Linux擁有豐富的網(wǎng)絡(luò)虛擬化功能，能被虛擬機(jī)，容器還有云網(wǎng)絡(luò)使用。在這篇文章中，我會(huì)給出所有通用網(wǎng)絡(luò)虛擬化接口的簡(jiǎn)要介紹。沒有代碼分析，只有簡(jiǎn)短的接口介紹和在Linux上的使用操作。這系列接口都可以使用ip link命令實(shí)現(xiàn)。

這篇文章介紹的網(wǎng)絡(luò)虛擬化接口如下，有些接口容易與其他接口混淆：

• Bridge
• Bonded Interface
• Team device
• VLAN(Virtual LAN)
• VXLAN
• MACLAN
• IPLAN
• MACVTAP/IPVTAP
• MACsec
• VETH
• VCAN
• VXCAN

網(wǎng)橋

Linux的網(wǎng)橋表現(xiàn)起來(lái)就像一個(gè)網(wǎng)絡(luò)交換機(jī)。它會(huì)在其連接的接口間轉(zhuǎn)發(fā)數(shù)據(jù)包。它通常被使用在路由器，網(wǎng)關(guān)或一臺(tái)主機(jī)上的虛擬機(jī)間和網(wǎng)絡(luò)命名空間間轉(zhuǎn)發(fā)數(shù)據(jù)包。它也支持STP，VLAN過(guò)濾和組播snooping。

當(dāng)你想在虛擬機(jī)間，容器間，或主機(jī)間設(shè)置通信通道時(shí)，可以使用網(wǎng)橋來(lái)達(dá)到目的。

以下演示如何創(chuàng)建網(wǎng)橋：

# ip link add br0 type bridge
# ip link set eth0 master br0
# ip link set tap1 master br0
# ip link set tap2 master br0
# ip link set veth1 master br0

以上命令是先創(chuàng)建一個(gè)網(wǎng)橋設(shè)備br0，然后把兩個(gè)TAP設(shè)備（tap1，tap2），一個(gè)VETH設(shè)備(veth1)，和物理設(shè)備eth0關(guān)聯(lián)到這個(gè)網(wǎng)橋，就像上面拓?fù)鋱D顯示的一樣。

Bonded Interface

Linux聚合驅(qū)動(dòng)提供了一種可以將多個(gè)網(wǎng)絡(luò)接口聚合成一個(gè)單獨(dú)的邏輯"bonded"接口的方法。聚合接口的行為取決于模式，一般來(lái)講，模式有熱備份或負(fù)載均衡模式。

使用聚合接口，你可以在你的服務(wù)器上增加帶寬或者實(shí)現(xiàn)故障轉(zhuǎn)移。

以下演示如何創(chuàng)建一個(gè)聚合接口：

# ip link add bond1 type bond miimon 100 mode active-backup
# ip link set eth0 master bond1
# ip link set eth1 master bond1

上面使用熱備份模式創(chuàng)建了一個(gè)聚合端口bond1,其他模式設(shè)置，可參看kernel documentation。

Team device

類似于聚合端口，team device的目的是為了提供一種在二層網(wǎng)絡(luò)將多個(gè)網(wǎng)絡(luò)端口打包成一個(gè)邏輯端口的機(jī)制。

team設(shè)備并不是要復(fù)制或效仿一個(gè)聚合端口，而是要采用不同的方法，比如使用無(wú)鎖數(shù)據(jù)流機(jī)制和模塊化設(shè)計(jì)。

但bonded接口與team接口之間會(huì)有一些不同，比如，team接口支持LACP的負(fù)載均衡，NS/NA(IPV6)的鏈接檢測(cè)，D-Bus接口等等，這些在聚合接口上都是不支持的。bonging和team之間的不同，可參考更詳細(xì)的文檔Bonding與Team的對(duì)比。

使用team device，你會(huì)用到一些聚合端口不能提供的特性。

以下演示如何創(chuàng)建team接口：

# teamd -o -n -U -d -t team0 -c '{"runner": {"name": "activebackup"},"link_watch": {"name": "ethtool"}}'
# ip link set eth0 down
# ip link set eth1 down
# teamdctl team0 port add eth0
# teamdctl team0 port add eth1

以上以熱備份模式創(chuàng)建了一個(gè)名叫team0的team接口，隨后將eth0和eth1添加為team0的子接口。

最近一個(gè)新的名叫net_failover的驅(qū)動(dòng)被添加到Linux里。如下圖所示，將半虛擬化的網(wǎng)卡方案和passthru方案聚合成一個(gè)界面。增加了抵抗設(shè)備出錯(cuò)的風(fēng)險(xiǎn)。

VLAN

VLAN就是通過(guò)給網(wǎng)絡(luò)數(shù)據(jù)包添加VLAN標(biāo)簽分割廣播域。

VLAN的報(bào)文頭看起來(lái)如下圖所示：

使用VLAN，你就可以在虛擬機(jī)間，網(wǎng)絡(luò)命名空間或主機(jī)間隔離出子網(wǎng)。

以下演示如何創(chuàng)建一個(gè)VLAN：

# ip link add link eth0 name eth0.2 type vlan id 2
# ip link add link eth0 name eth0.3 type vlan id 3

以上的命令是說(shuō)在eth0上創(chuàng)建eth0.2帶上VLAN 2標(biāo)簽；在eth0上創(chuàng)建eth0.3帶上VLAN 3標(biāo)簽。

網(wǎng)絡(luò)拓?fù)淙缦拢?/p>

注意：當(dāng)你配置VLAN的是，你需要確保與主機(jī)直連的交換機(jī)是可以處理VLAN標(biāo)簽的，例如，將交換機(jī)端口設(shè)置為trunk模式。

VXLAN

VXLAN（Virtual eXtensible Local Area Network）一種隧道協(xié)議，被設(shè)計(jì)用來(lái)解決VLAN ID局限在4096個(gè)的問題上。VXLAN在IETF RFC 7348上有描述。

因?yàn)閂NI有24位長(zhǎng)度，VXLAN可以達(dá)到2^24（16777216）個(gè)虛擬機(jī)局域網(wǎng)，是VLAN的4096倍。

VXLAN將二層幀用VXLAN頭封裝金UDP-IP數(shù)據(jù)包內(nèi)，封裝格式如下圖所示：

VXLAN典型應(yīng)用于數(shù)據(jù)中心的虛擬主機(jī)上，可在多種架構(gòu)中部署。

以下演示創(chuàng)建VXLAN：

# ip link add vx0 type vxlan id 100 local 1.1.1.1 remote 2.2.2.2 dev eth0 dstport 4789

其他參考，你可以閱讀VXLAN內(nèi)核文檔或VXLAN介紹。

MACVLAN

有了VLAN，你就可以在一個(gè)物理接口上創(chuàng)建多個(gè)帶VLAN tag的邏輯接口，并根據(jù)VLAN tag過(guò)濾數(shù)據(jù)包。有了MACVLAN，你可以在一個(gè)物理接口上用不用的二層地址，也就是MAC地址創(chuàng)建多個(gè)邏輯接口。

在有MACVLAN之前，如果你想連接一個(gè)虛擬機(jī)或者網(wǎng)絡(luò)命令空間的里物理網(wǎng)絡(luò)，你可能需要?jiǎng)?chuàng)建TAP/VETH設(shè)備，并同時(shí)把這個(gè)設(shè)備與物理接口綁定到主機(jī)的網(wǎng)橋設(shè)備上，就下如下拓?fù)鋱D所示：

現(xiàn)在，有了MACVLAN，你能將關(guān)聯(lián)MACVLAN的物理接口直接綁定到命名空間里，而不在需要網(wǎng)橋。如下圖所示：

一共有五種MACVLAN類型：

1. Private:?該模式下，各個(gè)端點(diǎn)只能與外界通信。MACVLAN端點(diǎn)之間不能通信。

2. VEPA:?該模式下，各個(gè)端點(diǎn)可以與外界通信。MACVLAN端點(diǎn)之間通信需要外部Switch支持一個(gè)叫發(fā)夾彎（hairpin）的功能才可以。

3. Bridge:?該模式下，各個(gè)端點(diǎn)之間可以通信，與外界也可以通信。功能和Bridge + VETH一致。

4. Passthru:?該模式可以讓Container直接連接外部Switch。

5. Source: 該模式主要用于traffic過(guò)濾，是一種基于MAC的VLAN?？蓞⒖?源代碼

可根據(jù)不同的需求選用不同的模式。Bridge模式是最常用的模式。

當(dāng)你想從容器直連到物理網(wǎng)口就使用MACVLAN.

以下演示如何創(chuàng)建MACVLAN：

# ip link add macvlan1 link eth0 type macvlan mode bridge
# ip link add macvlan2 link eth0 type macvlan mode bridge
# ip netns add net1
# ip netns add net2
# ip link set macvlan1 netns net1
# ip link set macvlan2 netns net2

以上命令是創(chuàng)建兩個(gè)新的網(wǎng)橋模式的MACVLAN設(shè)備，并將它們?nèi)o兩個(gè)不同的命名空間。

IPVLAN

IPVLAN與MACVLAN類似，不同點(diǎn)是IPVLAN的endpoints使用相同的MAC地址。區(qū)別如下圖所示：

IPVLAN支持二層和三層模式。

IPVLAN的二層模式表現(xiàn)的像是網(wǎng)橋模式下的MACVLAN，父接口看起來(lái)就像一個(gè)網(wǎng)橋或者交換機(jī)。

IPVLAN的三層模式，父節(jié)點(diǎn)表現(xiàn)的就像一個(gè)路由器，數(shù)據(jù)包在endpoits間通過(guò)路由轉(zhuǎn)發(fā)，提供更好的伸縮性。

MACVLAN與?IPVLAN在很多方面相似。下面介紹只需使用?IPVLAN?而非?MACVLAN的場(chǎng)景。

• 1) 如果host連接的外部交換機(jī)只允許一個(gè)MAC地址。
• 2) 如果出于性能考慮，需要關(guān)閉網(wǎng)卡混雜模式（promiscuous mode)，?MACVLAN需要網(wǎng)卡運(yùn)行在混雜模式。
• 3) 創(chuàng)建的virtual device 超過(guò)了父設(shè)備的MAC地址容量。
• 4) 如果工作在不安全的L2網(wǎng)絡(luò)。

以下演示如何創(chuàng)建IPVLAN實(shí)例：

# ip netns add ns0
# ip link add name ipvl0 link eth0 type ipvlan mode l2
# ip link set dev ipvl0 netns ns0

上面創(chuàng)建了一個(gè)L2模式的名為ipvl0的IPVLAN設(shè)備，并將ipvl0塞給命名空間ns0。

MACVTAP/IPVTAP

類似?MACVLAN用以取代?Bridge + VETH?來(lái)連接不同的namespace.?MACVTAP?用以取代?Bridge + TUN/TAP來(lái)連接不同的VMs。MACVLAN / IPVLAN?連接不同的namespace, 旨在將Guest namespace和Host的網(wǎng)絡(luò)接口直接程序給外部Switch。MACVTAP / IPVTAP?連接不同VMs, 內(nèi)核為其創(chuàng)建了設(shè)備文件/dev/tapX，可以直接被虛擬化軟件QEMU使用。MACVTAP與?IPVTAP的區(qū)別 和?MACVLAN?與?IPVLAN的區(qū)別相類似。

有了MACVTAP/IPVTAP，你就可以用一個(gè)單獨(dú)的模塊取代以前的TUN/TAP+Bridge的組合。

以下演示如何創(chuàng)建MACVLAN實(shí)例：

# ip link add link eth0 name macvtap0 type macvtap

MACsec

MACsec（Media Access Control Security）是一種為大局域網(wǎng)安全設(shè)計(jì)的IEEE標(biāo)準(zhǔn)。類似于IPsec，只是工作在二層，MACsec不僅保護(hù)IP報(bào)文，還保護(hù)ARP，鄰居發(fā)現(xiàn)報(bào)文和DHCP報(bào)文。MACsec報(bào)文頭格式如下：

MACsec的主要應(yīng)用場(chǎng)景是加密標(biāo)準(zhǔn)局域網(wǎng)里的所有信息，包括ARP,NS,和DHCP消息。

以下演示如何設(shè)置MACsec配置：?

# ip link add macsec0 link eth1 type macsec

注意: 上述配置只在eth1接口上添加了一個(gè)名家macsec0的MACsec設(shè)備。

為查看更詳細(xì)的配置信息，可查看“MACsec introduction by Sabrina Dubroca”文章的"Configuration example"章節(jié)。

VETH

VETH（虛擬以太）設(shè)備是一個(gè)本地的以太網(wǎng)隧道。設(shè)備是成對(duì)創(chuàng)建的，具體拓?fù)淙缦聢D所示。

當(dāng)數(shù)據(jù)包傳輸?shù)脚鋵?duì)設(shè)備上的一個(gè)時(shí)，另一個(gè)設(shè)備也會(huì)立刻收到數(shù)據(jù)包。當(dāng)其中一個(gè)配對(duì)設(shè)備下線時(shí)，另一個(gè)設(shè)備也會(huì)下線。

當(dāng)namespaces間需要相互通信時(shí)，就要用到VETH配置了。

以下演示VETH配置：

# ip netns add net1
# ip netns add net2
# ip link add veth1 netns net1 type veth peer name veth2 netns net2

上面創(chuàng)建了兩個(gè)namespaces，分別叫net1和net2，并配對(duì)為一對(duì)VETH設(shè)備veth1和veth2，并將veth1與net1綁定，veth2與net2綁定。這樣兩個(gè)namespaces就通過(guò)VETH設(shè)備對(duì)聯(lián)系起來(lái)。分別給veth設(shè)備對(duì)分配IP地址，這樣你就能讓這兩個(gè)namespaces相互通信了。

VCAN

與網(wǎng)絡(luò)loopback設(shè)備類似，VCAN(virtual CAN)驅(qū)動(dòng)提供一種虛擬CAN接口叫VCAN。具體參見內(nèi)核CAN文檔

以下演示如何創(chuàng)建一個(gè)VCAN設(shè)備:

# ip link add dev vcan1 type vcan

VXCAN

VXCAN可以作為一種本地隧道連接兩個(gè)VCAN網(wǎng)絡(luò)設(shè)備。與VETH類似，你會(huì)創(chuàng)建一個(gè)VXCAN對(duì)， 用于連接不同namespaces的VCAN。

以下演示設(shè)置一個(gè)VXCAN實(shí)例:

# ip netns add net1
# ip netns add net2
# ip link add vxcan1 netns net1 type vxcan peer name vxcan2 netns net2

注意: 在Red Hat Enterprise Linux系統(tǒng)上并不支持VXCAN.

IPOIB

An IPOIB device supports the IP-over-InfiniBand protocol. This transports IP packets over InfiniBand (IB) so you can use your IB device as a fast NIC.

The IPoIB driver supports two modes of operation: datagram and connected. In datagram mode, the IB UD (Unreliable Datagram) transport is used. In connected mode, the IB RC (Reliable Connected) transport is used. The connected mode takes advantage of the connected nature of the IB transport and allows an MTU up to the maximal IP packet size of 64K.

For more details, please see the?IPOIB?kernel documentation.

Use an IPOIB device when you have an IB device and want to communicate with a remote host via IP.

Here's how to create an IPOIB device:

# ip link add ib0 name ipoib0 type ipoib pkey IB_PKEY mode connected

NLMON

NLMON是一個(gè)Netlink檢測(cè)設(shè)備。

當(dāng)你想要檢測(cè)系統(tǒng)的Netlink消息時(shí)，可使用NLMON設(shè)備。

以下演示如何創(chuàng)建一個(gè)NLMON設(shè)備：

# ip link add nlmon0 type nlmon
# ip link set nlmon0 up
# tcpdump -i nlmon0 -w nlmsg.pcap

This creates an?NLMON device named?nlmon0?and sets it up. Use a packet sniffer (for example,?tcpdump) to capture Netlink messages. Recent versions of Wireshark feature decoding of Netlink messages.

參考鏈接文章來(lái)源地址http://www.zghlxwxcb.cn/news/detail-583001.html

到了這里，關(guān)于網(wǎng)絡(luò)虛擬化相關(guān)的Linux接口介紹的文章就介紹完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！