У тебя теггированный влан из Бонда вставленного в br-ex, прекрасно достанется и будет работать

Разобрав bond0 на 2 отдельных интерфейса, теперь eth0 как raw-device представлен в системе, никаких адресов и тп на нём нет. eth0 подключен в br-ex и чудеса, но трафик в порт инстанса от этого влана идёт Попозже буду пробовать собрать bond0 через ovs, надеюсь что сработает

Господа-чуваки, странный кейс, а может и не странный... Есть необходимость держать интерфейс в mgmt влане на контроле/гипере, но при этом чтобы был bond из интерфейсов. Если создавать интерфейс в mgmt влане на bond0 (условно) и назначать ему IP адрес, то затем не будет смысла добавлять bond0 в br-ex (OVS) так как этот mgmt влан тупо не будет работать. Есть подозрение, что можно избежать подобного через поднятие бонда именно средствами OVS, а не линупса. Что думаете ? Кейс такой, что нужна пара инстансов, которые могли бы смотреть и в mgmt влан и в паблик влан, но при этом на гиперах/контролах осталась возможность поднятия IP из приватного влана (хочу уйти от разделения на интерфейсы, чтобы всё было на бонде).

Ты что, в Казахстане открой карту

Если на базе бонда сделаешь тегированный bond0.mgmt, а остальной бонд добавишь в ovs бридж, исключив из транка mgmt влан, то будет работать.

Коллеги, извиняюсь за глупый вопрос заранее. Без включенного DVR любая маршрутизация, даже между приватными сетями клиента происходит на Network ноде?

А при включенном DVR маршрутизация между приватными сетями клиента уже происходит на Compute?

А внешняя маршрутизация така же остается на Network нодах?

https://docs.openstack.org/liberty/networking-guide/scenario-dvr-ovs.html У меня уж скоро тик будет от постоянного кидания этой ссылки)

Маршрутизация между self service сетями на одном роутере происходит в неймспейсах роутера прямо на гипервизорах. Маршрутизация между интернетом и машиной с плавающим адресом, включая NAT fixed ip <=> floating ip просисходит также на гипервизоре где находится виртуалка. Доступ в интернет для виртуальных машин без плавающего адреса через l3 агенты работающие в режиме dvr+snat (пишут что это network node), но могут быть на любом сервере, лишь бы режим такой стоял.

Будь на готове

Я через пару дней спрошу тоже самое

Да у меня на панели закладок в браузере эта ссылка)

У меня просто задача, чтобы внешнии сети спускались только на Network ноды, но не охота чтобы при проблемах с Network нодами накрывалась медным тазом внутренняя маршрутизация.

при такой конфигурации вам dvr нафиг не нужен

А как тогда будет происходить маршрутизация между приватными сетями? Например клиент создал две сети (VXLAN), подключил их к роутеру. Как происходит маршрутизация между ними? Ведь без включенного DVR любая маршрутизация, даже между приватными сетями клиента, в этом случае, происходит на Network нодах?

Да на нетворках. Но если вы включите двр и не спустите на компуты внешнюю сеть, то из коробки получите не работающий тырнет доступ на машинах с фип. Потребуются лишние телодвижения

Ну вот, что и требовалось. "Я так понял что не получиться и рыбку съесть и на люстре... 🙂" Большое спасибо за ответы.

А зачем такая странная схема?

СОРМ + не везде мы можем спустить интернет на Compute ноды.

То есть, проблема то от того что кто-то при планировании сетевой инфраструктуры ошибся, кажется. Почему не зеркалировать на СОРМ трафик с портов свитчей которые смотрят во внешний интернет?

При СОРМ при включенном DVR на каждой ноде мы должны будем настраивать yf ЩМЫ зеркалирование внешнего трафика.

При СОРМ при включенном DVR на каждой ноде мы должны будем настраивать yf ЩМЫ зеркалирование внешнего трафика.

Аплинк порт свитча зеркальте и все. Надзиратели вроде ещё не требуют чтобы и внутренний трафик сормился…

Вот это я и пытался ща написать)

Аплинк порт свитча зеркальте и все. Надзиратели вроде ещё не требуют чтобы и внутренний трафик сормился…

Ну мы так и делаем.

Ну вот и норм, а то что у вас между гиперами ходит какой-то трафик- это и не нужно знать ркну

Наши сетевики где то вычитали, что и трафик между клиентами по белым ip адресам тоже надо зеркалить.

Наши сетевики где то вычитали, что и трафик между клиентами по белым ip адресам тоже надо зеркалить.

Еще надо в ФСБ приватные ключи от своей PKI Инфраструктуры передавать и все пароли, не иначе)

Еще надо в ФСБ приватные ключи от своей PKI Инфраструктуры передавать и все пароли, не иначе)

Еще надо в ФСБ приватные ключи от своей PKI Инфраструктуры передавать и все пароли, не иначе)

У нас другое, я из Казахстана. 8)

В общем, сначала документы надо проанализирвать, возможно, проконсультироваться с профильными юристами, а потом уже дичь такую выдумывать.

СОРМы эт профанация. Никакой софт и железо на одном единственном сервере не переварит даже просто прием десятков и сотен гигабит трафика в секунду.

Есть такой продукт как mitigator.ru (наверное один из немногих продуктов из СНГ, которым можно гордиться), пилился вроде изначально под банкинг, но нашёл широкое применение у провайдеров. Умеет переваривать прям очень много

Я может не очень понял вопрос, но что мешает поднять тегированный интерфейс средствами ovs? Т.е. Бонд втыкается в br-ex, там все транзитом идёт, а на гипрере делаешь виртуальный интерфейс и указываешь для него тэг. И его тоже в br-ex можно добавить.

Да, я именно так и предполагаю сделать после сборки бонда именно средствами ovs, а не линукса, по результатам отпишу

Так если ovs дропнет ovsdb или просто перестанет работать, то у тебя и доступ пропадет к серверу.

"просто перестанет"- а такое часто бывает ?

Ну, вполне. Разработчики нейтрона нахуевертят и ovs чо-нить не то подсосет у тебя. Или openvswitch агент дропнет ovsdb. Или после обновления ядра или ovs модуль не загрузится. Поттеринг сломает systemd или мейнтейнер пакета сломает юниты для systemd и ovs не стартанет после перезагрузки.

Ну, вполне. Разработчики нейтрона нахуевертят и ovs чо-нить не то подсосет у тебя. Или openvswitch агент дропнет ovsdb. Или после обновления ядра или ovs модуль не загрузится. Поттеринг сломает systemd или мейнтейнер пакета сломает юниты для systemd и ovs не стартанет после перезагрузки.

Но mgmt влан не работает одновременно и на бонде и не уходит в br-ex!!!

Да ты думаешь они системду пользуют? Тут сейчас колла эпидемия )

Расскажи как делаешь.

Так много. Вопросов)

active-backup зачем?)