Openstack L3-GRE网络与 F5 协作之租户内部BIGIP(ICEHOUSE)

在还没有开始研究各种高大上的自动化控制之前，在还没有考虑各种复杂的企业场景之前，先来研究一下比较普遍的公有云下你希望购买几个server资源，并配上一个负载均衡设备，或者作为企业完全的虚拟化场景下做一些F5产品的测试场景。这些场景相对对SDN方面要求的弱些，就像ESXi上部署各种server，F5一样，是个虚拟化的过程。

此篇博客描述如何在租户内配置一个F5实例， 当一个租户获得资源后，在租户内部网络与传统网络并无二致，因此在实体网络经验下部署F5的经验统统可以用到。租户内部部署一台F5并不需要安装F5 plugin agent，这个实验环境与前面几篇文章有一些不一样，这是新装的一套环境，把controller节点和network节点二合一了，使用上无差异。

一、首先规划网络

1. 一般来说为F5可以设计3个网络，分别是mgmt，external，internal，因此首先为租户创建3个网络

2.到F5网站下载kvm的qcow镜像文件 downloads.f5.com, 测试中使用11.6版本，下载后，解压，并通过horizon的images界面上传

3. 创建实例资源配置flavor（管理员权限），创建一个新的flavor，根据不同需求，填写相关CPU，memory，disk资源大小，一般来说内存不应小于4G，vcpu不少于2个，磁盘不小于120G，如果你希望使用AAM，ASM这些模块的话，磁盘建议200G以上

4.加载实例，可通过images界面的launch或者instances界面launch一个新实例，选择刚才创建的flavor，如果希望使用私钥无密码登录方式，在此时可以配置key pair，networking部分选择刚才创建的三个网络，但注意顺序，系统将自动把第一个NIC作为管理接口

注意：此时检查一下compute节点里nova-compute.conf配置文件的libvirt配置项是否使用的是kvm，用qemu的会导致实例加载很慢。

5.同样的方法创建2台linux虚机，注意flavor根据实际情况选用，一个网络接入一台虚机

6.由于此时所有设备都在租户内部，且没有图形化机器，如果希望图形化管理F5则没法实现，因此可以将F5的某个接口例如mgmt映射到外部实体网络，本实验使用L3 router，因此通过在L3 router上为mgmt网络分配一个floating IP即可实现从外部访问mgmt接口地址

6.1 管理员权限下，创建一个internet网络，注意网络属性为shared和external network

最后所有网络如下：

6.2 进入租户网络界面-routers，创建一个新router，并增加mgmt网络的接口

同时为该router 关联外部网络gateway，关联之后，效果如下：

上图中将租户external网络10.168.168.0/24也连接到路由器是为了实现后面从public网络访问相关vs

最终完成后，网络拓扑如下：

注意因为之前internet网络的网关被填错网段IP导致dhcp时候没有给router自动设置缺省路由，因此此时的router里都是网段的直连路由，如果没有缺省路由，需要手工在路由器里添加：

7 分配floating IP

点击F5实例后ACTION中的Associate floating IP，分别为F5的mgmt和external网络接口映射floating IP，映射完毕后相当于通过路由器做了1-1 NAT

最后各个实例情形如下：

F5实例启动后，系统的mgmt口将自动获取neutron 分配给的IP，并自动根据IP命名一个hostname，此时通过管理口的floating ip 9.9.9.24可以访问该F5，剩下的就是进入F5进行相关license，模块，vlan，selfIP的配置，注意在配置vlan的时候你需要根据界面显示的MAC地址判断该端口是属于那个subnet的。

注意：此时很可能能ping通F5 floating地址，也能ssh上去，但是HTTPS则无法访问，这是由于GRE网络的MTU问题，将F5的eth0接口MTU调小为1450：

关于MTU控制，见这个文章

然后根据网络配置 pool vs sna routet等：

在F5里ping 8.8

.8.8 正常：

此时通过在各个linux上ping F5 self IP都是ok的，但是你会发现ping vip地址却无法ping通。这是因为由于VIP是在F5内部创立的，neutron根本不知道该IP，neutron为了安全默认不容许一个MAC上绑定多个IP，必须配置端口的 allowed_address_pair, 将某个IP关联到某个端口上。

注意：如果通过F5 lbaas agent来管理openstack内部的BIGP-VE，lbaas获取的self IP也没有allow到VE实例对应的neutron port上，因此也需要通过update 实例对应neutron port的allowed-address-pair

因此在这里我们需要将vip关联到external的网络端口上：

A. 首先为vip在neutron中创建端口

上述命令中 tenant-external是网络名，配置一个fixed IP，并为该port关联安全组，并关联设备ID，其中安全组的ID以及设备ID，可以通过horizion界面查看该网络其他端口获得，也可以通过neutron port-show  your-port-id来获得，例如

port ID 则可以通过 neutron port-list获得。

B. vip port创建完毕后，将该IP或者IP段关联到F5 tenant-external selfip的端口上：

可以看到下面命令输出中的allowed_address_pairs已经有了相关IP

实际上为了未来方便，可以在该端口上绑定网段，这样未来创建vip就不需要挨个绑定了：

neutron port-update e5852ab5-c7de-4b50-b285-5650d50cf26b --allowed_address_pairs  list=true type=dict ip_address=10.168.168.0/24

绑定网段后，以后创建vip，只需先创建一个对应的port，然后在F5上创建vs即可。

此时horizon实例界面显示如下：

100.150的IP都是后创建的vip 端口：

最后，需要为vip关联floating IP以便能够从外部访问该VS，点击access&security 菜单，进入 faloting IPS 配置界面，将IP关联给vip：

现在， 可以通过从外部网络访问9.9.9.23实现访问该VIIP了:

最后拓扑如下，可以看到创建的vip也被显示在了图形上：

在整个上述过程中，并没有给internal端口设置allowed address pairs，由于snat使用的是automap，所以通讯正常，如果此时换为一个snat pool的话，同样需要在internal端口上设置allowed address pairs，否则snat将不通：

数据path如下：

本次实验测试的是LTM产品，实际上此时GTM，ASM，AFM等所有F5产品都可以使用。

总结起来可以发现，在租户内部部署一个F5如果使用全命令行会方便许多，主要步骤包含，将这些脚本化可实现自动化部署一套F5设备。

1.创建网络

2.创建实例

3.创建vip端口

4.更新self ip端口allowed addr pairs

5.分配floating ip