【概述】
Neutron是OpenStack中負責提供網絡服務的組件，基於軟件定義網絡的思想，實現了網絡虛擬化下的資源管理，即：網絡即服務。
【功能】
·二層交換
Neutron支持多種虛擬交換機，一般使用Linux Bridge和Open vSwitch創建傳統的VLAN網絡，以及基於隧道技術的Overlay網絡，如VxLAN和GRE（Linux Bridge只支持VxLAN）。
·三層路由
Neutron從J版本開始，正式加入了DVR（Distributed Virtual Router）服務，將原本集中在網絡節點上的部分服務分散到了計算節點上。
通過namespace中使用ip route或者iptables實現路由或者NAT，也可以通過openflow給OVS下發流表來實現。
·負載均衡
關於LBaaS的相關內容，可以參照：https://www.cnblogs.com/liuxia912/p/11209968.html
·防火牆
Neutron有兩種方式來保證網絡的安全性，分別為防火牆和安全組，均使用iptables實現，前者限制路由器的報文，后者限制進出虛機的報文。
【架構】
·neutron Server
守護進程和一些插件，可以安裝在網絡節點，也可以安裝在控制節點。
neutron-server提供API接口，並把API的調用請求傳給已經配置好的插件進行后續處理。
·neutron L2 agent
為虛擬機提供2層交換服務，傳輸以MAC地址為基礎。
·neutron L3 agent
為虛擬機訪問外部網絡提供三層轉發服務，負責路由，浮動IP分配，地址轉換和安全組管理。
通過iptables實現安全組，路由和地址轉換。
每個虛擬路由運行在一個network namespace中，每個namespace由qroute -< router -< UUID命名。
·neutron-dhcp-agent
為虛擬機提供DHCP服務。
【創建虛擬機的網絡過程】
1. nova-compute向Neutron Server發送一個請求虛擬機IP地址的請求
2. Neutron Server收到請求后為虛擬機創建MAC和IP地址，並存儲到數據庫中
3. Neutron Server將信息發送給DHCP-agent
4. DHCP-agent收到信息后將對應信息發送給dnsmasq，dnsmasq將信息保存起來
5. nova創建虛機后會初始化MAC地址
6. 當虛機啟動的時候，默認的ip地址是0.0.0.0，會發送一個廣播，dnsmasq會監聽到虛擬機發送的報文，然后將對應MAC地址的IP地址返回給虛擬機，這樣虛擬機啟動完成后就會有IP地址了
【網絡虛擬化】
網絡（network）是一個隔離的二層網段，類似於物理網絡中的LAN（VLAN）。
具體一點，它是為創建它的租戶保留的一個廣播域。
端口和子網始終被分配給某個特定的網絡。
跨網絡的子網之間的流量必須走L3 Vritual Router。
每個網絡使用自己的DHCP Agent，每個DHCP Agent在一個Network namespace內。
不同網絡內的IP可以重復。
根據創建網絡的用戶，Neutron L2 network 可以分為：
Provider network： 管理員創建的和物理網絡有直接映射關系的虛擬網絡。
Tenant network： 租戶（普通用戶）創建的網絡，物理網絡對創建者透明，配置由 Neutron 的配置決定。
Provider Network 是由 OpenStack 管理員創建的，直接對應於數據中心的已有物理網絡的一個網段。這種網絡有三個和物理網絡有關屬性：
provider:network_type (網絡類型，包括 vxlan, gre, vlan, flat, local)
provider:segmentation_id (網段 ID， 比如 VLAN 的 802.1q tag, GRE 網絡的 Tunnel ID, VXLAN 網絡的 VNI)
provider:physical_network (物理網絡的邏輯名稱，比如 physnet1, ph-eth1, etc)
【虛擬網絡類型】
·Local
本地的Linux Bridge，除了虛擬機的網卡，不連接其他的網絡設備，實際場景使用較少。
·Flat
不帶vlan tag的網絡，相當於local網絡的Linux Bridge連接到一個物理網卡，該網絡中的instance可以於網絡中的instance通信。
所有的租戶都在同一個網絡內，沒有進行網絡隔離，容易產生廣播風暴。
可以跨節點，實際場景也較少。
| neutron net-create NAME --provider:network_type flat \ --provider:physical_network PHYS_NET_NAME |
·VLAN
基於物理Vlan網絡實現，共享同一個物理網絡的多個Vlan網絡是相互隔離的，甚至可以使用重疊的IP空間。
每個支持VLAN network的物理網絡可以被視為一個分離的VLAN trunk，使用一組獨占的vlan id。（有效段為1~4096）
私有雲網絡應用較多。
| neutron net-create NAME --provider:network_type vlan \ --provider:physical_network PHYS_NET_NAME \ --provider:segmentation_id VID |
·VXLAN
基於隧道技術的 overlay 網絡，通過唯一的 VNI 區分於其他的 vxlan 網絡，不和具體的物理網絡綁定。
在 vxlan 中，數據包通過 VNI 封裝成UDP包進行傳輸，因為二層的包通過封裝在三層傳輸，能夠克服vlan和物理網絡基礎設施的限制。
| neutron net-create NAME --provider:network_type vxlan \ --provider:segmentation_id TUNNEL_ID |
·GRE
與vxlan類似的一種overlay網絡，使用IP包進行封裝。
GRE 封裝的數據包基於 IP 路由表來進行路由，因此 GRE network 不和具體的物理網絡綁定。(基於隧道)
| neutron net-create NAME --provider:network_type gre \ --provider:segmentation_id TUNNEL_ID |
【虛擬網絡類型特點以及應用場景】
| 模式 |
原理 |
優點 |
缺點 |
| vlan |
划分vlan，使用vlan_id隔離廣播域 |
適合小規模網絡部署 |
必須和物理交換機的vlan_id綁定，最多只能有4096個 |
| GRE |
和vlan模式不同的.是vlan id 會被轉換成gre id,外面在封IP.通過隧道轉發出去. 2層的包,通過IP來轉發.物理層的3層通信,虛擬上的2層通信. |
gre id 可以有1600W個 沒有mac地址表過大的問題，物理交換機，只需要記住一個eth0的mac地址 3層網絡的通信 |
兩個階段需要建隧道，方案不成熟 |
| VXLAN |
相比較於gre，不使用隧道 本質: 2層的包+封裝vxlan id + 組播地址+ + udp報頭 + ip 報頭+數據包 |
不需要建隧道，使用udp 方便的安全策略 和gre id一樣，也有1600W可以使用 |
|
【參考】
https://www.jianshu.com/p/de03140fc60e
https://www.ait24.com/1066.html