9.3. 可信虚拟功能

您可以配置物理功能(PF)和虚拟功能(VF)之间的信任,以便 VF 能够执行特权操作,如启用混杂模式或修改硬件地址。

9.3.1. 配置虚拟功能和物理功能间的信任

先决条件
  • Red Hat OpenStack Platform 的操作安装,包括 director
流程

完成以下步骤,使用物理和虚拟功能间的信任配置和部署 overcloud:

  1. parameter_defaults 部分中添加 NeutronPhysicalDevMappings 参数,以在逻辑网络名称和物理接口之间链接。

    parameter_defaults:
      NeutronPhysicalDevMappings:
        - sriov2:p5p2
  2. 将新属性 trusted 添加到 SR-IOV 参数。

    parameter_defaults:
      NeutronPhysicalDevMappings:
        - sriov2:p5p2
      NovaPCIPassthrough:
        - vendor_id: "8086"
          product_id: "1572"
          physical_network: "sriov2"
          trusted: "true"
    注意

    您必须把值 "true" 包含双引号。

9.3.2. 使用可信 VF 网络

  1. 创建类型为 vlan 的网络。

    openstack network create trusted_vf_network  --provider-network-type vlan \
     --provider-segment 111 --provider-physical-network sriov2 \
     --external --disable-port-security
  2. 创建子网。

    openstack subnet create --network trusted_vf_network \
      --ip-version 4 --subnet-range 192.168.111.0/24 --no-dhcp \
     subnet-trusted_vf_network
  3. 创建端口。将 vnic-type 选项设置为 direct,并将 binding-profile 选项设置为 true

    openstack port create --network sriov111 \
    --vnic-type direct --binding-profile trusted=true \
    sriov111_port_trusted
  4. 创建一个实例,并将它绑定到之前创建的可信端口。

    openstack server create --image rhel --flavor dpdk  --network internal --port trusted_vf_network_port_trusted --config-drive True --wait rhel-dpdk-sriov_trusted

验证虚拟机监控程序上的可信 VF 配置

  1. 在您创建实例的计算节点上,输入以下命令:

    # ip link
    7: p5p2: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 9000 qdisc mq state UP mode DEFAULT group default qlen 1000
        link/ether b4:96:91:1c:40:fa brd ff:ff:ff:ff:ff:ff
        vf 6 MAC fa:16:3e:b8:91:c2, vlan 111, spoof checking off, link-state auto, trust on, query_rss off
        vf 7 MAC fa:16:3e:84:cf:c8, vlan 111, spoof checking off, link-state auto, trust off, query_rss off
  2. 验证 上 VF 的信任 状态。示例输出包含包含两个端口的环境的详细信息。请注意,vf 6 包含 上的文本信任
  3. 如果您在网络服务(neutron)网络中设置了 port_security_enabled: false,或者如果您在运行 openstack port create 命令时包含参数 --disable-port-security,可以禁用 spoof 检查。