linux虚拟网络

neutron的使命 ‘实现服务和相关库以提供按需、可伸缩和技术无关的网络抽象’

tap

操作系统内核中的的虚拟网络设备  位于数据链路层
tap和数据链路层主要协议中的以太网协议Ethernet对应，所以也被成为 虚拟以太网设备

modinfo tun         #检查内核模块
lsmod | grep tun    #检查模块是否加载
modprobe tun        #加载模块

http://li.nux.ro/download/nux/misc/el7/x86_64/      yum源
yum install tunctl  #安装tunctl命令行工具

tunctl -t tap-test  #创建虚拟网卡
ip link show        #查看二层设备
ifconfig -a         #查看所有网卡

ip addr add local 192.168.150.1/24 dev tap-test
ifconfig tap-test 10.10.10.10/24    #绑定ip 上同

namespace

linux许多资源是全局的，namespace首先就是要让这些资源做资源隔离
linux可以在一个host中做多个namespace，而且不同的namespace的资源相互不可见相互透明

namespace隔离的资源
uts_ns  Unix分时系统 各种底层的信息
ipc_ns  进程间通信
mnt_ns  当前装载的文件系统
pid_ns  进程ID的相关信息
user_ns 资源配额
net_ns  网络信息

从网络视角看namespace提供了一份独立的网络协议栈网络设备接口、IPv4、IPv6、路由、防火墙
一个设备只能位于一个namespace中，不同的设备可以通过veth pair进行桥接

ip netns list                           #查看命名空间列表
ip netns add ns_test                    #创建一个新的命名空间

ip link set tap-test netns ns_test      #将现有的虚拟网卡转移到namespace

ip netns exec ns_test ip link show      #查看namespace内的网卡信息
ip netns exec ns_test ifconfig tun-test 192.168.150.1/24 up #绑定ip
ip netns exec ns_test ifconfig -a       #查看ip

veth pair

veth pair 不是一个设备，而是一对设备，以连接两个虚拟以太网端口
操作veth pair 需要和 namespace 一起使用

ip link add tap1 type veth peer name tap2  #创建一对veth pair设备
#不指定name会从veth0开始

ip link show   #查看链路层
ip link set tap1 netns ns1     #将设备转移到命名空间
ip link set tap2 netns ns2     #转移到另一个命名空间
ip netns exec ns1 ifconfig tap1 10.10.10.10/24 up      #添加ip
ip netns exec ns1 ifconfig -a
...... #重复操作
ip netns exec ns2 ping 10.10.10.10     #在相互隔离的命名空间相互可访

以上就是两个namespace之间的连接方法
假设连接两个以上的命名空间呢   这时候最好的办法就是bridge

Bridge

linux现实bridge功能的是brctl命令，如果没有用以下方法安装
yum install bridge-utils

现在假设有四个namespace，需要互相通信
1、创建四个 veth pair
ip link add tap0 type veth peer
ip link add tap1 type veth peer
ip link add tap2 type veth peer
ip link add tap3 type veth peer
ip link show

2、创建四个namespace
ip netns add ns0
ip netns add ns1
ip netns add ns2
ip netns add ns3
ip netns list

3、迁移veth设备并添加ip
ip link set veth0 netns ns0
ip link set veth1 netns ns1
ip link set veth2 netns ns2
ip link set veth3 netns ns3
ip netns exec ns0 ifconfig veth0 10.10.10.10/24 up
ip netns exec ns1 ifconfig veth1 10.10.10.11/24 up
ip netns exec ns2 ifconfig veth2 10.10.10.12/24 up
ip netns exec ns3 ifconfig veth3 10.10.10.13/24 up

4、创建bridge
brctl addbr br0
brctl show
5、将tap添加到bridge并启用tap设备
brctl addif br0 tap0
brctl addif br0 tap1
brctl addif br0 tap2
brctl addif br0 tap3
brctl show

ip link set br0 up
ip link set tap0 up
ip link set tap1 up
ip link set tap2 up
ip link set tap3 up

6、测试
ip netns exec ns[0-3] ping 10.10.10.1[0-3]
为什么本地的namespace中的ip不可达

Router

1、查看内核ip转发状态
cat /proc/sys/net/ipv4/ip_forward
sysctl -a |grep "ip_forward"
grep -R net.ip /usr/lib/sysctl.d/

2、开启转发
net.ipv4.ip_forward = 1      #开启路由转发
/etc/sysctl.conf         #写入配置文件
sysctl -p                #生效配置

例：
1、创建两个namespace,并创建两对veth pair设备迁移到namespace
ip netns add ns0
ip netns add ns1
ip netns list

ip link add tap0 type veth peer name tap_peer0
ip link add tap1 type veth peer name tap_peer1
ip link show

ip link set tap0 netns ns0
ip link set tap1 netns ns1
ip link show

2、给各个设备配置ip地址、启用设备
ip addr add local 10.10.10.10/24 dev tap_peer0
ip addr add local 10.10.11.10/24 dev tap_peer1
ip netns exec ip addr add local 10.10.10.20/24 dev tap0
ip netns exec ns0 ip addr add local 10.10.10.20/24 dev tap0
ip netns exec ns1 ip addr add local 10.10.11.20/24 dev tap1

ip link set tap_peer0 up
ip link set tap_peer1 up
ip netns exec ns0 ip link set tap0 up
ip netns exec ns1 ip link set tap1 up

3、在namespace中添加路由
ip netns exec ns0 route add -net 10.10.11.0/24 gw 10.10.10.10
ip netns exec ns1 route add -net 10.10.10.0/24 gw 10.10.11.10

ip netns exec ns0 ping 10.10.11.20
ip netns exec ns1 ping 10.10.10.20

ns0中的网卡10.20通过veth ns0通过自身路由表发现到达11.20需要通过10.10，ns0通过pair设备可以直接访问到10.10，数据包通过内核转发到veth1设备，最终到达ns1的11.20，ns1接受到ICMP协议通过路由表发现回复数据要通过11.10，于是就讲数据直接丢给11.10，内核接受到数据将数据发往veth0设备，完成访问过程。

tun

tun是网络层的点对点设备，它启用了IP层隧道功能。
linux原生支持三层隧道

ipip
IP IN IP在IPv4报文的基础上再封装一个IPv4bao wen
gre 通用路由封装
在任意一种网络层协议上封装任意一个其他网络层的协议
sit
类似IPIP，IPv4的头封装一个IPv6的报文
isatap
站内自动隧道寻址协议
vti
IPsec隧道提供一个可路由的接口类型

modprobe ipip
lsmod | grep ipip

iptables

iptables 是一个运行在用户空间的命令行工具
netfilter 内核空间的模块iptables所有功能的实现

四张表
mangle  修改数据包的内容，用来做流量整形    包标记表
filter  数据过滤表
nat     地址装换表
raw     状态跟踪表

五个链条
INPUT           入站
OUTPUT          出站
FORWARD         转发
PRERROUTING     路由前
POSTROUTING     路由后

从报文进入host的那一刻起，到报文离开本机的那一刻止，中间这段时间，或者是发自本机的报文，从报文准备发送的那一刻止，中间的这段时间，netfilter会在某些时刻点插入处理模块，这些模块根据相应的策略和规则对报文进行处理。