9.3. 可信虚拟功能
您可以配置物理功能(PF)和虚拟功能(VF)之间的信任,以便 VF 能够执行特权操作,如启用混杂模式或修改硬件地址。
9.3.1. 配置虚拟功能和物理功能间的信任
先决条件
- Red Hat OpenStack Platform 的操作安装,包括 director
流程
完成以下步骤,使用物理和虚拟功能间的信任配置和部署 overcloud:
在
parameter_defaults部分中添加NeutronPhysicalDevMappings参数,以在逻辑网络名称和物理接口之间链接。parameter_defaults: NeutronPhysicalDevMappings: - sriov2:p5p2将新属性
trusted添加到 SR-IOV 参数。parameter_defaults: NeutronPhysicalDevMappings: - sriov2:p5p2 NovaPCIPassthrough: - vendor_id: "8086" product_id: "1572" physical_network: "sriov2" trusted: "true"注意您必须把值 "true" 包含双引号。
9.3.2. 使用可信 VF 网络
创建类型为
vlan的网络。openstack network create trusted_vf_network --provider-network-type vlan \ --provider-segment 111 --provider-physical-network sriov2 \ --external --disable-port-security
创建子网。
openstack subnet create --network trusted_vf_network \ --ip-version 4 --subnet-range 192.168.111.0/24 --no-dhcp \ subnet-trusted_vf_network
创建端口。将
vnic-type选项设置为direct,并将binding-profile选项设置为true。openstack port create --network sriov111 \ --vnic-type direct --binding-profile trusted=true \ sriov111_port_trusted
创建一个实例,并将它绑定到之前创建的可信端口。
openstack server create --image rhel --flavor dpdk --network internal --port trusted_vf_network_port_trusted --config-drive True --wait rhel-dpdk-sriov_trusted
验证虚拟机监控程序上的可信 VF 配置
在您创建实例的计算节点上,输入以下命令:
# ip link 7: p5p2: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 9000 qdisc mq state UP mode DEFAULT group default qlen 1000 link/ether b4:96:91:1c:40:fa brd ff:ff:ff:ff:ff:ff vf 6 MAC fa:16:3e:b8:91:c2, vlan 111, spoof checking off, link-state auto, trust on, query_rss off vf 7 MAC fa:16:3e:84:cf:c8, vlan 111, spoof checking off, link-state auto, trust off, query_rss off-
验证
上 VF 的信任状态。示例输出包含包含两个端口的环境的详细信息。请注意,vf 6包含上的文本信任。 -
如果您在网络服务(neutron)网络中设置了
port_security_enabled: false,或者如果您在运行openstack port create命令时包含参数--disable-port-security,可以禁用 spoof 检查。