सार्वजनिक और निजी ओपनस्टैक बादलों में नेटवर्किंग के लिए अस्थायी आईपी पते

पोस्ट करनेवाले: Piotr Siwczak

मैंने हाल ही में वर्णन किया कि कैसे VlanManager काम करता है और यह कैसे नेटवर्क स्केलेबिलिटी और उपयोगकर्ता अलगाव प्रदान करता है। लेकिन अब तक, मैंने केवल विभिन्न उपयोगकर्ताओं से संबंधित निश्चित आईपी नेटवर्क के बारे में बात की है। हालाँकि डिफ़ॉल्ट रूप से निर्धारित IP पते को उदाहरणों के लिए आवंटित किया जाता है, वे नेटवर्क के बाहर (या अन्य डेटा से) इंस्टेंस की तत्काल उपलब्धता की गारंटी नहीं देते हैं। इस परिदृश्य की कल्पना करें:

आप एक www सर्वर, एक डेटाबेस सर्वर और एक फ़ायरवॉल के साथ एक छोटी सी वेबसाइट चलाते हैं जो नेटवर्क एड्रेस ट्रांसलेशन (NAT) और ट्रैफ़िक फ़िल्टरिंग करता है। आमतौर पर आप निम्नलिखित सेटिंग्स लागू करते हैं:
-सभी सर्वर एक निजी (गैर-राउटेबल) नेटवर्क रेंज (उदाहरण के लिए, 192.168.0.0/24) के भीतर नेटवर्क के भीतर संवाद करते हैं।
-कहां एक सार्वजनिक राउटरेबल आईपी रेंज है जिस पर www सर्वर दिखाई देता है।

आप निम्न कार्य करें:
- फ़ायरवॉल के लिए एक सार्वजनिक आईपी पता निर्दिष्ट करें।
-पीए सर्वर के निजी आईपी पते के लिए सार्वजनिक आईपी पते से ट्रैफ़िक को रूट करने के लिए फ़ायरवॉल पर NAT नियम बनाएं।

ओपनस्टैक में तय आईपी पते उसी तरह काम करते हैं जैसे कि ऊपर के उदाहरण में 192.168.0.0/24 नेटवर्क रेंज। वे एक ही ओपनस्टैक क्लस्टर के भीतर उदाहरणों के बीच केवल बातचीत की गारंटी देते हैं। लेकिन ओपनस्टैक आईपी एड्रेस का एक और पूल भी पेश करता है, जिसे "फ्लोटिंग आईपी" कहा जाता है। अस्थायी आईपी पते सार्वजनिक रूप से निष्क्रिय आईपी पते हैं जो आप अपने इंटरनेट सेवा प्रदाता से खरीदते हैं (एक जो ऊपर फ़ायरवॉल में फिट बैठता है)। उपयोगकर्ता अपने उदाहरणों के लिए आईपी पते असाइन कर सकते हैं, जिससे उन्हें बाहरी नेटवर्क से सुलभ बनाया जा सकता है।

फ्लोटिंग और फिक्स्ड आईपी के बीच अंतर

फ़्लोटिंग IP पते डिफ़ॉल्ट रूप से वर्चुअल मशीनों को असाइन नहीं किए जाते हैं। क्लाउड उपयोगकर्ताओं को ओपनस्टैक व्यवस्थापक द्वारा कॉन्फ़िगर किए गए पूल से उन्हें स्पष्ट रूप से "लेना" चाहिए, और फिर उन्हें अपने वर्चुअल मशीन पर असाइन करना चाहिए। जैसे ही उपयोगकर्ता ने पूल से फ्लोटिंग आईपी एड्रेस लिया है, वह इसका "मालिक" बन जाता है (अर्थात, किसी भी समय वह वर्चुअल मशीन से आईपी एड्रेस को अलग कर सकता है और इसे दूसरे से जोड़ सकता है)। यदि किसी कारण के लिए वर्चुअल मशीन मौजूद है, तो उपयोगकर्ता अस्थायी आईपी पते को नहीं खोता है - वह फिर इसे किसी अन्य उदाहरण में असाइन कर सकता है। दुर्भाग्य से, लोड संतुलन के लिए कई वर्चुअल मशीनों के बीच एकल फ्लोटिंग आईपी एड्रेस साझा करना असंभव है, जैसे कि EC2 पर इलास्टिक लोड बैलेंसिंग।
दूसरी ओर, निश्चित आईपी पते को एनओएम-नेटवर्क घटक द्वारा गतिशील रूप से असाइन किया जाता है जब वीएम बूट होता है। वर्चुअल मशीन को एक विशिष्ट निश्चित आईपी पते को निर्दिष्ट करने के लिए ओपनस्टैक को बताने का कोई तरीका नहीं है। इस प्रकार, आप अपने आप को एक ऐसी स्थिति में पा सकते हैं जब एक स्नैपशॉट से पुनर्स्थापित होने के बाद एक आभासी मशीन गलती से बंद हो जाती है, एक नया उदाहरण एक नए निश्चित आईपी पते के साथ लोड होता है।

सिस्टम प्रशासक अस्थायी आईपी पते के कई पूलों को कॉन्फ़िगर कर सकते हैं। हालाँकि, निश्चित IP पूल के विपरीत, अस्थायी IP पूल विशिष्ट उपयोगकर्ताओं को नहीं दिए जा सकते हैं। प्रत्येक उपयोगकर्ता अस्थायी आईपी पते के किसी भी पूल से एक अस्थायी आईपी पता "ले" सकता है। लेकिन फ्लोटिंग आईपी के कई पूल बनाने की मुख्य प्रेरणा प्रत्येक पूल के लिए अपने इंटरनेट एक्सेस प्रदाता की सेवा करना है। इस प्रकार, हम कनेक्ट करने की क्षमता की गारंटी दे सकते हैं, भले ही आपूर्तिकर्ताओं में से एक विफल हो।

सारांश में, अस्थायी आईपी के मूल कार्य निम्नानुसार हैं:
- फ्लोटिंग आईपी पते स्वचालित रूप से आभासी मशीनों को डिफ़ॉल्ट रूप से असाइन नहीं किए जाते हैं (उन्हें मैन्युअल रूप से इंस्टेंसेस को सौंपा जाना चाहिए)।
- यदि वर्चुअल मशीन मौजूद नहीं है, तो उपयोगकर्ता फ़्लोटिंग IP पते को फिर से किसी अन्य उदाहरण पर असाइन करके पुन: उपयोग कर सकता है।
-यूजर अलग-अलग इंटरनेट सेवा प्रदाताओं द्वारा या बाहरी नेटवर्क से आभासी मशीनों से जुड़ने की क्षमता प्रदान करने के लिए क्लाउड व्यवस्थापक द्वारा परिभाषित विभिन्न पूलों से अस्थायी आईपी पते ले सकता है।

फ्लोटिंग आईपी - आंतरिक या बाहरी बादल

एक अस्थायी आईपी पते की "सार्वजनिक उपलब्धता" एक सापेक्ष अवधारणा है। सार्वजनिक बादलों के लिए, आप इंटरनेट से सार्वजनिक रूप से सुलभ आईपी पतों के एक पूल के रूप में अस्थायी आईपी पते के एक पूल को परिभाषित करना चाह सकते हैं। फिर आपके ग्राहक उन्हें अपने घर या काम के कंप्यूटर से SSH के माध्यम से एक्सेस करने के लिए वर्चुअल मशीनों को असाइन कर सकते हैं:



यदि आपके पास अपने डेटा सेंटर में एक कॉर्पोरेट क्लाउड चल रहा है, तो फ़्लोटिंग IP पतों का पूल किसी भी प्रकार के IP पतों की श्रेणी हो सकता है, जो बाकी डेटा सेंटर से OpenStack इंस्टेंसेस तक पहुँच प्रदान करता है।

अपने डेटा सेंटर के ट्रैफ़िक के लिए, आप निम्न रेंज को परिभाषित कर सकते हैं: 10.0.0.0/16।

OpenStack के अंदर, आप निश्चित IP पते की निम्न श्रेणी बना सकते हैं: 192.168.0.0/16, उपयोगकर्ता सबनेट में विभाजित।
पूरे डेटा सेंटर से ओपनस्टैक इंस्टेंसेस को सुलभ बनाने के लिए, आप फ्लोटिंग आईपी एड्रेस के पूल को 10.0.0.0/8 सबनेट (उदाहरण के लिए, 10.0.0.0/16) के रूप में परिभाषित कर सकते हैं और इसे ओपनस्टैक के साथ रजिस्टर कर सकते हैं ताकि उपयोगकर्ता वहां से आईपी एड्रेस प्राप्त कर सकें।

फ्लोटिंग आईपी के साथ काम करें

जैसा कि मैंने पहले बताया, सिस्टम एडमिनिस्ट्रेटर पहले ओपनस्टैक में फ्लोटिंग आईपी के पूल को पंजीकृत करता है:
nova-manage floating create --ip_range=PUBLICLY_ROUTABLE_IP_RANGE --pool POOL_NAME

इस प्रकार, सार्वजनिक पूल उपयोगकर्ताओं के लिए उपलब्ध हो जाता है।

अब उपयोगकर्ता इस प्रक्रिया का पालन करते हैं:
-Download उदाहरण:

+ -------------------------------------- + --------- + -------- + -------------------------------- +
| आईडी | नाम | स्थिति | नेटवर्क |
+ -------------------------------------- + --------- + -------- + -------------------------------- +
| 79935433-241a-4268-8aea-5570d74fcf42 | inst1 | सक्रिय | निजी = 10.0.0.4 |
+ -------------------------------------- + --------- + -------- + -------------------------------- +

अस्थायी आईपी पते के उपलब्ध पूलों को देखें:

नोवा फ्लोटिंग-आईपी-पूल-लिस्ट

+ ------ +
| नाम |
+ ------ +
| पब |
| परीक्षण |
+ ------ +

पूल "पब" से एक अस्थायी आईपी पता लें (या, यदि वांछित हो, तो "परीक्षण" से):

नोवा फ्लोटिंग-आई पी-क्रिएट पब

+ --------------- + ------------- + ---------- + ------ +
| इप | उदाहरण Id | फिक्स्ड आईपी | पूल |
+ --------------- + ------------- + ---------- + ------ +
| 172.24.4.225 | कोई नहीं | कोई नहीं | पब |
+ --------------- + ------------- + ---------- + ------ +

- उदाहरण के लिए अस्थायी आईपी पता निर्दिष्ट करें:

nova add-floating-ip 79935433-241a-4268-8aea-5570d74fcf42 172.24.4.225

(जहां पहला तर्क उदाहरण का यूआईडी है, और दूसरा अस्थायी आईपी एड्रेस है)

-सभी सेटिंग्स सही हैं:

नोवा फ्लोटिंग-आईपी-लिस्ट

+ -------------- + ---------------------------------- ---- + ---------- + ------ +
| इप | उदाहरण Id | फिक्स्ड आईपी | पूल |
+ -------------- + ---------------------------------- ---- + ---------- + ------ +
| 172.24.4.225 | 79935433-241a-4268-8aea-5570d74fcf42 | 10.0.0.4 | पब |
+ -------------- + ---------------------------------- ---- + ---------- + ------ +
फ़्लोटिंग IP पते द्वारा ओपनस्टैक क्लस्टर के बाहर से अब उदाहरण दिखाई देना चाहिए।

फ्लोटिंग आईपी कैसे काम करते हैं

फ्लोटिंग आईपी जोड़ने के बाद एक उदाहरण के अंदर क्या होता है? सही उत्तर कुछ नहीं है। यदि आप एसएसएच के माध्यम से इसे कनेक्ट करते हैं और नेटवर्क कॉन्फ़िगरेशन को देखते हैं, तो आप देखेंगे कि एक निश्चित आईपी पते के साथ एक नेटवर्क इंटरफ़ेस है।

सभी कॉन्फ़िगरेशन कंप्यूटिंग नोड पर किया जाता है। अस्थायी आईपी पते से संबंधित सभी काम नोवा-नेटवर्क सेवा द्वारा किया जाता है: एक नेटवर्क एड्रेस ट्रांसलेटर (एनएटी) का आयोजन उदाहरण के निश्चित और अस्थायी आईपी पते के बीच किया जाता है। एनएटी कैसे काम करता है, इसका स्पष्टीकरण यहां दिया जा सकता है ।

निम्नलिखित चार्ट पर एक नज़र डालें:


यह स्कीम नोड्स के वितरण के साथ नेटवर्क मोड में कॉन्फ़िगर किए गए एक कंप्यूटिंग नोड को प्रदर्शित करता है और VlanManager का उपयोग फिक्स्ड आईपी नेटवर्क को कॉन्फ़िगर करने के लिए किया जाता है। कंप्यूटिंग नोड दो नेटवर्क इंटरफेस से सुसज्जित है: eth0 इंटरफ़ेस को एक निश्चित IP / VLAN के साथ यातायात के लिए आवंटित किया गया है, और eth1 वह इंटरफ़ेस है जिसके माध्यम से कंप्यूटिंग नोड बाहरी नेटवर्क से जुड़ा होता है; इसमें फ्लोटिंग आईपी है। (कैसे VlanManager फिक्स्ड आईपी नेटवर्क को कॉन्फ़िगर करता है, इसकी जानकारी के लिए पिछला लेख देखें )

कृपया ध्यान दें कि जब पता eth0 इंटरफ़ेस (निश्चित / निजी) पर कॉन्फ़िगर नहीं किया गया है, तो eth1 इंटरफ़ेस को एक IP पता सौंपा गया है, जो कि गणना नोड (91.207.15.105) के लिए डिफ़ॉल्ट गेटवे है।

जब कोई उपयोगकर्ता VM_1 को एक अस्थायी IP पता (91.207.16.144) देता है, तो दो चीजें होती हैं:
- अस्थायी IP पता eth1 इंटरफ़ेस पर एक द्वितीयक पते के रूप में कॉन्फ़िगर किया गया है: यह "ip addr शो eth1" कमांड का आउटपुट है, जिसमें निम्न चरण हैं:
inet 91.207.15.105/24 स्कोप ग्लोबल एथ 1 # प्राइमरी एथ 1 आईपी
inet 91.207.16.144/32 स्कोप ग्लोबल एथ 1 # वीएमआई का फ्लोटिंग आईपी

अस्थायी आईपी पते के लिए सेट NAT नियम iptables तालिकाओं में कॉन्फ़िगर किया गया है। नीचे गणना नोड के एनएटी टेबल से सभी प्रासंगिक प्रविष्टियां हैं (iptables के अपवाद के साथ -S nat कमांड। लिनक्स में iptables का उपयोग करके NAT को कॉन्फ़िगर करने के तरीके के विवरण के लिए, यहां देखें):
# यह नियम सुनिश्चित करता है कि पैकेट की गणना नोड से होती है
# जहां उदाहरण रहता है, उसके फ्लोटिंग आईपी के माध्यम से उदाहरण तक पहुंच जाएगा:
-एक नोवा-नेटवर्क-OUTPUT -d 91.207.16.144/32 -j DNAT - तक-गंतव्य 10.0.0.3

# यह सुनिश्चित करता है कि फ्लोटिंग आईपी के लिए सभी बाहरी ट्रैफ़िक
# उदाहरण के निश्चित IP को निर्देशित किया गया है
-नव-नेटवर्क-PREROUTING -d 91.207.16.144/32 -j DNAT - तक-गंतव्य 10.0.0.3

# उदाहरण से उत्पन्न होने वाला सभी ट्रैफ़िक इसके तैरते हुए IP पर SNAT-ted होगा
-एक नोवा-नेटवर्क-फ्लोट-स्नैट 10.0.0.3/32 -j एसएनएटी -ऑटो-स्रोत 91.207.26-44

सामान्य तौर पर, नोवा-नेटवर्क उन लोगों के लिए अतिरिक्त श्रृंखला जोड़ता है जो NAT तालिका में पूर्वनिर्धारित हैं। एक अस्थायी आईपी पते द्वारा यातायात के संबंध में श्रृंखलाओं का क्रम नीचे दिखाया गया है (ऊपर दिखाए गए नियमों का उपयोग करके):
चेन OUTPUT - चेन नोवा-नेटवर्क-OUTPUT - नियम: -d 91.207.16.144/32 -j DNAT - तक गंतव्य 10.0.0.3

चेन प्रायरिंग - चेन नोवा-नेटवर्क-प्रेट्रिंग - नियम: -d 91.207.16.144/32 -j DNAT - तक-गंतव्य 10.0.0.3

चेन पोस्टिंग - चेन नोवा-पोस्ट -आउटिंग-बॉटम - चेन नोवा-नेटवर्क-स्नैट - चेन नोवा-नेटवर्क-फ्लोट-स्नैट - नियम: -s 10.0.0.3/32 -j SNAT --to-source 91.207.16.144

-नियम सेट करने के लिए ज़िम्मेदार कोड नोवा / नेटवर्क / linux_net.py फ़ंक्शन में स्थित है:
def चल रहा है

वापसी [('PREROUTING', '-d% s -j DNAT - तक% s'% (चल_प, तय_प)),
('OUTPUT', '-d% s -j DNAT - तक% s'% (flo_ip, fixed_ip)),
( 'फ्लोट-SNAT',
'-s% s -j SNAT - तक% s'% (फिक्स्ड_आईपी, फ्लोटिंग_आईपी))]

चार्ट पर वापस जाएं। यदि उपयोगकर्ता बाहरी नेटवर्क से अपने आईपी पते द्वारा वर्चुअल मशीन का उपयोग करना चाहता है (उदाहरण के लिए, "पिंग 91.20.16.144 access):
ट्रैफ़िक गणना नोड के सार्वजनिक इंटरफ़ेस (eth1) तक पहुंचता है। Nova-network-PREROUTING में, एक DNAT निष्पादित किया जाता है जो पैकेटों के गंतव्य IP पते को 91.207.16.144 से 10.0.0.3 तक बदल देता है।
-कंप्यूटिंग नोड अपनी रूटिंग टेबल तक पहुँचता है और देखता है कि नेटवर्क 10.0.0.0 br100 इंटरफ़ेस पर उपलब्ध है (कंप्यूटिंग नोड के "आईपी रूट शो" को छोड़कर):
10.0.0.0/24 देव br100

इस तरह यह पैकेट को br100 इंटरफ़ेस पर निर्देशित करता है, फिर पैकेट वर्चुअल मशीन तक पहुंचता है।

यदि वर्चुअल मशीन बाहरी दुनिया को एक पैकेट भेजता है (उदाहरण के लिए, "पिंग 8.8.8.8):
- चूंकि गंतव्य का पता वर्चुअल मशीन के स्थानीय नेटवर्क में नहीं है, इसलिए पैकेट को IP पता 10.0.0.1 (डिवाइस का पता "कंप्यूटिंग नोड पर br100।) के साथ वर्चुअल मशीन के डिफ़ॉल्ट गेटवे के लिए भेजा जाता है।
-कंप्यूटिंग नोड अपने रूटिंग तालिकाओं की जांच करता है और पाता है कि सीधे जुड़े हुए नेटवर्क पर 8.8.8.8 पता नहीं है, इसलिए यह पैकेट को डिफ़ॉल्ट गेटवे (जो कि इस मामले में eth1 - 91.207.15.105 का प्राथमिक पता है) के लिए आगे की ओर है।
-यह पैकेट पोस्टिंग श्रृंखला में आता है और इसे "नोवा-नेटवर्क-फ्लोट-स्नैट" श्रृंखला में स्थानांतरित किया जाता है, जहां इसका मूल आईपी पता फ़्लोटिंग आईपी पते (91.207.16.144) में फिर से लिखा जाता है।

सुरक्षा नोट

ओपनस्टैक का उपयोग करते समय, सिस्टम व्यवस्थापक नोवा सेवाओं के लिए iptables तालिकाओं का पूर्ण नियंत्रण सौंपते हैं। कस्टम नियमों का सेट बहुत जटिल है और किसी भी बाहरी हस्तक्षेप से आसानी से टूट जाता है। इसके अलावा, हर बार जब नोवा-नेटवर्क डेमॉन को फिर से शुरू किया जाता है, तो यह ओपनस्टैक से जुड़े iptables टेबल चेन में सभी नियमों को लागू करता है। अगर किसी तरह से iptables तालिकाओं के व्यवहार को बदलने की आवश्यकता है, तो यह उपयुक्त स्थानों linux_net.py में कोड बदलकर किया जा सकता है (NAT नियमों के लिए, ये फ़्लोटिंग_forward_rules होंगे)।

यह भी कहने योग्य है कि नोवा-नेटवर्क किसी भी तरह से अपनी तालिकाओं को ट्रैक नहीं करता है। इस प्रकार, अगर हम मैन्युअल रूप से ओपनस्टैक से जुड़ी जंजीरों से किसी भी नियम को हटाते हैं, तो अगली बार नोवा-नेटवर्क लॉन्च होने पर उन्हें पुनर्स्थापित नहीं किया जाएगा।

इस प्रकार, एक सिस्टम व्यवस्थापक आसानी से एक कंप्यूटिंग नोड के लिए अवांछित पहुंच खोल सकता है। याद रखें कि नोवा-नेटवर्क ने फ्लोटिंग आईपी एड्रेस को eth1 पर सेकेंडरी के रूप में रखा है और DNAT रूल्स स्थापित किए हैं जो वर्चुअल मशीन के फिक्स्ड आईपी एड्रेस पर डायरेक्ट ट्रैफिक करते हैं:
-नव-नेटवर्क-PREROUTING -d 91.207.16.144/32 -j DNAT - तक-गंतव्य 10.0.0.3

इस प्रकार, 91.207.16.144 को निर्देशित सभी यातायात 10.0.0.3 पते पर जाता है।

अब आइए कल्पना करें कि सिस्टम प्रशासक ने रात में नेटवर्क से कनेक्ट होने की समस्याओं को हल किया और गलती से सभी NAT नियमों को टाइप करके हटा दिया:
iptables -F –t nat

उपरोक्त NAT नियम हटा दिया गया है, लेकिन माध्यमिक IP पता 91.207.16.144 अभी भी eth1 को सौंपा गया है। इस प्रकार, हम अभी भी बाहर से 91.207.16.144 पते तक पहुंच सकते हैं, लेकिन वर्चुअल मशीन पर पहुंचने के बजाय, अब हमारे पास कम्प्यूटेशनल नोड तक पहुंच है (गंतव्य आईपी पता अब डीएनएटी नियम के अनुसार अनुवादित नहीं है, क्योंकि मैंने इसे हटा दिया है) सभी NAT नियम)। यह सुरक्षा छेद नोवा-नेटवर्क प्रक्रिया के अगले पुनरारंभ तक बंद नहीं होगा, जो नियमों को फिर से बनाएगा।

अस्थायी IP कॉन्फ़िगर करें

Nova.conf सेवा में झंडे हैं जो अस्थायी आईपी पते के व्यवहार को प्रभावित करते हैं:
# वह इंटरफ़ेस जिससे फ्लोटिंग ips अटैच किए जाते हैं
# माध्यमिक पतों के रूप में
public_interface = "eth1"

# वह पूल जहां से फ्लोटिंग आईपी डिफ़ॉल्ट रूप से लिया जाता है
default_floating_pool = "pub"

# हम हर उस आवृत्ति के लिए स्वचालित रूप से एक फ्लोटिंग आईपी जोड़ सकते हैं जो स्पॉन है
auto_assign_floating_ip = false

सारांश टिप्पणियाँ

इंटरनेट से सीधे वर्चुअल मशीनों तक पहुंच प्रदान करने के अलावा, फ्लोटिंग आईपी तंत्र क्लाउड उपयोगकर्ताओं को कुछ लचीलापन देता है। एक फ्लोटिंग आईपी एड्रेस को "पिक अप" करने के बाद, वे अपने स्वामित्व को बदल सकते हैं, अर्थात्, उन्हें विभिन्न वर्चुअल मशीनों पर असाइन करते हैं और उन्हें पुन: असाइन करते हैं, जो नए कोड और सिस्टम अपडेट को जारी करने की सुविधा प्रदान करता है। सिस्टम प्रशासकों के लिए, यह एक संभावित सुरक्षा जोखिम पैदा करता है, क्योंकि अंतर्निहित तंत्र (iptables) बहुत जटिल है और ओपनस्टैक द्वारा इसकी निगरानी नहीं की जाती है। इसलिए, यह महत्वपूर्ण है कि केवल ओपनस्टैक सॉफ्टवेयर फ़ायरवॉल नीतियों को बदल सकता है और यह कि वे मैन्युअल रूप से नहीं बदलते हैं।

मूल लेख अंग्रेजी में