[发明专利]一种neutron虚拟网络流量控制方法及装置

说明书

本发明公开一种neutron虚拟网络流量控制方法及装置，其中，该方法包括：引入linux TC的ifb虚拟网卡；配置无分类队列规则，将进入集成网桥的入口方向流量导入ifb虚拟网卡中；根据业务需要配置分类队列规则，对ifb虚拟网卡的出口方向流量进行分类配置；配置过滤器将ifb虚拟网卡的流量导入按照业务配置的分类中。该方法及装置通过引入linux TC的ifb虚拟网卡，将进入虚拟交换机的流量方向由入口方向转换为出口方向，达到在流量入口处实现精确地控制管理目的。

技术领域

本发明涉及neutron虚拟网络领域，尤其是一种neutron虚拟网络流量控制方法及装置。

背景技术

基于Linux网桥结合OpenvSwitch(简称OVS)的虚拟网络，其流量控制机制是基于Linux TC(流量控制器)机制。按照数据流向分为入口(ingress)方向流量和出口(egress)方向流量，Linux TC流量控制也分为入口方向流量策略和出口方向流量策略。入口方向流量和出口方向流量同时都支持以单个网口整体统计为基础的policing(限速)整形策略(无分类队列)，而根据报文内容细化控制的可分类队列则只有出口方向流量即发送报文时使用。形成入口方向流量控制手段少的原因是传统IP网络的无连接性以及网络的分治导致无法形成集中的端到端网络控制方案。而在云计算和网络虚拟化场景中构建的虚拟交换机集中管控是基本特性，使得端到端网络管控成为现实。

图1是neutron虚拟网络的一个典型的组网模型示意图。如图1所示，标出了一个虚拟网络上的流量分类如下：

(1)实例1到实例4表示不同物理服务器上同一子网下的虚机流量，两个计算节点直接二层交换；

(2)实例2到实例4表示不同物理服务器上不同子网下的虚机流量，经过网络节点路由转发；

(3)实例3到实例4表示同一物理服务器上同一子网下的虚机流量，计算节点内直接二层交换；

(4)外部网络到实例4表示集群外访问虚机流量，经过网络节点路由转发；

综上所述，同一子网下的实例，无论是否同一计算节点，都可直接通讯，不用经过网络节点路由，而跨子网或者和集群外通讯都需要经过网络节点路由转发。

图1中各网络组件之间的连接点都有实施端到端流量控制的可能性。首先防火墙策略网桥是实例业务层面流量控制策略的实施点，由于网络节点上的流量不能及时监控，因此不应在防火墙策略网桥实施虚拟网络流量控制；其次是集成网桥(br-int)和隧道网桥(br-tun)的连接点，流量控制的越早越有利于降低虚拟网络负载，本发明的实现方案是在集成网桥上完成流量控制的。

neutron虚拟网络的流量控制使用的是linux TC队列规则控制机制，在传统的网络模型中网络设备只能在自己的出口方向控制网络流量，在入口方向无法有效控制对端发送流量，在入口方向能实施的控制策略非常有限，无法满足端到端精确控制流量的要求。结合图1可知，实施端到端流量控制的监控点有X1、X2-1、X2-2和X3，即计算节点和网络节点上集成网桥到隧道网桥的出口点。

发明内容

针对上述情况，本发明提供一种neutron虚拟网络流量控制方法及装置，通过引入linux TC的ifb虚拟网卡，将进入虚拟交换机的流量方向由入口方向转换为出口方向，达到在流量入口处实现精确地控制管理目的。

为实现上述目的，本发明采用下述技术方案：

在本发明一实施例中，提出了一种neutron虚拟网络流量控制方法，该方法包括：

引入linux TC的ifb虚拟网卡；

配置无分类队列规则，将进入集成网桥的入口方向流量导入ifb虚拟网卡中；

根据业务需要配置分类队列规则，对ifb虚拟网卡的出口方向流量进行分类配置；