网络创建子网 openstack subnet create --network private-net \ --allocation-pool start10.10.10.100,end10.10.10.200 \ --dns-nameserver 8.8.8.8 \ --gateway 10.10.10.1 \ --subnet-range 10.10.10.0/24 \ private-subnetc) 创建路由器并连接网络# 创建一个路由器 openstack router create my-router # 将路由器的内部接口设置为私有网络的子网 openstack router add subnet my-router private-subnet # 将路由器的外部网关设置为外部网络 openstack router set --external-gateway ext-net my-routerd) 创建安全组规则允许 SSH 和 ICMP# 获取默认安全组的ID SEC_GROUP_ID$(openstack security group list --project admin -f value -c ID | head -n1) # 添加允许SSH22端口的规则 openstack security group rule create --proto tcp --dst-port 22 $SEC_GROUP_ID # 添加允许ICMPping的规则 openstack security group rule create --proto icmp $SEC_GROUP_ID6. 运行结果与效果验证完成以上所有步骤后你的 OpenStack 网络就配置好了。可以通过以下命令验证# 1. 查看网络列表应该能看到 ext-net 和 private-net openstack network list # 2. 查看子网列表 openstack subnet list # 3. 查看路由器列表及其接口 openstack router list openstack router show my-router # 4. 查看端口列表应该能看到路由器连接私有子网的端口和DHCP端口 openstack port list现在你可以启动一台虚拟机来测试了。# 1. 创建虚拟机假设已有镜像和规格 openstack server create --flavor m1.small --image cirros --nic net-id$(openstack network show private-net -f value -c id) --security-group default test-vm-1 # 2. 查看虚拟机状态等待变为 ACTIVE openstack server list # 3. 为虚拟机分配一个浮动IP从外部网络获取 openstack floating ip create ext-net FIP$(openstack floating ip list -f value -c Floating IP Address | head -n1) openstack server add floating ip test-vm-1 $FIP # 4. 尝试 ping 虚拟机的浮动IP或通过SSH登录如果镜像支持 ping -c 4 $FIP如果 ping 通恭喜你OpenStack 网络配置成功7. 常见问题与排查思路即使按照步骤操作也可能遇到问题。以下是典型问题的排查路径。问题现象可能原因排查方式解决方案Neutron 服务启动失败1. 配置文件语法错误。2. 数据库连接失败。3. RabbitMQ 连接失败。1.sudo neutron-status upgrade check2.sudo journalctl -u neutron-server查看日志。3. 检查/etc/neutron/neutron.conf中的[database]和transport_url。1. 检查配置文件缩进和选项。2. 确认数据库服务运行且密码正确。3. 确认 RabbitMQ 服务运行且用户密码正确。虚拟机获取不到 IP (DHCP 失败)1. DHCP 代理未运行。2. 安全组规则阻止 DHCP 请求。3. 网络命名空间未正确创建。1.openstack network agent list查看 dhcp 代理状态。2.sudo ip netns list查看是否有qdhcp-network_id命名空间。3. 进入命名空间sudo ip netns exec qdhcp-net_id bash尝试curl 169.254.169.254获取元数据。1. 重启neutron-dhcp-agent。2. 确保默认安全组允许 DHCP 和元数据访问通常自动添加。3. 检查neutron-dhcp-agent.ini配置。虚拟机无法 ping 通网关或外网1. 路由器未正确设置。2. L3 代理故障。3. 外部网络桥接 (br-ex) 配置错误。1.openstack router show my-router检查网关和接口。2.openstack network agent list查看 l3 代理状态。3. 在计算节点上sudo ovs-vsctl show检查br-ex和隧道端口vxlan-remote_ip。1. 确认路由器已连接外部网络和私有子网。2. 重启neutron-l3-agent。3. 确认br-ex有 IP 且物理链路通检查节点间local_ip是否能 ping 通。VXLAN 隧道建立失败1. 节点间local_ip不可达。2. 防火墙如 iptables, firewalld阻止了 VXLAN 端口UDP 4789。1. 在控制节点 ping 计算节点的local_ip反之亦然。2.sudo ovs-vsctl show查看是否有vxlan_sys_4789端口。3. sudo netstat -anugrep 4789 检查端口监听。无法通过浮动 IP 访问虚拟机1. 浮动 IP 未正确绑定。2. 路由器上的 SNAT/DNAT 规则未生效。3. 外部网络物理连接问题。1.openstack floating ip list查看绑定状态。2. 进入路由器的命名空间sudo ip netns exec qrouter-router_id bash检查 iptables 规则和路由。1. 重新绑定浮动 IP。2. 重启neutron-l3-agent。3. 检查br-ex网桥是否连接到可访问外网的物理网络。8. 最佳实践与工程建议对于生产环境或更严肃的测试环境以下建议能帮你避坑网络规划先行在安装前用 Visio 或绘图工具画出清晰的物理网络拓扑和逻辑网络映射图。明确管理网、存储网、业务网、外部网的网段、VLAN 和物理接口。使用 Bonding 提高可靠性对于业务网络承载隧道和外部流量强烈建议将两个物理网卡绑定为bond0模式 4: LACP再将bond0加入br-ex。这能避免单点故障。分离网络角色如果资源允许将管理网络、存储网络如 Ceph、VXLAN 隧道网络、外部网络分布在不同的物理网卡或 VLAN 上避免流量拥塞和相互影响。版本一致性确保所有节点的 OpenStack 版本、Neutron 版本、OVS 版本一致。混合版本是导致各种诡异问题的根源。善用neutron-db-manage和日志任何配置更改后不确定是否需要升级数据库时可以先使用neutron-db-manage --config-file ... upgrade check进行检查。日志文件 (/var/log/neutron/*.log) 是排错的第一手资料。安全组最小化原则创建自定义安全组只开放必要的端口如 22, 80, 443而不是直接使用全部放行的默认规则。备份配置文件在修改任何核心配置文件如neutron.conf,ml2_conf.ini前先进行备份。可以使用 Git 管理/etc/neutron/目录。OpenStack 网络配置是一个典型的“理解重于操作”的任务。它要求你不仅记住命令更要在大脑中构建出数据流的虚拟路径从虚拟机的虚拟网卡经过虚拟交换机穿过 VXLAN 隧道到达物理主机的 OVS 网桥最后通过物理网卡发送到外部世界。一旦这个心智模型建立起来所有的配置项都会变得理所当然排查故障也有了清晰的思路。
