这次我们来看一个 OpenStack 本地部署中的核心环节——网络配置。对于任何想要搭建私有云或进行云计算学习的人来说OpenStack 的网络部分往往是成功部署和后续稳定运行的关键也是最容易遇到问题的“拦路虎”。这篇文章不空谈概念直接聚焦于实战目标是让你在完成基础安装后能清晰、正确地配置 OpenStack 的网络让虚拟机能够连通内外网。我们将重点关注 Neutron 网络服务的配置逻辑、几种典型网络模式如 Provider Networks 和 Self-service Networks的选择与搭建、以及如何通过命令行和 Dashboard 进行验证。无论你是使用 All-in-One 单节点还是多节点部署网络配置的思路和核心步骤都是相通的。本文会提供具体的配置文件片段、操作命令和排查思路帮助你从“网络不通”走向“网络畅通”。1. 核心能力速览OpenStack 网络组件在深入配置之前先快速了解 OpenStack 网络的核心构成这决定了后续的配置路径。能力项说明与选择核心项目NeutronOpenStack 的网络即服务Networking-as-a-Service项目负责所有网络资源的创建和管理。网络类型Provider Networks直接映射到物理网络。配置简单虚拟机直接获取物理网络中的 IP适合扁平化网络或初学验证。Self-service (Tenant) Networks基于 VXLAN/GRE 的 overlay 网络通过路由器连接外部网络。功能完整支持多租户隔离是生产环境常见选择。部署模式All-in-One所有服务包括网络节点部署在单台物理机或虚拟机上。网络配置需处理“自己连接自己”的问题。多节点控制、计算、网络节点分离。网络配置更清晰但需考虑节点间通信。底层插件Linux Bridge传统稳定配置直观依赖brctl、iptables等工具。Open vSwitch (OVS)功能更强大支持流表、VXLAN 等高级特性是当前更主流的选择。硬件门槛无特殊 GPU 要求。重点在于 CPU、内存建议至少 8GB和网络接口卡NIC。多网卡或 VLAN 支持能实现更复杂的网络拓扑。管理方式命令行 (CLI)通过openstack、neutron旧版命令进行精准控制。Dashboard (Horizon)Web 界面可视化操作适合日常管理和监控。验证核心虚拟机实例能够1. 获取 IP 地址DHCP2. 同一网络内互通3. 通过浮动 IP 或路由器访问外部网络如互联网。2. 适用场景与使用边界OpenStack 网络配置并非一成不变根据你的目标选择正确的起点至关重要。它最适合谁云计算学习者希望通过亲手搭建理解 SDN软件定义网络和云网络概念。企业 IT 或开发者需要搭建小规模的私有云环境用于开发测试、内部应用部署。科研或教育机构需要可定制的虚拟化平台来构建实验环境。它能解决什么问题虚拟网络隔离为不同项目租户创建完全独立的虚拟网络。网络功能虚拟化提供虚拟路由器、防火墙、负载均衡器等网络服务。灵活连接实现虚拟机与虚拟机、虚拟机与外部网络包括互联网的按需连接。IP 地址管理通过 DHCP 服务自动为虚拟机分配 IP并管理浮动 IP 池。需要注意的边界与前提物理网络是基础OpenStack 虚拟网络建立在物理网络之上。你必须清楚物理网络的拓扑、VLAN 规划、网关和 DNS 地址。学习曲线Neutron 配置涉及 Linux 网络知识网桥、路由、iptables。遇到问题时排查过程需要综合查看日志、检查网络命名空间和流表。性能考量对于高性能或低延迟要求的场景需要深入调优 OVS 或考虑 SR-IOV 等高级技术这超出了基础配置的范围。版本差异本文以主流稳定的版本如 Rocky, Stein, Train为例不同版本间配置文件路径或参数可能有细微差别请以官方文档为准。3. 环境准备与前置条件假设你已经通过packstack、devstack或手动安装方式完成了 OpenStack 基础服务的安装并且服务状态基本正常。网络配置前请确认以下条件。基础环境清单操作系统CentOS 7/8, Rocky Linux 8/9, Ubuntu 20.04/22.04 等主流发行版。OpenStack 版本确定你的版本如openstack --version。网络规划管理网络用于 OpenStack 各服务间内部通信例如192.168.100.0/24。数据网络/外部网络虚拟机与外界通信的桥梁。在 All-in-One 中常与管理网共用或使用独立的物理网卡如eth1。你需要知道这个网络的网关、DNS 和可用的 IP 段。网卡名称使用ip a命令确认你的物理网卡名称如ens33,eth0,enp0s3。防火墙与 SELinux在实验环境可临时禁用以排除干扰。生产环境需按需配置规则。# 临时关闭防火墙CentOS/Rocky systemctl stop firewalld systemctl disable firewalld # 临时设置 SELinux 为 Permissive setenforce 0 sed -i s/SELINUXenforcing/SELINUXpermissive/g /etc/selinux/config主机名解析确保/etc/hosts文件包含控制节点和计算节点的主机名与 IP 映射。4. 配置实战两种主流网络模式下面以All-in-One 单节点 Open vSwitch (OVS)为例演示两种最常用网络的配置流程。这是最关键的部分。4.1 配置 Provider Networks扁平网络这种模式最简单虚拟机直接桥接到物理网络获取物理网段的 IP。步骤 1修改 Neutron 服务器配置编辑/etc/neutron/plugins/ml2/ml2_conf.ini确保以下配置[ml2] type_drivers flat,vlan,vxlan tenant_network_types vxlan # 租户网络仍可用vxlan但provider用flat mechanism_drivers ovs extension_drivers port_security [ml2_type_flat] flat_networks provider # 定义一个名为‘provider’的扁平网络 [ml2_type_vxlan] vni_ranges 1:1000 [securitygroup] firewall_driver iptables_hybrid步骤 2配置 OVS 代理编辑/etc/neutron/plugins/ml2/openvswitch_agent.ini[ovs] bridge_mappings provider:br-ex # 将逻辑网络‘provider’映射到网桥‘br-ex’ local_ip 你的管理网IP # 对于VXLAN隧道填本机IP如192.168.100.10 [agent] tunnel_types vxlan [securitygroup] firewall_driver iptables_hybrid步骤 3创建外部网桥br-ex并绑定物理网卡假设你的物理网卡用于连接外网是eth1。# 停止网络服务如果使用NetworkManager systemctl stop NetworkManager systemctl disable NetworkManager # 创建网桥并绑定物理网卡 sudo ovs-vsctl add-br br-ex sudo ovs-vsctl add-port br-ex eth1 # 为 br-ex 配置一个IP如果eth1原本有IP需要转移到br-ex上 # 首先清除 eth1 的IP sudo ip addr flush dev eth1 # 然后将原来 eth1 的IP配置给 br-ex假设原IP是192.168.1.10/24网关192.168.1.1 sudo ip addr add 192.168.1.10/24 dev br-ex sudo ip link set br-ex up # 添加默认路由 sudo ip route add default via 192.168.1.1 dev br-ex # 永久配置以CentOS为例修改ifcfg文件 # /etc/sysconfig/network-scripts/ifcfg-eth1 # DEVICEeth1 # TYPEOVSPort # DEVICETYPEovs # OVS_BRIDGEbr-ex # ONBOOTyes # # /etc/sysconfig/network-scripts/ifcfg-br-ex # DEVICEbr-ex # TYPEOVSBridge # DEVICETYPEovs # BOOTPROTOstatic # IPADDR192.168.1.10 # NETMASK255.255.255.0 # GATEWAY192.168.1.1 # DNS18.8.8.8 # ONBOOTyes步骤 4重启 Neutron 相关服务systemctl restart neutron-openvswitch-agent systemctl restart neutron-server步骤 5创建 Provider 网络现在通过命令行创建网络。source /etc/keystone/admin-openrc.sh # 加载管理员环境变量 # 创建一个名为‘public’的外部网络类型为flat物理网络名为‘provider’ openstack network create --share --external \ --provider-physical-network provider \ --provider-network-type flat public # 创建一个子网指定网关、DHCP池和DNS openstack subnet create --network public \ --allocation-pool start192.168.1.100,end192.168.1.200 \ --dns-nameserver 8.8.8.8 \ --gateway 192.168.1.1 \ --subnet-range 192.168.1.0/24 public-subnet创建成功后在 Dashboard 的“管理员 - 网络”中应该能看到网络public类型为“外部”。4.2 配置 Self-service Networks租户网络这是更完整的模式租户可以创建自己的私有网络并通过虚拟路由器连接到外部网络。前提你已经完成了上述 Provider Network 的配置并且public网络已存在。步骤 1创建租户私有网络# 切换到某个具体项目租户的环境或使用管理员项目 source /path/to/your-project-openrc.sh # 创建私有网络‘private’和子网 openstack network create private openstack subnet create --network private \ --dns-nameserver 8.8.8.8 \ --gateway 172.16.1.1 \ --subnet-range 172.16.1.0/24 private-subnet步骤 2创建虚拟路由器并连接内外网络# 创建路由器 openstack router create myrouter # 将路由器的内部接口设置为私有子网 openstack router add subnet myrouter private-subnet # 将路由器的外部网关设置为之前创建的‘public’网络 openstack router set --external-gateway public myrouter至此一个标准的 Self-service 网络就配置好了。虚拟机连接到private网络后将通过myrouter进行 NAT访问外部网络。5. 功能测试与效果验证配置完成后必须通过创建虚拟机来验证网络是否工作。测试 1启动虚拟机并验证网络连通性上传镜像并创建实例在 Dashboard 或命令行创建实例。选择正确的镜像如 CirrOS 小型测试镜像。在“网络”选项卡将实例连接到private网络。创建安全组规则允许 ICMPping和 SSH22端口入站流量。获取虚拟机 IP实例启动后在控制台或实例详情页查看其获取的 IP应为172.16.1.x。内部网络测试登录到同一private网络下的另一台虚拟机互相 ping 内网 IP应该能通。外部网络测试在虚拟机上执行ping 8.8.8.8。如果成功说明路由器 NAT 工作正常虚拟机可以访问互联网。执行curl ifconfig.me可以查看虚拟机出站时的公网 IP即你物理机的br-exIP。测试 2分配浮动 IP 并测试从外网访问分配浮动 IP在 Dashboard “网络 - 浮动 IP” 中从public网络池分配一个 IP如192.168.1.150并将其关联到你的虚拟机。安全组规则确保安全组允许从外部访问所需端口如 SSH 的 22。外部访问测试从你的物理主机或同一物理网络下的其他机器SSH 到浮动 IP (ssh cirros192.168.1.150密码通常为gocubsgo)。如果成功说明浮动 IP 映射生效。6. 核心排查命令与故障诊断网络不通时按以下顺序排查这些命令是解决问题的关键。1. 检查 Neutron 服务状态systemctl status neutron-server neutron-openvswitch-agent neutron-dhcp-agent neutron-l3-agent确保所有相关服务都是active (running)。2. 检查 OVS 网桥与端口sudo ovs-vsctl show确认br-ex,br-int等网桥存在并且物理网卡如eth1和虚拟端口正确连接。3. 检查网络命名空间Neutron 会为每个路由器和 DHCP 创建独立的网络命名空间。# 列出所有网络命名空间 ip netns list # 进入路由器的命名空间查看接口和路由 sudo ip netns exec qrouter-router-id ip a sudo ip netns exec qrouter-router-id ip route # 进入DHCP的命名空间 sudo ip netns exec qdhcp-network-id ip a4. 检查虚拟机的虚拟接口连接找到虚拟机对应的虚拟网卡tap设备查看它是否连接到了正确的 OVS 网桥。sudo ovs-vsctl list-ports br-int | grep tap-device-id5. 查看 Neutron 日志日志是定位问题的最终手段。# 查看 OVS Agent 日志 tail -f /var/log/neutron/openvswitch-agent.log # 查看 L3 Agent 日志负责路由器 tail -f /var/log/neutron/l3-agent.log # 查看 DHCP Agent 日志 tail -f /var/log/neutron/dhcp-agent.log # 查看 Server 日志 tail -f /var/log/neutron/server.log常见错误端口绑定失败、物理网卡映射错误、防火墙规则冲突、路由命名空间内接口没 IP 等。7. 最佳实践与配置建议规划先行在安装 OpenStack 前就画好简单的物理和逻辑网络拓扑图明确网卡用途、IP 段、VLAN ID。从简单开始初次部署强烈建议使用All-in-One Provider Network。它能最快让你看到虚拟机上网的效果建立信心。善用 Dashboard但深究 CLIHorizon 界面方便操作和查看但排查问题、批量操作和深入理解架构必须熟悉openstackCLI 命令。备份配置文件在修改任何核心配置文件如ml2_conf.ini,openvswitch_agent.ini前先进行备份。分步验证不要一次性配置完所有东西再测试。每完成一个关键步骤如创建外部网络、创建路由器就尝试创建一个虚拟机测试当前功能。理解网络命名空间这是 OpenStack 网络隔离的魔法所在。花时间学习ip netns命令它能帮你直观地看到路由器、DHCP 的内部状态。生产环境考虑使用多网卡分离流量管理、数据、存储。考虑高可用HA部署对网络节点进行冗余。根据性能需求评估和调优 OVS 参数或考虑其他后端如 Linux Bridge with VXLAN。OpenStack 网络配置像搭积木理解了 Neutron 将物理网卡抽象成网桥、网桥通过隧道或 VLAN 互联、路由器在命名空间中做 NAT 这一套流程后再复杂的拓扑也能拆解。第一次配置成功可能花费数小时但一旦跑通后续的重复操作就会变得非常迅速。遇到问题时耐心查看日志、逐层检查物理链路 - OVS - 命名空间 - 实例你总能找到那个被遗漏的配置项。